《构建安全的计算机网络》由会员分享，可在线阅读，更多相关《构建安全的计算机网络（34页珍藏版）》请在金锄头文库上搜索。
1、项目三构建安全的校园网络项目三构建安全的校园网络教学目标教学目标 通过本章学习使学员能够：通过本章学习使学员能够：1 1、了解常见的网络安全隐患及常用防范技术；、了解常见的网络安全隐患及常用防范技术；2 2、熟悉交换机端口安全功能及配置、熟悉交换机端口安全功能及配置3 3、掌握基于、掌握基于IPIP的标准、扩展的标准、扩展ACLACL技术进行网络安全访问控制。技术进行网络安全访问控制。课程议题课程议题网络安全隐患网络安全隐患常见的网络攻击：常见的网络攻击：网络攻击手段多种多样，以上是最常见的几种网络攻击手段多种多样，以上是最常见的几种攻击不可避免攻击不可避免攻击工具体系化网络攻击原理日趋复杂，
2、但攻击却变得越来越简单易操作网络攻击原理日趋复杂，但攻击却变得越来越简单易操作额外的不安全因素额外的不安全因素DMZE-MailFile TransferHTTPIntranetIntranet企业网络生产部生产部工程部工程部市场部市场部人事部人事部路由路由InternetInternet中继中继外部个体外部/组织内部个体内部/组织现有网络安全体制现有网络安全体制现有网络安全 防御体制IDS/IPS杀毒软件防火墙ACLVPN VPN 虚拟专用网虚拟专用网防火墙包过滤防病毒入侵检测课程议题课程议题交换机端口安全交换机端口安全交换机端口安全交换机端口安全 利用交换机的端口安全功能实现利用交换机的端
3、口安全功能实现 防止局域网大部分的内部攻击对用户、网络设备造成的破坏，防止局域网大部分的内部攻击对用户、网络设备造成的破坏， 如如MACMAC地址攻击、地址攻击、ARPARP攻击、攻击、IP/MACIP/MAC地址欺骗等。地址欺骗等。 交换机端口安全的基本功能交换机端口安全的基本功能 限制交换机端口的最大连接数限制交换机端口的最大连接数 端口的安全地址绑定端口的安全地址绑定交换机端口安全交换机端口安全 安全违例产生于以下情况：安全违例产生于以下情况： 如果一个端口被配置为一个安全端口，当其安全地址的数目已经达如果一个端口被配置为一个安全端口，当其安全地址的数目已经达 到允许的最大个数到允许的最
4、大个数 如果该端口收到一个源地址不属于端口上的安全地址的包如果该端口收到一个源地址不属于端口上的安全地址的包 当安全违例产生时，你可以选择多种方式来处理违例：当安全违例产生时，你可以选择多种方式来处理违例： ProtectProtect：当安全地址个数满后，安全端口将丢弃未知名地址（不是：当安全地址个数满后，安全端口将丢弃未知名地址（不是 该端口的安全地址中的任何一个）的包该端口的安全地址中的任何一个）的包 RestrictRestrict：当违例产生时，将发送一个：当违例产生时，将发送一个TrapTrap通知通知 ShutdownShutdown：当违例产生时，将关闭端口并发送一个：当违例产
5、生时，将关闭端口并发送一个TrapTrap通知通知配置安全端口配置安全端口 端口安全最大连接数配置端口安全最大连接数配置 switchport port-securityswitchport port-security ！打开该接口的端口安全功能！打开该接口的端口安全功能 switchport port-security maximum valueswitchport port-security maximum value！设置接口上安全地址的最大个数，范围是！设置接口上安全地址的最大个数，范围是1 1128128，缺省值为，缺省值为128128 switchport port-securit
6、y violationprotect|restrict |shutdownswitchport port-security violationprotect|restrict |shutdown！设置处理违例的方式！设置处理违例的方式 注意：注意：1 1、端口安全功能只能在、端口安全功能只能在accessaccess端口上进行配置。端口上进行配置。2 2、当端口因为违例而被关闭后，在全局配置模式下使用命令、当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable errdisable recovery recovery 来将接口从错误状态中恢复过来。来将接口从错误状态中恢复过来。
7、配置安全端口配置安全端口 端口的安全地址绑定端口的安全地址绑定 switchport port-security switchport port-security ！打开该接口的端口安全功能！打开该接口的端口安全功能 switchport port-security mac-address switchport port-security mac-address mac-addressmac-address ip-address ip-address ip-ip- addressaddress！手工配置接口上的安全地址！手工配置接口上的安全地址 注意：注意：1 1、端口安全功能只能在、端口安全
8、功能只能在accessaccess端口上进行配置端口上进行配置2 2、端口的安全地址绑定方式有、端口的安全地址绑定方式有: :单单MACMAC、单、单IPIP、MAC+IPMAC+IP案例（一）案例（一） 下面的例子是配置接口下面的例子是配置接口gigabitethernet1/3gigabitethernet1/3上的端口安全功能，上的端口安全功能，设置最大地址个数为设置最大地址个数为8 8，设置违例方式为，设置违例方式为protectprotect Switch# configure terminal Switch# configure terminal Switch(config)# i
9、nterface gigabitethernet 1/3 Switch(config)# interface gigabitethernet 1/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 8
10、 Switch(config-if)# switchport port-security maximum 8 Switch(config-if)# switchport port-security violation protect Switch(config-if)# switchport port-security violation protect Switch(config-if)# endSwitch(config-if)# end案例（二）案例（二） 下面的例子是配置接口下面的例子是配置接口fastethernet0/3fastethernet0/3上的端口安全功能，上的端口安全功
11、能， 配置端口绑定地址，主机配置端口绑定地址，主机MACMAC为为00d0.f800.073c00d0.f800.073c，IPIP为为192.168.12.202192.168.12.202 Switch# configure terminalSwitch# configure terminal Switch(config)# interface fastethernet 0/3Switch(config)# interface fastethernet 0/3 Switch(config-if)# switchport mode accessSwitch(config-if)# switc
12、hport mode access Switch(config-if)# switchport port-securitySwitch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-address Switch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 192.168.12.20200d0.f800.073c ip-address 192.168.12.202 Sw
13、itch(config-if)# endSwitch(config-if)# end查看配置信息查看配置信息 查看所有接口的安全统计信息，包括最大安全地址数，查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等当前安全地址数以及违例处理方式等 Switch#show port-securitySwitch#show port-security Secure Port MaxSecureAddr CurrentAddr Security Action Secure Port MaxSecureAddr CurrentAddr Security Action - - -
14、 - - - - - Gi1/3 8 1 Protect Gi1/3 8 1 Protect 查看安全地址信息查看安全地址信息Switch# show port-security addressSwitch# show port-security addressVlan Mac Address IP Address Type Port Remaining Vlan Mac Address IP Address Type Port Remaining Age(mins)Age(mins)- - - - - - - - - - - -1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8 1 1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8 1
