【文章內(nèi)容簡介】 。//指定驗證過程采用HMAC（散列消息驗證碼）功能group2//指定DH密鑰組，生成對稱的密鑰DH算法authenticationpreshare//指定設備驗證的類型為：預共享密鑰lifetimesecondes86400//配置管理連接的生存周期exit//通過DH算法實現(xiàn)密鑰交換cryptoisakmpkey6benetaddress//階段2配置//配置cryptoACL（定義觸發(fā)VPN流量的ACL）accesslist100permitip//定義階段2的傳輸集cryptoipsectransformsetr1r2ahshahmacespaesexit//配置cryptomapcryptomapr1r2map1ipsecisakmpmatchaddess100setpeersettransformsetr1r2intfa0/0//將cryptompa應用到接口cryptomapr1r2map2）R2配置enconfthosr2intfa0/0ipadnoshintfa1/0ipadnoshexit3）R3配置enconfthosr3intfa0/0ipadnoshintfa1/0ipadnoshexitiproute//階段1配置//交換ISAKMP/IKE傳輸集cryptoisakmppolicy1encryption3deshashmd5//設備身份驗證authenticationpresharegroup2exit//通過DH算法實現(xiàn)密鑰交換cryptoisakmpkey6benetaddress//階段2配置//配置cryptoACL（定義觸發(fā)VPN流量的ACL）accesslist100permitip//定義階段2的傳輸集cryptoipsectransfromsetr2r1ahshahmacespaesexit//配置cryptomapcryptomapr2r1map1ipsecisakmpsetpeersettransformsetr2r1matchaddress100intfa1/0//將cryptompa應用到接口cryptomapr2r1mapend1）驗證source來觸發(fā)VPN流量，使用showcryptoisakmppolicy查看策略是否匹配！2．使用showcryptoiskey查看密鑰是否一至3．使用showcryptoisakmpsa查看是否建立管理連接，如圖所示：已建立管理連接，4．使用showcryptoipsecsa查看第二階段的數(shù)據(jù)連接是否已建立，如圖所示：已建立數(shù)據(jù)連接，且數(shù)據(jù)已被加密。 實驗總結(jié)由于所選擇的VPN的IP地址無效，所以不能通過其正常上網(wǎng)。但是基本上步驟都已明白，并清楚了解配置VPN連接的基本步驟。實 驗 報 告組別16姓名林靖皓同組實驗者實驗項目名稱實驗五保護局域網(wǎng)（二層安全）實驗日期第12周周二7,8節(jié)教師評語實驗成績指導教師廉文娟一、實驗目的：AP通過二層交換機和AC相連，使用AP自動上線的方式，并與PC相通。二、實驗內(nèi)容：配置思路（1）配置接入交換機和AC，實現(xiàn)AP和AC互通；（2）配置AC的基本功能，包括配置AC運營商標識和ID、AC與AP之間通信的源接口，實現(xiàn)AC作為DHCPServer給STA和AP分配IP地址；（3）配置AP上線的認證方式，并把AP加入AP域中，實現(xiàn)AP正常工作；（4)配置VAP，下發(fā)WLAN業(yè)務，實現(xiàn)STA訪問WLAN網(wǎng)絡功能；（5）配置AP對應的WMM模板、射頻模板，并在射頻口下綁定射頻模板，實現(xiàn)STA與AP之間的無線通信參數(shù)配置；（6）配置WLANESS接口，并在服務集下綁定該接口，實現(xiàn)無線側(cè)報文到達AC后能夠送至WLAN業(yè)務處理模塊處理；（7）配置AP對應的服務集、安全模板和流量模板，并在服務集下綁定安全模板、流量模板、WLANESS接口，實現(xiàn)STA接入網(wǎng)絡安全策略及QoS控制；（8）配置VAP并下發(fā)，實現(xiàn)STA訪問WLAN網(wǎng)絡功能。AC代碼為：配置AC上接口，透傳管理和業(yè)務VLAN。獨立的安全調(diào)研公司 @stake [9] 最近對 Cisco Catalyst 2950 、 Catalyst 3550 、 Catalyst 4500 和 Catalyst 6500 系列交換機上采用的虛擬 LAN （ VLAN ）技術(shù)進行了一次安全檢查 [1] 。雖然此次檢查沒有暴露出嚴重的安全漏洞，但必須指出的是，如果交換機的配置不正確或不適當，則很有可能引發(fā)意外行為或發(fā)生安全問題。去年，思科系統(tǒng)公司一直致力于在若干文檔中制定安全網(wǎng)絡配置的最佳實踐準則，例如《 SAFE 藍圖》 [2] 或《 Catalyst 4500 、 5000 和 6500 系列交換機最佳實踐經(jīng)驗》 [3] 。但是，迄今為止，思科還沒有提供一本全面介紹與 VLAN 相關(guān)的所有最佳實踐經(jīng)驗、可方便客戶和現(xiàn)場工程師參考的文檔。