提到網路安全，多半只想到防火牆與防毒軟體。但防火牆只守邊界，對內部威脅（病毒橫向擴散、ARP 攻擊、DDoS 僵屍網路）幾乎無力。交換機作為網路基礎設施，內建多項安全機制，若善加運用，能構建更立體的防禦體系。

當前區域網路安全痛點

• 病毒/蠕蟲內部爆發： 沖擊波、震盪波等利用漏洞在區域網路高速傳播，佔滿頻寬癱瘓業務。
• ARP 欺騙/中間人攻擊： 偽裝閘道竊取遊戲帳號、QQ 密碼，導致大量封包誤導至攻擊者主機，引發擁塞與資安外洩。
• DDoS 僵屍網路： 內部主機被植入代理程式，對外發動攻擊或內部洪水攻擊。
• 傳統防火牆盲區： 僅檢查南北向流量，東西向 (內部間) 流量全盲，無法阻斷內部威脅橫向移動。

交換機安全功能實戰部署

1. DHCP Snooping + IP Source Guard + Dynamic ARP Inspection (DAI)

黃金組合，從根源斷絕 IP/ARP 欺騙：

• DHCP Snooping： 僅信任上行埠 (連路由器/伺服器) 的 DHCP 回應，記錄合法 IP-MAC-埠綁定資料庫。
• IP Source Guard： 依資料庫檢查進入封包的來源 IP/MAC/埠，不符即丟棄，防止偽造 IP。
• DAI： 攔截所有 ARP 封包，比對 DHCP Snooping 資料庫，偽造 ARP 直接丟棄，徹底封殺 ARP 攻擊。

2. 連接埠安全性

• 限制單埠最大 MAC 學習數量（如 switchport port-security maximum 2），防止 MAC 洪水攻擊刷滿 CAM 表。
• 違規動作設為 shutdown 或 restrict，並發送 SNMP Trap 通知網管。

3. 風暴控制

• 設定廣播/多播/未知單播閾值（如 storm-control broadcast level 1.00 限制廣播佔 1% 頻寬），超過即封鎖或告警，防廣播風暴癱瘓全網。

4. 私有 VLAN (PVLAN)

• 將同一 VLAN 內埠劃分為 Promiscuous/Isolated/Community，隔離用戶間直接通訊，僅允許經由閘道通訊，限制病毒橫向掃描與傳播範圍。

5. 802.1X 埠存取控制

• 終端裝置必須通過 RADIUS 認證才能存取網路，未授權裝置（私接筆記本、非法 AP）直接被阻擋於接入層。

案例：某網咖部署交換機安全功能後成效

• 啟用 DHCP Snooping + DAI → ARP 攻擊歸零，遊戲掉線投訴減少 95%。
• 啟用 Port Security + Storm Control → 病毒掃描流量無法發散，單機中毒不再波及全網。
• PVLAN 隔離桌機間通訊 → 蠕蟲橫向傳播鏈路斷裂。

未來趨勢：應用層識別與行為分析

下一代交換機將整合 DPI 引擎，識別 P2P、影音、惡意代碼特徵碼，實現「認得出應用、攔得住威脅、分得清優先級」的智慧存取控制。聚生網管等平台已提供此類能力，值得關注。

結語

交換機不再只是「傻瓜式連線盒」，而是內部威脅第一道防線。網管人員應深入掌握交換機安全特性，結合邊界防火牆、端點防護，構建「邊界強、內部細、端點實」的纵深防禦體系。