2網(wǎng)絡(luò)設(shè)備的安全與應(yīng)用實(shí)踐(文件)
【正文】 ? openssl的安裝 ? popt的安裝 ? popt的安裝 ? 安裝 keepalived ? 安裝 keepalived 路由器安全配置與應(yīng)用實(shí)踐 ? 路由器的自身安全 ； ? 路由器訪問控制的安全策略 ； ? 路由協(xié)議的安全配置 ； ? 路由器的網(wǎng)絡(luò)安全配置 ； ? 禁止路由器的部分網(wǎng)絡(luò)服務(wù)的安全配置 ； ? 路由器實(shí)現(xiàn)多設(shè)備控制端口訪問的配置 ； ? 實(shí)現(xiàn)精確控制訪問的路由器配置 ； ? 路由器的其他安全配置 。 ? 路由協(xié)議的安全配置 ? RIP路由協(xié)議驗(yàn)證 ? OSPF路由協(xié)議驗(yàn)證 OSPF有三種認(rèn)證方法，簡單口令認(rèn)證、 MD5認(rèn)證和Null認(rèn)證。訪問列表可用于入口（Inbound），也可用于出口（ Outbound）。 相同方法進(jìn)行 2號連接； ? 輸入 show sessions命令，可列出用戶當(dāng)前的會話。 ? 工作站配置 (1) 進(jìn)入 “ 開始 ”→“ 設(shè)置 ”→“ 網(wǎng)絡(luò)連接 ”→“ 本地連接 ” ，點(diǎn)擊“ 屬性 ” 后進(jìn)入 “ 本地連接屬性 ” 。這一步對于能訪問外界機(jī)器至關(guān)重要，因?yàn)樵诰钟蚓W(wǎng)中，路由器是與外界相連的唯一出口。 ? 交換機(jī)功能 ?交換機(jī)可看作是一個(gè)具有流量控制的網(wǎng)橋，它是由背板、端口、緩沖區(qū)、邏輯控制單元和交叉矩陣等部件組成 ； ?傳統(tǒng)以太網(wǎng)交換機(jī)是第二層交換機(jī)，第二層交換機(jī)是一個(gè)可以將發(fā)送端地址與接收端地址連接起來的網(wǎng)絡(luò)設(shè)備。 CAM維護(hù)了一個(gè)精確和有用的轉(zhuǎn)發(fā)數(shù)據(jù)庫，即 MAC地址表 。 在黑客攻擊和病毒侵?jǐn)_下，要能夠繼續(xù)保持其高效的數(shù)據(jù)轉(zhuǎn)發(fā)速率，不受到攻擊的干擾； ? 能對訪問和存取網(wǎng)絡(luò)信息的用戶進(jìn)行區(qū)分和權(quán)限控制 ； ? 配合其他網(wǎng)絡(luò)安全設(shè)備，對非授權(quán)訪問和網(wǎng)絡(luò)攻擊進(jìn)行監(jiān)控和阻止 。 ? 流量控制 安全交換機(jī)的流量控制技術(shù)把流經(jīng)端口的異常流量限制在一定的范圍內(nèi)，避免交換機(jī)的帶寬被無限制濫用。 VLAN限制了各個(gè)不同 VLAN之間的非授權(quán)訪問，而且可以設(shè)置 IP地址與 MAC地址綁定功能限制用戶非授權(quán)訪問網(wǎng)絡(luò) ； ? 基于 ACL的防火墻功能 ACL通過對網(wǎng)絡(luò)資源的訪問控制，確保網(wǎng)絡(luò)設(shè)備不被非法訪問或被用作攻擊跳板。實(shí)現(xiàn)這種聯(lián)動，需要交換機(jī)支持認(rèn)證、端口鏡像、強(qiáng)制流分類、進(jìn)程數(shù)控制、端口反向查詢等功能。 ? MAC地址表及相關(guān)信息的設(shè)置 ? 顯示 MAC地址表 ? MAC地址表中的地址由永久地址、限制性靜態(tài)地址和動態(tài)地址三種地址組成 ； ? 在 Switch show MACaddresstable命令中即可看到 MAC地址表 ； ? MAC地址表由地址、源端口表、目的端口和類型組成 。 ? 通過 MAC地址來限制端口流量 ? 35501conf t ? 35501(config)int f0/1 ? 35501(configif)switchport trunk encapsulation dot1q ? 35501(configif)switchport mode trunk /配置端口模式為 trunk ?35501(configif)switchport portsecurity maximum 100 /允許此端口通過的最大 MAC地址數(shù)目為 100。 ? 可靠的 MAC地址配置類型 ? 靜態(tài)可靠的 MAC地址 ? Switchconfig terminal ? Switch(config)interface interfaceid 進(jìn)入需要配置的端口 ? Switch(configif)switchport mode Access 設(shè)置為交換模式 ? Switch(configif)switchport portsecurity 打開端口安全模式 ? Switch(configif)switchport portsecurity violation {protect | restrict | shutdown } ?動態(tài)可靠的 MAC地址 ? 交換機(jī)默認(rèn)的類型 ； ? 在這種類型下，交換機(jī)會動態(tài)學(xué)習(xí) MAC地址，但是該配置只會保存在 MAC地址表中，不會保存在運(yùn)行配置文件中，并且交換機(jī)重新啟動后，這些 MAC地址表中的 MAC地址會被自動清除。