(国网安庆供电公司安徽安庆246000)
摘要：在日常信息网运维过程中，因交换机更换、设备私自接入交换机端口等行为，可能会造成未知设备接入信息网。安庆供电公司在日常信息网络运维中存在以下几方面问题，主要问题如下：（1）私自接入设备。（2）设备准入不严格。（3）设备准入端口不准确造成设备接入端口不一致。为解决上述问题，通过研发未知设备接入检测工具，实现了市县公司设备准入合规性达到100%，降低了网络运行风险，提高了运维工作效率，增强了信息设备的安全性。
关键字：信息网络；未知设备；接入检测
1.引言
在日常信息网运维过程中，因交换机更换、设备私自接入交换机端口等行为，可能会造成未知设备接入信息网，为此通过未知设备接入检测工具对全网进行定期扫描，以尽早发现未知接入行为，为运维人员消除安全隐患争取时间。
安庆供电公司在日常信息网络运维中存在以下几方面问题，这些问题给信息网络设备准入管控及设备台账真实性掌控带来极大的挑战，同时也给公司信息网络安全性造成了极大的安全隐患，主要问题如下：（1）私自接入设备，因交换机更换、设备私自接入交换机端口等行为，可能会造成未知设备接入信息网。（2）设备准入不严格，如：只做端口准入而未在核心做ARP数据过滤。（3）设备准入端口不准确，由于人员调动或者移动办公室，在市县一体化平台未做解除准入操作、或直接在交换机操作等原因，造成设备接入端口不一致。
所以亟需一种未知设备接入检测工具实现定期扫描核心层交换机以及汇聚层交换机的ARP表，获取所有在网设备的ARP地址，发现未知的接入设备MAC地址。
2.工具原理
未知设备接入检测工具在市县一台平台的基础上，利用市县一体化平台登陆交换机及分析交换机ARP表、MAC表及端口地址功能，未知设备接入工具通过调用该功能分析对应并于市县一体化平台设备绑定信息进行比对，更具策略分析出差异差异数据。工作原理如下图所示。
3.功能介绍
未知设备接入检测工具，主要操作如下：
（1）选择指定VLAN下设备进行分析
运行未知设备接入检测工具，可查看在IP地址段及其下划分的VLAN信息，可选择VLAN下接入设备进行分析。
（2）查看分析信息
当选择要分析的VLAN后，工具会提取交换机ARP及MAC信息，通过分析形成设备接入信息，后提取市县一体化数据库设备绑定信息，两信息进行分析并形成告警提示。如下图：
（3）单个设备设备分析
该工具可根据IP、MAC地址，对单个设备设备进行分析。如下图：
①导出VLAN下所有设备分析结果
工具支持EXCEL导出VLAN下所有设备设备分析结果，有效协助网络运维人员，整体设备设备接入网络资状态。如下图：
②工具“结果分析”中告警数据处理
对工具“结果分析”中告警数据进行如下治理：
1）通过市县一体化平台回收IP资源且回收后关闭交换机空闲端口。
2）梳理完成所有的合法接入设备设备后，为防止未知的设备接入行为，对空闲的IP地址和端口进行治理，在链路层与网络层阻断未知接入行为。针对空闲IP地址，以VLAN为单位，将该VLAN下所有空闲IP地址在VLAN的网关设备上与MAC地址’1000-0000-0001’进行绑定。对于所有接入层交换机的接入端口（端口类型为ACCESS或HYBRID），在确定端口下接入的设备台账后，关闭端口自学习功能；同时根据接入的设备数设置端口最大接入数，具体端口配置参见上图；如果端口下接入设备数为0，同时清除交换机的VLAN标记。
3.结语
安庆供电公司通过对未知设备接入检测工具的研究和使用，累计治理了420个异常接入设备治理，实现了市县公司设备准入合规性达到100%，提炼了一套设备准入管理流程并投入使用，未知设备接入检测工具运用，降低了网络运行风险，提高了运维工作效率，增强了信息设备的安全性。