《网络管理与维护案例教程第5章 网络安全管理》由会员分享,可在线阅读,更多相关《网络管理与维护案例教程第5章 网络安全管理(53页珍藏版)》请在金锄头文库上搜索。
1、第5章 网络安全管理,.,2,园区网常见安全隐患,非人为或自然力造成的硬件故障、电源故障、软件错误、火灾、水灾、风暴和工业事故等。 人为但属于操作人员无意的失误造成的数据丢失或损坏;。 来自园区网外部和内部人员的恶意攻击和破坏。,.,3,威胁,人,自然灾害,恶意,非恶意,不熟练的员工,(外部) 黑客,威胁,(内部) 不满的员工,(外部) 战争,.,4,漏洞,物理 自然 硬件 软件 媒介 通讯 人,External attacker,Corporate Assets,Internal attacker,Incorrect permissions,Virus,.,5,网络安全的演化,第一代 引导性
2、病毒,第二代 宏病毒 DOS 电子邮件 有限的黑客攻击,第三代 网络DOS攻击 混合威胁(蠕虫+病毒+特洛伊) 广泛的系统黑客攻击,下一代 网络基础设施黑客攻击 瞬间威胁 大规模蠕虫 DDoS 破坏有效负载的病毒和蠕虫,波及全球的网络基础架构 地区网络 多个网络 单个网络 单台计算机,周,天,分钟,秒,影响的目标和范围,1980s,1990s,今天,未来,安全事件对我们的威胁越来越快,.,6,现有网络安全体制,现有网络安全 防御体制,IDS 68%,杀毒软件 99%,防火墙 98%,ACL 71%,.,7,常见解决安全隐患的方案,交换机端口安全 配置访问控制列表ACL 在防火墙实现包过滤 ,.
3、,8,交换机端口安全,通过限制允许访问交换机上某个端口的MAC地址以及IP(可选)来实现严格控制对该端口的输入。当你为安全端口打开了端口安全功能并配置了一些安全地址后,则除了源地址为这些安全地址的包外,这个端口将不转发其它任何包。 此外,你还可以限制一个端口上能包含的安全地址最大个数,如果你将最大个数设置为1,并且为该端口配置一个安全地址,则连接到这个口的工作站(其地址为配置的安全地址)将独享该端口的全部带宽。 为了增强安全性,你可以将 MAC地址和IP地址绑定起来作为安全地址。,.,9,交换机端口安全,如果一个端口被配置为一个安全端口,当其安全地址的数目已经达到允许的最大个数后,如果该端口收
4、到一个源地址不属于端口上的安全地址的包时,一个安全违例将产生。 当安全违例产生时,你可以选择多种方式来处理违例: Protect:当安全地址个数满后,安全端口将丢弃未知名地址(不是该端口的安全地址中的任何一个)的包。 RestrictTrap:当违例产生时,将发送一个Trap通知。 Shutdown:当违例产生时,将关闭端口并发送一个Trap通知。,.,10,配置安全端口,interface interface-id 进入接口配置模式。 switchport mode access 设置接口为access模式(如果确定接口已经处于access模式,则此步骤可以省略)。 switchport p
5、ort-security 打开该接口的端口安全功能 switchport port-security maximum value 设置接口上安全地址的最大个数,范围是1128,缺省值为128。 switchport port-security violationprotect| restrict | shutdown 设置处理违例的方式当端口因为违例而被关闭后,你可以在全局配置模式下使用命令errdisable recovery 来将接口从错误状态中恢复过来。 switchport port-security mac-address mac-address ip-address ip-addr
6、ess 手工配置接口上的安全地址。ip-address: 可选IP 为这个安全地址绑定的地址。,.,11,端口安全的默认配置和限制,默认设置: 端口安全开关 所有端口均关闭端口安全功能 最大安全地址个数 128 安全地址 无 违例处理方式 保护(protect) 配置端口安全限制: 一个安全端口不能是一个aggregate port; 一个安全端口只能是一个access port,.,12,端口安全配置示例,下面的例子说明了如何使能接口gigabitethernet1/3上的端口安全功能,设置最大地址个数为8,设置违例方式为protect。 Switch# configure terminal
7、 Switch(config)# interface gigabitethernet 1/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 8 Switch(config-if)# switchport port-security violation protect Switch(config-if)# end,.,13,验证命令,Switch# show port-
8、security address Vlan Mac Address IP Address Type Port Remaining Age(mins) - - - - - - 1 00d0.f800.073c 192.168.12.202 Configured Gi1/3 8 1 00d0.f800.3cc9 192.168.12.5 Configured Gi1/1 7,.,14,验证命令,Switch#show port-security Secure Port MaxSecureAddr(count) CurrentAddr(count) Security Action - - - Gi1