本文的目的是全面介紹思科工程師多年積累的豐富經(jīng)驗和建議，幫助客戶和現(xiàn)場工程師正確地在思科交換機上配置 VLAN 。除此以外，本文還將通過要點說明解釋 @stake 測試的主要結(jié)果，闡述解決安全問題的方法?；景踩珳蕜t要想創(chuàng)建安全的交換網(wǎng)，必須先熟悉基本安全準則。需要特別注意的是， SAFE 最佳實踐 [2] 中強調(diào)的基本準則是設計任何安全交換網(wǎng)的基石。如果用戶不希望任何設備受損，則必須嚴格控制對該設備的訪問。不僅如此，所有網(wǎng)絡管理員都應該使用思科平臺上提供的所有實用安全工具，包括系統(tǒng)密碼的基本配置、 IP 準入過濾器和登陸檢查，以及 RADIUS 、 TACACS+ 、 Kerberos 、 SSH 、 SNMPv3 、 IDS 等更先進的工具（詳情參見 [3] ）。必須使所有基本安全準則得到滿足之后，再關(guān)注更先進的安全細節(jié)。在下面的章節(jié)中，我們將說明與 VLAN 相關(guān)的問題。虛擬LAN第二層（ L2 ）交換機指能夠?qū)⑷舾啥丝诮M成虛擬廣播域，且各虛擬廣播域之間相互隔離的設備。這些域一般稱為虛擬 LAN （ VLAN ）。VLAN 的概念與網(wǎng)絡領(lǐng)域中的其它概念相似，流量由標記或標簽標識。標識對第二層設備非常重要，只有標識正確，才能隔離端口并正確轉(zhuǎn)發(fā)接收到的流量。正如后面章節(jié)中將要介紹的那樣，缺乏標識有時是引發(fā)安全問題的原因，因而需要避免。如果設備中的所有分組與相應 VLAN 標記緊密結(jié)合，則能夠可靠區(qū)分不同域的流量。這就是 VLAN 交換體系結(jié)構(gòu)的基本前提。此時，我們可以得出這樣的結(jié)論：如果從源節(jié)點發(fā)送出去之后，分組的 VLAN 標識不能被修改，即保持端到端不變，則 VLAN 的可靠性應等價于物理安全性。關(guān)于這個問題，我們還將在下面詳細討論?？刂泼姘鍚阂庥脩籼貏e希望能夠訪問網(wǎng)絡設備的管理控制臺，因為一旦成功，就能夠容易地根據(jù)他們的需要修改網(wǎng)絡配置。在基于 VLAN 的交換機中，除與帶外端口直接連接外，管理 CPU 還可以使用一個或多個 VLAN 執(zhí)行帶內(nèi)管理。另外，它還可以使用一個或多個 VLAN 與其它網(wǎng)絡設備交換協(xié)議流量?；疚锢戆踩珳蕜t要求網(wǎng)絡設備位于可控（鎖定）空間，主要 VLAN 安全準則則要求將帶內(nèi)管理和協(xié)議流量限制在可控環(huán)境中。這個要求可以通過以下工具和最佳實踐經(jīng)驗實現(xiàn)：? 流量和協(xié)議 ACL 或過濾器? QoS 標記和優(yōu)先級劃分（控制協(xié)議由相應的服務等級或 DSCP 值區(qū)分）? 有選擇地關(guān)閉不可信端口上的第二層協(xié)議（例如關(guān)閉接入端口上的 DTP ）? 只在專用 VLAN 上配置帶內(nèi)管理端口? 避免使用 VLAN 1 傳輸任何數(shù)據(jù)流量命令示例：Catalyst 操作系統(tǒng)（ CatOS ）軟件 Cisco IOS 242。 軟件使用VLAN 1需注意的事項VLAN 1 成為特殊 VLAN 的原因是，需要第二層設備才能由默認 VLAN 分配其端口，包括其管理端口。另外， CDP 、 PAgP 和 VTP 等許多第二層協(xié)議都需要發(fā)送到干線鏈路上的特定 VLAN ?；谶@三個原因，最后選中了 VLAN 1 。為挽回 VLAN 1 的聲譽，可實施一個簡單的通用安全準則：作為一項安全規(guī)定，網(wǎng)絡管理員應該將任何 VLAN ，尤其是 VLAN 1 與并非絕對需要此 VLAN 的所有端口隔離開。因此，對于 VLAN 1 ，上述準則可以轉(zhuǎn)換成以下建議：? 不使用 VLAN 1 傳輸帶內(nèi)管理流量，使用另一專用 VLAN ，將管理流量與用戶數(shù)據(jù)和協(xié)議流量隔離開；? 撤銷 VLAN 1 中所有不需要的干線和接入端口（包括未連接端口和關(guān)閉端口）。同樣，上述規(guī)則也適用于管理 VLAN 讀操作：? 不在不需要的任何干線或接入端口上配置管理 VLAN （包括未連接端口和關(guān)閉端口）；實 驗 報 告組別16姓名林靖皓同組實驗者實驗項目名稱實驗六網(wǎng)絡攻擊實驗日期第13周周二7,8節(jié)教師評語實驗成績指導教師張重慶一、實驗目的：了解并掌握攻擊的的防御及攻擊二、實驗內(nèi)容：1.使用網(wǎng)絡安全漏洞掃描程序發(fā)現(xiàn)網(wǎng)絡安全漏洞a)使用RetinaSasser掃描程序發(fā)現(xiàn)震蕩波漏洞。b)使用震蕩波攻擊程序（）攻擊主機。命令的語法是：sasser操作系統(tǒng)類型目標IP地址端口號c).d)使用telnet命令連接到目標機。命令為：telnet目標ip地址端口號e)安裝遠程管理工具RA或木馬程序1.使用tftp命令下載程序到目標機.使用tftp命令需安裝tftp服務器軟件.2.在目標機上運行tftp：tftp–igetTFTP服務器地