[精选]园区网的安全技术38170.pptx

《[精选]园区网的安全技术38170.pptx》由会员分享，可在线阅读，更多相关《[精选]园区网的安全技术38170.pptx（42页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、园区网的安全技术园区网的安全技术第 9 章教学目标教学目标通过本章学习使学员能够：通过本章学习使学员能够：1 1、了解常见的网络安全隐患及常用防范技术；、了解常见的网络安全隐患及常用防范技术；2 2、熟悉交换机端口安全功能及配置、熟悉交换机端口安全功能及配置3 3、掌握基于、掌握基于IPIP的标准、扩展的标准、扩展ACLACL技术进行网络安技术进行网络安全访问控制。全访问控制。本章内容本章内容网络安全隐患网络安全隐患交换机端口安全交换机端口安全IP访问控制列表访问控制列表课程议题课程议题网络安全隐患网络安全隐患常见的网络攻击：常见的网络攻击：网络攻击手段多种多样，以上是最常见的几种网络攻击手段

2、多种多样，以上是最常见的几种攻击不可避免攻击不可避免攻击工具体系化攻击工具体系化 网络攻击原理日趋复杂，但攻击却变得越来越简网络攻击原理日趋复杂，但攻击却变得越来越简单易操作单易操作额外的不安全因素额外的不安全因素 DMZ E-Mail File Transfer HTTPIntranetIntranet企业网络企业网络生产部生产部工程部工程部市场部市场部人事部人事部路由路由InternetInternet中继中继外部个体外部个体外部外部/组织组织内部个体内部个体内部内部/组织组织现有网络安全体制现有网络安全体制IDS/IPSIDS/IPS68%68%杀毒软件杀毒软件99%99%防火墙防火墙9

3、8%98%ACLACL71%71%VPN VPN 虚拟专用网虚拟专用网防火墙包过滤防病毒入侵检测课程议题课程议题交换机端口安全交换机端口安全交换机端口安全交换机端口安全利用交换机的端口安全功能实现利用交换机的端口安全功能实现防止局域网大部分的内部攻击对用户、防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如网络设备造成的破坏，如MAC地址攻击、地址攻击、ARP攻击、攻击、IP/MAC地址欺骗等。地址欺骗等。交换机端口安全的基本功能交换机端口安全的基本功能限制交换机端口的最大连接数限制交换机端口的最大连接数端口的安全地址绑定端口的安全地址绑定交换机端口安全交换机端口安全安全违例产生于以下情

4、况：安全违例产生于以下情况：如果一个端口被配置为一个安全端口，当其安全地如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数址的数目已经达到允许的最大个数如果该端口收到一个源地址不属于端口上的安全地如果该端口收到一个源地址不属于端口上的安全地址的包址的包当安全违例产生时，你可以选择多种方式来处理违例：当安全违例产生时，你可以选择多种方式来处理违例：ProtectProtect：当安全地址个数满后，安全端口将丢弃：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）未知名地址（不是该端口的安全地址中的任何一个）的包的包RestrictRestri

5、ct：当违例产生时，将发送一个：当违例产生时，将发送一个TrapTrap通知通知ShutdownShutdown：当违例产生时，将关闭端口并发送一个：当违例产生时，将关闭端口并发送一个TrapTrap通知通知配置安全端口配置安全端口 端口安全最大连接数配置端口安全最大连接数配置switchport port-security ！打打开开该该接接口口的的端口安全功能端口安全功能switchport port-security maximum value！设设置置接接口口上上安安全全地地址址的的最最大大个个数数，范范围围是是1128，缺缺省值为省值为128switchport port-secur

6、ity violationprotect|restrict|shutdown！设置处理违例的方式！设置处理违例的方式注意：注意：1、端口安全功能只能在、端口安全功能只能在access端口上进行配置。端口上进行配置。2、当当端端口口因因为为违违例例而而被被关关闭闭后后，在在全全局局配配置置模模式式下下使使用用命命令令errdisable recovery 来将接口从错误状态中恢复过来。来将接口从错误状态中恢复过来。配置安全端口配置安全端口端口的安全地址绑定端口的安全地址绑定switchport port-security ！打开该接口！打开该接口的端口安全功能的端口安全功能switchport

