《网络解决方案.doc》由会员分享，可在线阅读，更多相关《网络解决方案.doc（53页珍藏版）》请在金锄头文库上搜索。
1、第一部分 配置原则概述随着网络建设和应用的不断深入，网络安全问题正逐渐成为一个突出的管理问题。AR18系列路由器通过多种手段和配置可以控制和管理网络的流量，能够有效地实施各种防攻击策略。尤其在网吧这种复杂的网络环境中，全面合理的配置能够大大提高网络的稳定性和可靠性。由于网吧上网人员数量多、构成复杂、流动性大，因此网络流量具有流量大、协议种类多、流量复杂等特点。一般网吧局域网内均有一定程度主机感染病毒，同时也很容易被用来发起网络攻击，或者被他人攻击，这就对网吧中的核心设备网关提出了较高的要求。本文以AR18系列路由器为例讲解网关在网吧应用中需要注意的配置事项，同时给出了各种组网情况下的典型配置。
2、1 需要注意的配置事项1.1 配置ACL对非法报文进行过滤ACL 是每个安全策略的组成部份，控制和监视什么数据包进入和离开网络几乎是网络安全的定义。尽管路由器的工作是进行数据包的转发而不是阻止它。但是有些数据包我们必须阻止它。1.1.1 进行源IP和目的IP过滤至少应该在所有的接口上对入方向的报文进行过滤。在RFC2827/BCP 38 (Best Current Practice ) 中高度建议使用入口过滤，这不仅可以使你的网络安全，而且可以使其它的网络不会被来自你的网络的伪装的源IP给攻击。许多的网络攻击者使用伪装的源IP地址来隐藏它们的身份，在网络使用了入口过滤功能后，也更加容易定位网络
3、攻击者，因为攻击者必须使用真实的源IP地址。例如：假设局域网接口的IP地址为192.168.1.0/24，广域网接口的IP地址为162.1.1.0/30，在局域网接口可以设置：acl number 3003rule 2000 permit ip source 192.168.1.0 0.0.0.255 rule 3000 deny ip 在广域网接口可以设置：acl number 3001rule 2000 permit ip destination 162.1.1.0 0.0.0.3 rule 2001 permit ip destination 192.168.1.0 0.0.0.255
4、rule 3000 deny ip 在广域网接口也可以通过静态包过滤结合ASPF进行更精确的包过滤和攻击防范。例如：#acl number 3011 rule 160 permit icmp icmp-type echo rule 161 permit icmp icmp-type echo-reply rule 162 permit icmp icmp-type ttl-exceeded rule 206 permit tcp destination-port eq telnet rule 3000 deny ip# interface Ethernet1/0 ip address 172.
5、30.79.6 255.255.255.252 firewall packet-filter 3011 inbound firewall aspf 1 outbound# 注意事项：由于目前ASPF对内存和性能的影响较大，网吧应用环境中不建议在AR18系列路由器上进行配置。在所有的出报文都需要进行NAT的情况下一般也没有必要配置ASPF。1.1.2 限制ICMP报文ICMP 报文是另一种我们需要关心的数据包。大量的攻击和病毒使用ICMP报文作为攻击手段。但实际上internet是使用的ICMP绝大部分是ping和traceroute。大量的其它icmp类型并不使用。因此，实际上我们可以仅允许I
6、CMP 的ping echo 和 ping reply 及traceroute 所需要的TTL 开放。其它的均可以关闭。例如：acl number 3001rule 160 permit icmp icmp-type echo rule 161 permit icmp icmp-type echo-reply rule 162 permit icmp icmp-type ttl-exceeded rule 165 deny icmp 1.1.3 限制netbios协议端口在现今的网络上，充斥着大量的网络扫描。 基于UDP 137, 138 端口的扫描是常见的扫描，UDP 137和UDP138是
7、netbios 的数据报和名字服务。通常情况下，进入到路由器的137和138包是广播包，而路由器在默认情况下是不转发这些广播包的。但在某些情况下，一些扫描工具扫描UDP 137 和UDP138的端口，以图找出主机上的共享文件夹。这种情况下，进入路由器的数据包会是unicast的137和138，而且通常目的地址不停变化。因此我们可以将这些UDP 138和138的数据包通过ACL 挡断。保护用户和网络的安全。例如：acl number 3001rule 31 deny udp destination-port eq netbios-ns rule 41 deny udp destination-p
8、ort eq netbios-dgm rule 51 deny udp destination-port eq netbios-ssn 1.1.4 限制常见病毒使用的端口一般网吧中存在大量的“冲击波”、“震荡波”等病毒，这类病毒会不断地变化源IP或目的IP进行扫描和发送攻击数据，这会极大地消耗网络设备的资源。笔者曾在一个网吧的实际环境中发现56的上行报文都是“震荡波”病毒的扫描报文。这些病毒一般使用固定的端口，比如TCP/135、TCP/4444、UDP/1434、TCP/5554、TCP/9996等，通过ACL对匹配这些目的端口的报文进行过滤会大大提高网络设备的安全性。例如：acl numb