9、/1 128 1 Restrict Gi1/2 128 0 Restrict Gi1/3 8 1 Protect,.,15,访问控制列表,标准访问控制列表 扩展访问控制列表,.,ISP,IP Access-list:访问列表或访问控制列表,简称IP ACL 当网络访问流量较大时,需要对网络流量进行管理,为什么要使用访问列表,.,17,为什么要使用访问列表,公网,互联网用户,对外信息 服务器,员工上网,拒绝,信息 服务器,不能在上班时间进行QQ,MSN等聊天,访问权限控制,.,18,为什么要使用访问列表,可以是路由器或三层交换机或防火墙,网络安全性,.,19,访问列表的应用,路由器应用访问列表对
10、流经它的数据包进行限制 1.入栈应用 2.出栈应用,E0,S0,是否允许?,协议,.,以ICMP信息通知源发送方,N,Y,选择出口 S0,路由表中是否 存在记录 ?,N,Y,查看访问列表 的陈述,是否允许 ?,Y,是否应用 访问列表 ?,N,S0,S0,访问列表的出栈应用,.,Y,拒绝,Y,是否匹配 测试条件1 ?,允许,N,拒绝,允许,是否匹配 测试条件2 ?,拒绝,是否匹配 最后一个 测试条件 ?,Y,Y,N,Y,Y,允许,被系统隐 含拒绝,N,一个访问列表多个测试条件,.,22,IP ACL的基本准则,一切未被允许的就是禁止的。 路由器或三层交换机缺省允许所有的信息流通过; 而防火墙缺省
11、封锁所有的信息流,然后对希望提供的服务逐项开放。 按规则链来进行匹配 使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配 从头到尾,至顶向下的匹配方式 匹配成功马上停止 立刻使用该规则的“允许、拒绝”,.,源地址,TCP/UDP,数据,IP,eg.HDLC,1-99 号列表,IP标准访问列表,.,目的地址,源地址,协议,端口号,100-199号列表,TCP/UDP,数据,IP,eg.HDLC,IP扩展访问列表,.,0表示检查相应的地址比特 1表示不检查相应的地址比特,0,0,0,0,0,0,0,0,反掩码,.,1.定义标准ACL 编号的标准访问列表 Router(config)#ac
12、cess-list permit|deny 源地址 反掩码 命名的标准访问列表 ip access-list standard name deny source source-wildcard|host source|any orpermit source source-wildcard|host source|any,2.应用ACL到接口 Router(config-if)#ip access-group |name in | out ,IP标准访问列表的配置,.,27,access-list 1 permit 172.16.0.0 0.0.255.255 (access-list 1 de
13、ny 0.0.0.0 255.255.255.255) interface fastethernet 0 ip access-group 1 out interface fastethernet 1 ip access-group 1 out,172.16.3.0,172.16.4.0,F0,S0,F1,172.17.0.0,IP标准访问列表配置实例,.,2.应用ACL到接口 Router(config-if)#ip access-group in | out ,1.定义扩展的ACL 编号的扩展ACL Router(config)#access-list permit /deny 协议 源地址
14、 反掩码 源端口 目的地址 反掩码 目的端口 命名的扩展ACL ip access-list extended name deny|permit protocol source source-wildcard |host source| anyoperator port destination destination-wildcard |host destination |anyoperator port,IP扩展访问列表的配置,.,下例显示如何创建一条Extended IP ACL,该ACL有一条ACE,用于允许指定网络(192.168.x.x)的所有主机以HTTP访问服务器172.168.
15、12.3,但拒绝其它所有主机使用网络。 Switch (config)# ip access-list extended allow_0 xc0a800_to_172.168.12.3 Switch (config-std-nacl)# permit tcp 192.168.0.0 0.0.255.255 host 172.168.12.3 eq www Switch (config-std-nacl)#end Switch # show access-lists,IP扩展访问列表配置实例,.,30,扩展访问列表的应用,access-list 115 deny udp any any eq 69 access-list 115 deny tcp any any eq 135 access-list 115 deny udp any any eq 135 access-list 115 deny udp any any eq 137 access-list 115 deny udp any any