Switch zkoumá cílové adresy Media Access Control (MAC) a pomocí filtrační databáze vybírá vhodný odchozí port. Polohu zařízení se může učit ze zdrojových adres pozorovaných na příchozích rámcích, místo aby každá položka předávání musela být konfigurována ručně.
Rámce pro známé cíle lze předávat selektivně, zatímco broadcastový, relevantní multicastový a provoz s neznámým cílem může být replikován na více portů v rámci příslušné broadcastové domény. Mosty rovněž potřebují mechanismy kontroly smyček, protože redundantní cesty vrstvy 2 by jinak mohly rámce nechat cirkulovat a množit. IEEE 802.1Q specifikuje chování mostů a virtuálních lokálních sítí (VLAN) a související funkce tříd provozu.
Klíčové body
Učení a stárnutíDynamické položky předávání odrážejí nedávná pozorování zdrojových adres a časem expirují; statické položky a kontroly mohou učení přepsat nebo omezit.
Rozsah předáváníVLAN vytvářejí na sdílené switchovací infrastruktuře odlišné broadcastové domény vrstvy 2, zatímco trunky mohou mezi nakonfigurovanými zařízeními přenášet provoz pro více VLAN.
Návrh zabezpečeníChraňte správu switchů, omezte nepoužívané porty a vznik trunků, řiďte protokoly vrstvy 2 a kombinujte switching s autentizovaným přijetím, filtrováním, směrováním a monitorováním odpovídajícím riziku.
Důležité omezeníSwitch nebo VLAN není automaticky důvěryhodná bezpečnostní hranice. Adresy MAC lze podvrhnout, konfigurace může nechat unikat provoz mezi zamýšlenými zónami a útoky či poruchy mohou narušit učení adres a kontrolu smyček.