7、port-security mac-address mac-address ip-address ip-address！手工配置接口上的安全地址！手工配置接口上的安全地址注意：注意：1、端口安全功能只能在、端口安全功能只能在access端口上进行配置端口上进行配置 2、端口的安全地址绑定方式有、端口的安全地址绑定方式有:单单MAC、单、单IP、MAC+IP案例（一）案例（一）下面的例子是配置接口下面的例子是配置接口gigabitethernet1/3上的端口安上的端口安全功能，设置最大地址个数为全功能，设置最大地址个数为8，设置违例方式为，设置违例方式为protectSwitch#config

8、ure terminal Switch(config)#interface gigabitethernet 1/3 Switch(config-if)#switchport mode access Switch(config-if)#switchport port-security Switch(config-if)#switchport port-security maximum 8 Switch(config-if)#switchport port-security violation protect Switch(config-if)#end案例（二）案例（二）下面的例子是配置接口下面的

9、例子是配置接口fastethernet0/3上的端口安上的端口安全功能，配置端口绑定地址，主机全功能，配置端口绑定地址，主机MAC为为00d0.f800.073c，IP为为192.168.12.202Switch#configure terminalSwitch(config)#interface fastethernet 0/3Switch(config-if)#switchport mode accessSwitch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security mac-addre

10、ss 00d0.f800.073c ip-address 192.168.12.202Switch(config-if)#end查看配置信息查看配置信息查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等以及违例处理方式等 Switch#show port-securitySwitch#show port-security Secure Port MaxSecureAddr CurrentAddr Security Action -Gi1/3 8 1 Protect查看安全地址信息查看安全地址信息Swit

11、ch#show port-security addressSwitch#show port-security address Vlan Mac Address IP Address Type Port Remaining Age(mins)-1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8 1课程议题课程议题IP访问控制列表访问控制列表什么是访问列表什么是访问列表IP Access-list：IP访问列表或访问控制列访问列表或访问控制列表，简称表，简称IP ACLACL就是对经过网络设备的数据包根据一定的就是对经过网络设备的数据包根据一定的规

12、则进行数据包的过滤规则进行数据包的过滤ISP 为什么要使用访问列表为什么要使用访问列表内网安全运行内网安全运行访问外网的安全控制访问外网的安全控制访问列表访问列表访问控制列表的作用：访问控制列表的作用：内网布署安全策略，保证内网安全权限的资源内网布署安全策略，保证内网安全权限的资源访问访问内网访问外网时，进行安全的数据过滤内网访问外网时，进行安全的数据过滤防止常见病毒、木马、攻击对用户的破坏防止常见病毒、木马、攻击对用户的破坏访问列表的组成访问列表的组成定义访问列表的步骤定义访问列表的步骤第一步，定义规则（哪些数据允许通过，哪些第一步，定义规则（哪些数据允许通过，哪些数据不允许通过）数据不允许

13、通过）第二步，将规则应用在路由器（或交换机）的第二步，将规则应用在路由器（或交换机）的接口上接口上访问控制列表规则的分类：访问控制列表规则的分类：1、标准访问控制列表、标准访问控制列表2、扩展访问控制列表、扩展访问控制列表 访问列表规则的应用访问列表规则的应用路由器应用访问列表对流经接口的数据包进行控制路由器应用访问列表对流经接口的数据包进行控制1.入栈应用（入栈应用（in）经某接口进入设备内部的数据包进行安全规则过滤经某接口进入设备内部的数据包进行安全规则过滤2.出栈应用（出栈应用（out）设备从某接口向外发送数据时进行安全规则过滤设备从某接口向外发送数据时进行安全规则过滤一个接口在一个方向

14、只能应用一组访问控制列表一个接口在一个方向只能应用一组访问控制列表F1/0F1/0F1/1F1/1ININOUTOUT访问列表的入栈应用访问列表的入栈应用NY是否允许是否允许?Y是否应用是否应用访问列表访问列表?N查找路由表查找路由表进行选路转发进行选路转发以以以以ICMPICMPICMPICMP信息通知源发送方信息通知源发送方信息通知源发送方信息通知源发送方以以以以ICMPICMPICMPICMP信息通知源发送方信息通知源发送方信息通知源发送方信息通知源发送方NY选择出口选择出口S0路由表中是路由表中是否存在记录否存在记录?NY查看访问列表查看访问列表的陈述的陈述是否允许是否允许?Y是否应用