提到物理安全時(shí)要考慮兩方面的問題，一是客戶機(jī)整機(jī)被竊；而是未授權(quán)人員通過客戶機(jī)獲得對網(wǎng)絡(luò)的訪問權(quán) ； ? 管理員訪問權(quán)限 管理員賬號，通常是指 Windows系統(tǒng)中的Administrator或 Unix系統(tǒng)中的 root。 , March 8, 2023 ? 雨中黃葉樹，燈下白頭人。 :55:4709:55:47March 8, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國見青山。 2023年 3月 8日星期三 9時(shí) 55分 47秒 09:55:478 March 2023 ? 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 :55:4709:55Mar238Mar23 ? 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 。 , March 8, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。勝人者有力，自勝者強(qiáng)。 2023年 3月 8日星期三 9時(shí) 55分 47秒 09:55:478 March 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 3月 8日星期三 上午 9時(shí) 55分 47秒 09:55: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 :55:4709:55Mar238Mar23 ? 1越是無能的人，越喜歡挑剔別人的錯(cuò)兒。 2023年 3月 8日星期三 9時(shí) 55分 47秒 09:55:478 March 2023 ? 1空山新雨后，天氣晚來秋。 :55:4709:55:47March 8, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 , March 8, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 。 :55:4709:55Mar238Mar23 ? 1故人江海別，幾度隔山川。管理員可以對系統(tǒng)配置進(jìn)行全局修改，能夠增加和刪除其他系統(tǒng)賬號； ? 遠(yuǎn)程登錄 用戶不應(yīng)該從網(wǎng)絡(luò)外部對他們的機(jī)器進(jìn)行遠(yuǎn)程訪問 ； ? 客戶機(jī)安全設(shè)置 ? 配合使用服務(wù)器的 DHCP功能 ? 合理使用代理 ? 臺式機(jī)和筆記本電腦的區(qū)別管理 ? 筆記本電腦也更做備份。隨著一些安全特性如訪問控制列表（ ACL）和 許多廠商產(chǎn)品的標(biāo)準(zhǔn)，一些使用者開始把它們作為網(wǎng)絡(luò)設(shè)施安全的一個(gè)單獨(dú)增加的層次 ； ? ACL通過對網(wǎng)絡(luò)資源進(jìn)行訪問輸入和輸出控制，確保網(wǎng)絡(luò)設(shè)備不被非法訪問或被用作攻擊跳板 。 ? 35501conf t ? 35501(config)macaddresstable static 0090F51079C1 vlan 2 drop /在相應(yīng)的 VLAN丟棄流量。設(shè)置命令如下： Switch(config)MACaddresstable permanent[MAC Address][type slot/port] ? 設(shè)置限制性靜態(tài)地址 限制性靜態(tài)地址不但繼承了永久地址的所有特性，更進(jìn)一步嚴(yán)格限制了源端口，安全性得到進(jìn)一步增強(qiáng)。這樣配備安全交換機(jī)的方式就是核心把權(quán)力下放到邊緣，在各個(gè)邊緣就開始實(shí)施安全交換機(jī)的性能，把入侵和攻擊以及可疑流量阻擋在邊緣之外，確保全網(wǎng)的安全 。每條規(guī)則根據(jù)數(shù)據(jù)包的屬性 (如源地址、目的地址和協(xié)議 )允許或拒絕數(shù)據(jù)包通過 。 ? 虛擬局域網(wǎng) VLAN VLAN可以在二層或三層交換機(jī)上實(shí)現(xiàn)有限的廣播域。 ? ? 。這就是所謂的轉(zhuǎn)發(fā)與過濾 ； ? 第二層的交換機(jī)無法控制廣播域 。 ? 當(dāng)交換機(jī)收到一個(gè)目標(biāo)地址未知的數(shù)據(jù)包（即MAC地址不能在其 MAC地址表中找到）時(shí)，交換機(jī)會把 IP數(shù)據(jù)包從它每一個(gè)端口中送出去。 (6) 最后單擊 “ 確定 ” 按鈕，重新啟動計(jì)算機(jī) ? 路由器的其他安全配置 ? IP欺騙的簡單防護(hù) 為防止對內(nèi)部網(wǎng)絡(luò)的 IP欺騙，可過濾這樣一些 IP地址，如： Router(config) accesslist 100 deny ip any log； ? TCP SYN的防范防護(hù) 通過訪問列表防范 TCP SYN； 通過 TCP截獲防范 TCP SYN； ? Smurf進(jìn)攻的防范 Router(config
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1