物理层的智能设备智能布线具有更好的安全性

文│美国西蒙公司

任何网络管理员都会告诉你进行网络完整档案记载的重要性。这个文件应记录包括所有的工作站、IP地址、配置路由、防火墙参数等。但它对物理层的描述可能会达不到要求，尤其是比较老的网络，在已经经受了很多次移动、添加和变更后，可能没有最新的文件记载。在现实中，当危机发生时，这可能意味着是快速寻找到问题还是花费很多时间去寻找到问题之间的差别。

举例说明，假设有一个客户，其移动网络装置出现了一个问题，这个案例发生的背景是，公司在校园里有5座建筑物，笔记本电脑由于病毒的原因正在内部发起一个拒绝服务式的攻击。交换机关闭接口，IT人员将进入电信间以确定故障设备的位置。但是当IT找到交换机，物理层问题来了，因为对线缆路径了解的资料不足，将无法寻找笔记本电脑的位置，或者他们根据电缆路径追踪到该位置，却发现笔记本电脑已经不在。笔记本电脑用户觉得失去连接是由于网络问题，每次他被关闭连接后，他就转移到另一个地方，但是一段时间后，很快又失去连接。

在案例过程中，交换机在不断的执行它们的工作——关闭接口，该用户在不断地想办法排除他自己的问题，IT人员则在寻找他的位置以及纠正问题所陷入困境等，并且这个循环不断继续。该用户觉得该楼层的设备很可能有一些特殊的设定，于是他转移到另一层。在再次失去连接后，他觉得可能是这座大楼的安全设置上出了问题，于是他又转移到另一座大楼，循环仍然在继续。大约5小时之后，笔记本电脑及其用户被发现，问题才得以解决。对于IT人员在说，这是5小时的混乱，对于用户来说，这是5小时的挫败感。

另外一个场景里，对标准的遵守和整体网络安全也会在物理层上大打折扣。大部分公司都会有一些公用的桌子和小房间，这些房间和桌子大部分是闲置的，流动的雇员使用。拥有可用端口的会议室也可能构成威胁，对于很多必须遵循规则的行业用户来说，这些开放端口可能导致一个公司安全审核的失败，除非他们完全关闭或者只允许某些特定的用户通过这些接口进入该网络。另外选择是使用防火墙，使这些接口与实际网络隔开，这意味着授权的网络用户每次想要利用接口，都要重新配置。所有这些风险和它们的补救办法，对于一个IT管理者而言都是负担。

在数据中心和电信领域里，技术人员也会制造一些额外的风险，当他们不小心拔下一些不该拔的插头。假设偶然断开的是一个VoIP交换机或一个关键服务器，就像最近在新闻里多次播报的那样，如果一个装置脱离了一台存有关键信息的设施会有什么样的后果？网络管理员如何知道谁进入了网络？他们访问了哪些网络？这些操作如何被记录下来？最后，发生的移动、添加和变更如何处理？

1 智能回答

智能配线的使用已经有一段时间，功能较之原来的版本也有所改善。在上述的情况下，使用一个智能基础设施管理系统，如在MapIT™系统上将允许网络管理员用鼠标点击该出错的设备，就能浏览整个信道，甚至在建筑的图纸上找到该设备。

通过加入物理层，网络管理者不再只局限于上层信息。知道了MAC地址、IP地址和登陆信息肯定是有益的，但如果物理层档案与实际基础设施不同步，那么寻找问题设备可能是一个艰巨的任务，MapIT G2智能配线弥补了这个缺口。

2 系统如何运作

该系统通过带传感器的硬件（MapIT）和软件协同工作。在硬件方面，MapIT G2的智能铜缆配线架和光纤配线箱在每个端口上都配置了一个传感芯片。MapIT G2的跳线有一个标准的RJ45接口或标准的光纤连接器，还包括一个“第九针”，旨在接触传感芯片。跳线上额外的第九针连接，使系统可以检测到物理层的实时变化。这些实时信息首先在智能铜缆配线架和光纤配线箱中得到处理，并显示在智能配线架的图形液晶显示屏上，用于指示跳线连接、诊断和操作菜单。一根单头的跳接线将智能配线架与1U的MapIT G2主控制器连接起来。一个1U的MapIT G2主控制器即可管理2880个端口，并把信息转给运行了MapIT IM管理软件的中央数据库。

该软件是在每个端口的基础上购买，并作为一个单独的应用程序来工作，或可与现有的网络管理程序包相结合。在一个集成配置中，设备和它的信道可以通过网络管理程序来得到追踪，如HP OpenView。对设备一个简单右击，MapIT IM软件便可显示对物理层线缆的即时追踪。追踪包括信道的所有信息，还可以在CAD图纸上显示设备的物理位置。

该软件通过SNMP读取网络设备识别信息，并根据用户设定的参数发送SNMP（包括第3版）包，用以关闭某些端口。当物理层被包括在内时，这个软件提供了很大的益处。例如，如果你想要知道网络上每一台运行Windows 2000的PC机的位置，它会以图表形式以及报告格式展现在你的面前。

虚拟配线架（VWC）模块提供了一些关于电信机架的文档记载，包括连接、快接跳线长度、每个设备连接的位置等。MapIT G2的益处是追踪MAC的工作，而无需手工操作去更新电子表格和文档记载，还包括一个为建立工单的工作单模块。工作单可以被迅速派送，并显示在工作现场的智能配线架的显示屏上，而且所做的任何改动都将被自动追踪，管理者即刻知道该工作是何时完成。

这也可以与其他安全系统结合，如NetBotz®（属于APC®）或摄像头。基于用户定义的触发机制，例如有人拔出一个VoIP交换机插头，照相机可抓拍图片并将其写到日志中，管理软件将如你所期望的，通过电子邮件、手机或传呼机提供警报，如无响应还可逐步升级警报。接触机制可以从门一直到房间、机柜等，一旦连接被打破，同样类型的日志会出现，包括日志中的照片、日期和时间，还有操作者的摄影、录像证据。

这些都只是MapIT G2的一小部分功能，就像你看到的，他们是重要而有益的。如果我们回到开始的例子—在校园里，一个简单的右击，将节省5个小时追踪用户的时间。不仅是文档记录被实时更新，让网络管理员知道交换机在大楼中的端接位置，而且还可以以图表形式显示出来。

就安全性及所需遵守的相关规定而言，所增设的文档记载和记录能力不仅可以提高公司的安全地位，也回应了许多关于遵守相关文档和访问记录的要求。毕竟，大部分的故障排除和调查都是从谁、是什么、何地、何时、为何以及如何开始的。通过将物理层加入到你的整体管理中，这些问题的答案会变得更容易，也更彻底。