15、是否应用访问列表访问列表?NS0S0 访问列表的出栈应用访问列表的出栈应用IP ACL的基本准则的基本准则一切未被允许的就是禁止的一切未被允许的就是禁止的定义访问控制列表规则时，最终的缺省规定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过则是拒绝所有数据包通过按规则链来进行匹配按规则链来进行匹配使用源地址、目的地址、源端口、目的端使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配口、协议、时间段进行匹配规则匹配原则规则匹配原则从头到尾，至顶向下的匹配方式从头到尾，至顶向下的匹配方式匹配成功马上停止匹配成功马上停止立刻使用该规则的立刻使用该规则的“允许允许/拒绝拒绝”Y拒绝拒

16、绝Y是否匹配是否匹配规则条件规则条件1?允许允许N拒绝拒绝允许允许是否匹配是否匹配规则条件规则条件2?拒绝拒绝是否匹配是否匹配最后一个最后一个条件条件?YYNYY允许允许隐含拒绝隐含拒绝N 一个访问列表多条过滤规则一个访问列表多条过滤规则访问列表规则的定义访问列表规则的定义标准访问列表标准访问列表根据数据包源根据数据包源IP地址进行规则定义地址进行规则定义扩展访问列表扩展访问列表根据数据包中源根据数据包中源IP、目的、目的IP、源端口、目的端、源端口、目的端口、协议进行规则定义口、协议进行规则定义源地址源地址TCP/UDP数据数据IPeg.HDLC1-99 号列表号列表 IP标准访问列表标准访

17、问列表目的地址目的地址源地址源地址协议协议端口号端口号 IP扩展访问列表扩展访问列表TCP/UDP数据数据IPeg.HDLC100-199 号列表号列表 0表示检查相应的地址比特 1表示不检查相应的地址比特001111111286432168421000000000000111111111111 反掩码（通配符）反掩码（通配符）IP标准访问列表的配置标准访问列表的配置1.定义标准定义标准ACL编号的标准访问列表编号的标准访问列表Router(config)#access-list permit|deny 源地址源地址 反掩码反掩码命名的标准访问列表命名的标准访问列表 switch(config

18、)#ip access-list standard switch(config-std-nacl)#permit|deny 源地源地址址 反掩码反掩码2.应用应用ACL到接口到接口Router(config-if)#ip access-group in|out 172.16.3.0172.16.4.0F1/0S1/2F1/1172.17.0.0 IP标准访问列表配置实例标准访问列表配置实例(一一)配置：配置：access-list 1 permit 172.16.3.0 0.0.0.255 (access-list 1 deny any)interface serial 1/2ip acces

19、s-group 1 out标准访问列表配置实例标准访问列表配置实例(二二)需求：需求：你是某校园网管，领导要你对网络你是某校园网管，领导要你对网络的数据流量进行控制的数据流量进行控制,要求校长可以要求校长可以访问财务的主机，但教师机不可以访问财务的主机，但教师机不可以访问。访问。配置：配置：ip access-list extended abcpermit host 192.168.2.8 deny 192.168.2.0 0.0.0.255财务财务192.168.1.0教师教师192.168.2.0192.168.2.8F0/1F0/2F0/5F0/6F0/8F0/9F0/10校长校长 IP

20、扩展访问列表的配置扩展访问列表的配置1.定义扩展的定义扩展的ACL编号的扩展编号的扩展ACLRouter(config)#access-list permit/deny 协议协议 源地址源地址 反掩码反掩码 源端口源端口 目的地址目的地址 反掩码反掩码 目的端口目的端口 命名的扩展命名的扩展ACLip access-list extended name permit/deny 协议协议 源地址源地址 反掩码反掩码源端口源端口 目的地目的地址址 反掩码反掩码 目的端口目的端口 2.应用应用ACL到接口到接口Router(config-if)#ip access-group in|out IP扩展

21、访问列表配置实例扩展访问列表配置实例(一一)access-list 115 deny udp any any eq 69 access-list 115 deny tcp any any eq 135access-list 115 deny udp any any eq 135access-list 115 deny udp any any eq 137access-list 115 deny udp any any eq 138access-list 115 deny tcp any any eq 139access-list 115 deny udp any any eq 139acces

22、s-list 115 deny tcp any any eq 445access-list 115 deny tcp any any eq 593access-list 115 deny tcp any any eq 4444access-list 115 permit ip any any interface ip access-group 115 in ip access-group 115 out IP扩展访问列表配置实例扩展访问列表配置实例(二二)利用利用利用利用ACLACL隔离冲击波病毒隔离冲击波病毒隔离冲击波病毒隔离冲击波病毒 访问列表的验证访问列表的验证显示全部的访问列表显示全部

