2網(wǎng)絡(luò)設(shè)備的安全與應(yīng)用實踐-文庫吧
2025-02-07 23:13 本頁面
【正文】 由器間共享，控制虛擬路由器 IP地址的 VRRP路由器稱為主路由器，其它的則為備份路由器。主路由器負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包到這些虛擬 IP地址 ； ? VRRP協(xié)議中優(yōu)先級范圍是 0255。若 VRRP路由器的 IP地址和虛擬路由器的接口 IP地址相同，則稱該虛擬路由器作VRRP組中的 IP地址所有者 ； ? 為了保證 VRRP協(xié)議的安全性，提供了明文認(rèn)證和 IP頭認(rèn)證兩種安全認(rèn)證措施 。 ? VRRP是一種容錯協(xié)議，它為具有多播或廣播能力的局域網(wǎng)而設(shè)計。 VRRP將局域網(wǎng)的一組路由器（包括一個主路由器和若干個備份路由器）組織成一個虛擬路由器，稱之為一個備份組 ； ? 虛擬路由器擁有自己的 IP地址 ，備份組內(nèi)的路由器也有自己的 IP地址（如 Master的 IP地址為 ， Backup的 IP地址為 ）。局域網(wǎng)內(nèi)的主機(jī)僅僅知道這個虛擬路由器的 IP地址而并不知道具體的 Master路由器的 IP地址以及 Backup路由器的 IP地址，它們將自己的缺省路由下一跳地址設(shè)置為該虛擬路由器的 IP地址。于是，網(wǎng)絡(luò)內(nèi)的主機(jī)就通過這個虛擬的路由器來與其它網(wǎng)絡(luò)進(jìn)行通信 。 ? Linux下的 VRRP組件 在 Linux操作系統(tǒng)下可以實現(xiàn)非常穩(wěn)定的VRRP功能，實現(xiàn)該功能的軟件是keepalived。 Keepalived的 VRRP功能是從Linux中 VRRPD發(fā)展而來的 。 ? Keepalived的安裝 ? openssl的安裝 ? popt的安裝 ? popt的安裝 ? 安裝 keepalived ? 安裝 keepalived 路由器安全配置與應(yīng)用實踐 ? 路由器的自身安全 ； ? 路由器訪問控制的安全策略 ； ? 路由協(xié)議的安全配置 ； ? 路由器的網(wǎng)絡(luò)安全配置 ； ? 禁止路由器的部分網(wǎng)絡(luò)服務(wù)的安全配置 ； ? 路由器實現(xiàn)多設(shè)備控制端口訪問的配置 ； ? 實現(xiàn)精確控制訪問的路由器配置 ； ? 路由器的其他安全配置 。 ? 路由器的自身安全 ? 用戶口令安全 全局配置模式下使用命令 service passwordencryption進(jìn)行配置，該命令可將明文密碼變?yōu)槊芪拿艽a，保證用戶口令的安全 ； ? 配置登錄安全 路由器的配置一般有控制口（ Console）配置、 Tel配置和 SNMP配置三種方法 ， 為了保證使用 Tel配置路由器的安全，僅讓路由器管理員的工作站登錄而不讓其他機(jī)器登錄到路由器，以保證路由器配置的安全 。 ? 路由器訪問控制的安全策略 ? 嚴(yán)格控制可以訪問路由器的管理員；對路由器的任何一次維護(hù)都需要記錄備案，要有完備的路由器的安全訪問和維護(hù)記錄日志 ； ? 建議不要遠(yuǎn)程訪問路由器 ； ? 要嚴(yán)格地為 IOS（ Cisco網(wǎng)際操作系統(tǒng)）作安全備份，及時升級和修補 IOS軟件，并迅速為 IOS安裝補丁 ； ? 要為路由器的配置文件作安全備份 ； ? 為路由器配備 UPS設(shè)備，或者至少要有冗余電源。 ? 為進(jìn)入特權(quán)模式設(shè)置強(qiáng)壯的密碼，可采用 enable secret（不要采用 enable password）命令進(jìn)行設(shè)置，并且啟用 Service passwordencryption； ? 嚴(yán)格控制 CON端口的訪問 ； ? 如果不使用 AUX端口，則應(yīng)禁止該端口，使用如下命令即可（默認(rèn)情況下是未被啟用） ； ? 若要對權(quán)限進(jìn)行分級，采用權(quán)限分級策略 。 ? 路由協(xié)議的安全配置 ? RIP路由協(xié)議驗證 ? OSPF路由協(xié)議驗證 OSPF有三種認(rèn)證方法，簡單口令認(rèn)證、 MD5認(rèn)證和Null認(rèn)證。在缺省時 OSPF使用 Null認(rèn)證，也就是路由交換不通過認(rèn)證 ? EIGRP路由協(xié)議的驗證 EIGRP協(xié)議僅僅支持 MD5認(rèn)證。認(rèn)證的配置有三個步驟，一是在端口配置模式使 MD5認(rèn)證模式生效，二是密鑰鏈要一致，三是給密鑰鏈配置密鑰。 ? 簡單網(wǎng)管協(xié)議 SNMP的安全 ? 路由器的網(wǎng)絡(luò)安全配置 ? 