9、er 3001rule 10 deny tcp destination-port eq 445 / Worm.Blaster rule 11 deny udp destination-port eq 445 / Worm.Blaster rule 20 deny tcp destination-port eq 135 / Worm.Blaster rule 21 deny udp destination-port eq 135 / Worm.Blaster rule 30 deny tcp destination-port eq 137 rule 40 deny tcp destination
10、-port eq 138 rule 50 deny tcp destination-port eq 139 / Worm.Blaster rule 61 deny udp destination-port eq tftp / Worm.Blaster rule 70 deny tcp destination-port eq 593 / Worm.Blaster rule 80 deny tcp destination-port eq 4444 / Worm.Blaster rule 90 deny tcp destination-port eq 707 /Nachi Blaster-D rul
11、e 100 deny tcp destination-port eq 1433 rule 101 deny udp destination-port eq 1433 rule 110 deny tcp destination-port eq 1434 rule 111 deny udp destination-port eq 1434 / SQL Slammer rule 120 deny tcp destination-port eq 5554 / Sasser rule 130 deny tcp destination-port eq 9996 / Sasser1.1.5 关闭没有使用的端
12、口网络中每时每刻都存在大量的扫描报文，扫描软件一般都会先探测目的主机开放了哪些端口。对于常用的应用程序，如www、ftp、tftp等，如果局域网内并没有机器开放这些服务，可以在广域网接口通过ACL对匹配这些目的端口的报文进行过滤。例如：acl number 3001rule 200 deny tcp destination-port eq www rule 202 deny tcp destination-port eq ftp rule 204 deny tcp destination-port eq 33891.2 NAT配置注意事项需要使用NAT转换地址池时，应尽量缩小NAT转换地址池的
13、大小，因为地址池越大，占用的内存空间就可能会越大，大的地址池对于内存较小的设备很可能会导致内存耗尽。AR系列路由器上每个NAT转换地址可以支持50000个会话，网吧每台机器正常上网时平均会创建30条会话，因此一般情况下地址池配置1个NAT转换地址就可以满足需求。建议在AR18系列路由器上配置NAT地址池时只配置1个IP地址。例如：nat address-group 1 218.27.192.1 218.27.192.11.3 路由配置注意事项RFC1918中指定的保留的私有地址和其他已知的私有地址不应该存在于现有的internet网络上。可以通过黑洞路由进行过滤。避免局域网中存在攻击时占用大量
14、的快转表项或者NAT表项。例如：ip route-static 10.0.0.0 255.0.0.0 NULL 0 preference 60 ip route-static 169.254.0.0 255.255.0.0 NULL 0 preference 60 ip route-static 172.16.0.0 255.240.0.0 NULL 0 preference 60 ip route-static 192.168.0.0 255.255.0.0 NULL 0 preference 60 ip route-static 198.18.0.0 255.254.0.0 NULL 0
15、preference 601.4 进行IP-MAC地址绑定由于网吧上网人员比较复杂，可能有人有意或无意地更改IP地址，或者使用网络执法官等软件进行恶意地破坏，通过在网关和客户机上都进行IP-MAC地址绑定（静态ARP），可以有效地防止这类以ARP欺骗为基础的攻击。在网关上可以通过arp static命令对所有的客户机进行静态ARP设置。在客户机上可以建立一个批处理文件放到启动组里，批处理文件的内容就是对网关进行IP-MAC绑定，这样每次启动就都会自动进行设置。客户机设置静态ARP的实例：echo offarp s 192.168.1.1 00-0f-e2-21-a0-011.5 限制P2P应用（根据实际情况可选）P2P应用对于网吧带宽来说是致命杀手，一个P2P客户端就有可能占用总带宽的90以上，这会严重影响网吧的其他用户的正常上网，尤其是玩在线游戏的用户。限制P2P应用有多种方式可以选择，但目