23、的访问列表Router#show access-lists显示指定的访问列表显示指定的访问列表Router#show access-lists 显示接口的访问列表应用显示接口的访问列表应用Router#show ip interface 接口名称接口名称 接口接口编号编号IP访问列表配置注意事项访问列表配置注意事项1、一个端口在一个方向上只能应用一组、一个端口在一个方向上只能应用一组ACL2、锐捷全系列交换机可针对物理接口和、锐捷全系列交换机可针对物理接口和SVI接口应用接口应用ACL针对物理接口，只能配置入栈应用针对物理接口，只能配置入栈应用(In)针对针对SVI（虚拟（虚拟VLAN）接口，

24、可以配置入栈）接口，可以配置入栈（In）和出栈（）和出栈（Out）应用）应用3、访问列表的缺省规则是：拒绝所有、访问列表的缺省规则是：拒绝所有课程回顾课程回顾网络安全隐患网络安全隐患交换机端口安全交换机端口安全IP访问控制列表访问控制列表The End9、静夜四无邻，荒居旧业贫。3月-233月-23Friday,March 17,202310、雨中黄叶树，灯下白头人。07:41:0007:41:0007:413/17/2023 7:41:00 AM11、以我独沈久，愧君相见频。3月-2307:41:0007:41Mar-2317-Mar-2312、故人江海别，几度隔山川。07:41:0007:

25、41:0007:41Friday,March 17,202313、乍见翻疑梦，相悲各问年。3月-233月-2307:41:0007:41:00March 17,202314、他乡生白发，旧国见青山。17 三月 20237:41:00 上午07:41:003月-2315、比不了得就不比，得不到的就不要。三月 237:41 上午3月-2307:41March 17,202316、行动出成果，工作出财富。2023/3/17 7:41:0007:41:0017 March 202317、做前，能够环视四周；做时，你只能或者最好沿着以脚为起点的射线向前。7:41:00 上午7:41 上午07:41:00

26、3月-239、没有失败，只有暂时停止成功！。3月-233月-23Friday,March 17,202310、很多事情努力了未必有结果，但是不努力却什么改变也没有。07:41:0007:41:0007:413/17/2023 7:41:00 AM11、成功就是日复一日那一点点小小努力的积累。3月-2307:41:0007:41Mar-2317-Mar-2312、世间成事，不求其绝对圆满，留一份不足，可得无限完美。07:41:0007:41:0007:41Friday,March 17,202313、不知香积寺，数里入云峰。3月-233月-2307:41:0007:41:00March 17,2

27、02314、意志坚强的人能把世界放在手中像泥块一样任意揉捏。17 三月 20237:41:00 上午07:41:003月-2315、楚塞三湘接，荆门九派通。三月 237:41 上午3月-2307:41March 17,202316、少年十五二十时，步行夺得胡马骑。2023/3/17 7:41:0007:41:0017 March 202317、空山新雨后，天气晚来秋。7:41:00 上午7:41 上午07:41:003月-239、杨柳散和风，青山澹吾虑。3月-233月-23Friday,March 17,202310、阅读一切好书如同和过去最杰出的人谈话。07:41:0107:41:0107:

28、413/17/2023 7:41:01 AM11、越是没有本领的就越加自命不凡。3月-2307:41:0107:41Mar-2317-Mar-2312、越是无能的人，越喜欢挑剔别人的错儿。07:41:0107:41:0107:41Friday,March 17,202313、知人者智，自知者明。胜人者有力，自胜者强。3月-233月-2307:41:0107:41:01March 17,202314、意志坚强的人能把世界放在手中像泥块一样任意揉捏。17 三月 20237:41:01 上午07:41:013月-2315、最具挑战性的挑战莫过于提升自我。三月 237:41 上午3月-2307:41M

29、arch 17,202316、业余生活要有意义，不要越轨。2023/3/17 7:41:0107:41:0117 March 202317、一个人即使已登上顶峰，也仍要自强不息。7:41:01 上午7:41 上午07:41:013月-23MOMODA POWERPOINTLorem ipsum dolor sit amet,consectetur adipiscing elit.Fusce id urna blandit,eleifend nulla ac,fringilla purus.Nulla iaculis tempor felis ut cursus.感感 谢谢 您您 的的 下下 载载 观观 看看专家告诉