物理結(jié)構(gòu)的布局 如果路由器有一個以上的局域網(wǎng)端口，或幾臺路由器并行使用，可以根據(jù)訪問性質(zhì)進(jìn)行分類 ； ? 路由器的簡單防火墻功能 常用的路由器一般都有訪問控制列表 ACL（ Access List），即包過濾防火墻功能。訪問列表可用于入口（Inbound），也可用于出口（ Outbound）。它可對源 IP地址和目的 IP地址以及協(xié)議端口號進(jìn)行過濾，用它可以控制哪些網(wǎng)絡(luò)可以訪問什么服務(wù)器資源 。 ? 禁止路由器的部分網(wǎng)絡(luò)服務(wù)的安全配置 ? 禁止 Finger服務(wù) Router(config) no ip finger Router(config) no service finger ? 禁止 TCP、 UDP Small服務(wù) Router(config) no service tcpsmallservers Router(config) no service udpsmallservers ? 建議禁止 HTTP服務(wù) Router(config) no ip server ? 禁止 IP Source Routing Router(config) no ip sourceroute ? 禁止 ARPProxy服務(wù) Router(config) no ip proxyarp Router(configif) no ip proxyarp ? 禁止 IP Directed Broadcast Router(config) no ip directedbroadcast ? 禁止 IP Classless Router(config) no ip classless ? 禁止 ICMP協(xié)議的 IP Unreachables、 IP Redirects和 IP Mask Replie Router(config) no ip unreachables Router(config) no ip Redirects Router(config) no ip Mask Replies ? 路由器實現(xiàn)多設(shè)備控制端口訪問的配置 ? 開始配置 先用 Cisco 2511路由器的一個異步串行端口連接到用戶的網(wǎng)絡(luò)核心交換機(jī)、路由器和防火墻的每一個端口（這些設(shè)備各自同樣需要具備串行控制口）；然后再按照 ip host命令對新的 Cisco終端服務(wù)器進(jìn)行配置 ； ? 管理多個連接 ? 在命令行中輸入主機(jī)名稱，即使用一個 IP主機(jī) Tel到用戶配置過的設(shè)備上，這是 1號連接。在沒有斷開連接的情況下回到命令行，按下 [Ctrl]＋ [Shift]＋ 6，然后按下 x，將顯示控制臺服務(wù)器提示符。 相同方法進(jìn)行 2號連接； ? 輸入 show sessions命令，可列出用戶當(dāng)前的會話。假設(shè)用戶有兩個會話：一個到第一臺路由器，一個到第二臺路由器。如果要取消其中某個會話，可輸入 disconnect X， X為（ “1” 或 “2” ）。若要轉(zhuǎn)到某個會話，輸入 session number（ “1” 或 “2” ）即可。 ? 工作站配置 (1) 進(jìn)入 “ 開始 ”→“ 設(shè)置 ”→“ 網(wǎng)絡(luò)連接 ”→“ 本地連接 ” ，點擊“ 屬性 ” 后進(jìn)入 “ 本地連接屬性 ” 。 (2) 選定 “TCP/IP 協(xié)議 ” （如圖 ），雙擊之或點擊 “ 屬性 ”按鈕，出現(xiàn) “TCP/IP 屬性 ” 窗口，如圖 。 (3) 選定 “ 使用下面的 IP地址 ” ，在 “IP 地址 ” 和 “ 子網(wǎng)掩碼 ” 框中填寫 IP地址（本例為 ）和子網(wǎng)掩碼（ ）。 (4) 在 “ 網(wǎng)關(guān) ” 項中，將路由器的 E0地址（本例為 ）填入，作為默認(rèn)網(wǎng)關(guān)。這一步對于能訪問外界機(jī)器至關(guān)重要，因為在局域網(wǎng)中，路由器是與外界相連的唯一出口。 (5) 選定 “ 使用下面的 DNS服務(wù)器地址 ” 項，填寫 “ 首選 DNS服務(wù)器 ”和 “ 備用 DNS服務(wù)器 ” 。 (6) 最后單擊 “ 確定 ” 按鈕，重新啟動計算機(jī) ? 路由器的其他安全配置 ? IP欺騙的簡單防護(hù) 為防止對內(nèi)部網(wǎng)絡(luò)的 IP欺騙，可過濾這樣一些 IP地址，如： Router(config) accesslist 100 deny ip any log； ? TCP SYN的防范防護(hù) 通過訪問列表防范 TCP SYN； 通過 TCP截獲防范 TCP
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1