【導(dǎo)讀】服務(wù)的并與因特網(wǎng)連接的校園內(nèi)的局域網(wǎng)絡(luò)環(huán)境，是一種教育科研網(wǎng)絡(luò)。進(jìn)入二十一世紀(jì)，全球信息化、網(wǎng)絡(luò)化的。教育資源共享是時(shí)代的需要。用好校園網(wǎng)，是貫徹鄧小平同志"三個(gè)面向"指示精神，實(shí)現(xiàn)。教育現(xiàn)代化的需要。

　　

【正文】 還可以用來完成以自身為中心的流量控制和過濾功能并實(shí)現(xiàn)一定的安全功能，如圖 31 所示。 圖 31 廣域網(wǎng)接入路由器 Router 配置接入路由器 Router 的基本參數(shù) 對(duì)接入路由器的基本參數(shù)的配置步驟與對(duì)接入層交換機(jī) 的基本參數(shù)的配置類似。這里，只給出實(shí)際的配置步驟，不再給出具體的解釋，如圖 32 所示。 Routerconf t Enter configuration mands， one per with CNTL/Z. Router（ config） enable secret liumaochen Router（ config） line con 0 Router（ configline） logging synchronous Router（ configline） exectimeout 0 Router（ configline） line vty 0 4 Router（ configline） password 123 Router（ configline） login Router（ configline） exectimeout 0 Router（ configline） exit Router（ config） no ip domainlookup 圖 32 配置接入路由器 Router 的基本參數(shù) 配置接入路由器的各個(gè)接口參數(shù) 對(duì)接入路由器的各個(gè)接口參數(shù)的配置主要是對(duì)接口 fastether0/0 以及接口 serial0/0安徽中澳科技職業(yè)學(xué)院 21 的 ip 地址、子網(wǎng)掩碼的配置。如圖 33 所示，顯 示了為接入路由器的各個(gè)接口設(shè)置 ip 地址、子網(wǎng)掩碼。 Router（ config） interface fastether0/0 Router（ configif） ip address Router（ configif） no shutdown Router（ configif） interface serial0/0 Router（ configif） ip Router（ configif） clock rate 64000 Router（ configif） no shutdown 圖 33 設(shè)置接入路由器的各個(gè)接口參數(shù) 配置接入路由器的路由功能 在接入路由器上需要定義兩個(gè)方向上的路由：到校園網(wǎng)內(nèi)部的靜態(tài)路由以及到Inter 上的缺省路由。 到 Inter 上的路由需要定義一定缺省路由，如圖 34 所示。其中，下一跳指定從本路由的接口 serial0/0 送出。 Router（ config） ip route 圖 34 定義到 Inter 的缺省路由 到校園內(nèi)部的路由條目可以經(jīng)過路由匯總后形成兩條路由條目。如圖 35 所示。 Router（ config） ip route Router（ config） ip route 圖 35 定義到校園網(wǎng)內(nèi)部的路由 配置接入路由器上的 NAT 由于目前 ip 地址資源非常稀缺，不可能給校園網(wǎng)內(nèi)部的所有工作站都分配一個(gè)共有ip 地址。為了解決所有工作站訪問 Inter 的需要，必須使用 NAT 技術(shù)。 為了接入 Inter，本校園網(wǎng)向當(dāng)?shù)?ISP 申請(qǐng)了 5 個(gè) ip 地址。此 ip 地址分配給接入路由器的串行接口并作用 NAT。 NAT 的配置可以分為以下幾個(gè)步驟： 定義 NAT 內(nèi)部、外部接口 如圖 36 所示定義 NAT 內(nèi)部、外部接口 Router（ config） interface fasteher0/0 Router（ configif） ip nat inside Router（ configif） interface serial 0/0 Router（ configif） ip nat outside 圖 36 定義 NAT 內(nèi)部、外部接口 安徽中澳科技職業(yè)學(xué)院 22 定義允許進(jìn)行 NAT 的工作站的內(nèi)部局部 ip 地址范圍 Router（ config） ip accesslist 1 permit 圖 37 定義工作站的內(nèi)部局部地址范圍 為服務(wù)器定義 靜態(tài)地址轉(zhuǎn)換 圖 38 顯示了如何為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static Router（ config） ip nat inside source static 圖 38 為服務(wù)器定義靜態(tài)地址轉(zhuǎn)換 為其他工作站定義復(fù)用地址轉(zhuǎn)換 Router（ config） ip nat inside source list 1 interface serial0/0 overload 圖 39 為工作站定義復(fù)用地址轉(zhuǎn)換 配置接入路由器上的 ACL 路由器是外網(wǎng)進(jìn)入校園網(wǎng)內(nèi)網(wǎng)的第一道關(guān)卡，是網(wǎng)絡(luò)防御的前沿陣地。路由器上的訪問控制列表是保護(hù)內(nèi)網(wǎng)安全的有效手段。一個(gè)設(shè)計(jì)良好的訪問控制列表不僅可以起到控制網(wǎng)絡(luò)流量、流向的作用，還可以在不增加網(wǎng)絡(luò)系統(tǒng)軟、硬件投資的情況下完成一般軟、硬件防火產(chǎn)品的功能。由于路由器介 于企業(yè)內(nèi)網(wǎng)和外網(wǎng)之間，是外網(wǎng)與內(nèi)網(wǎng)進(jìn)行通信時(shí)的第一道屏障，所以即使在網(wǎng)絡(luò)系統(tǒng)安裝了防火墻產(chǎn)品后，仍然有必要對(duì)路由器的訪問控制列表進(jìn)行 縝密的設(shè)計(jì)，來對(duì)企業(yè)網(wǎng)包括防火墻本身實(shí)施保護(hù)。 在本實(shí)例設(shè)計(jì)中，將針對(duì)服務(wù)器以及內(nèi)網(wǎng)工作站的安全給出廣域網(wǎng)接入路由器上ACL 的配置方案。 在網(wǎng)絡(luò)環(huán)境中普遍存在著一些非常重要的、影響服務(wù)器群安全的隱患。在絕大多數(shù)網(wǎng)絡(luò)環(huán)境的實(shí)現(xiàn)中它們都是應(yīng)該對(duì)外加以屏蔽的。主要應(yīng)該做以下的 ACL 設(shè)計(jì)： 對(duì)外屏蔽簡(jiǎn)單網(wǎng)管協(xié)議，即 SNMP 利用這個(gè)協(xié)議，遠(yuǎn)程主機(jī)可以監(jiān)視、控制網(wǎng)絡(luò)上的其它網(wǎng)絡(luò)設(shè)備。 它有兩種服務(wù)類型：SNMP 和 SNMPTRAP。 如圖 310 所示，顯示了如何設(shè)置對(duì)外屏蔽簡(jiǎn)單網(wǎng)管協(xié)議 SNMP。 Router（ config） accesslist 101 deny udp any any eq snmp Router（ config） accesslist 101 deny udp any any eq snmptrap Router（ config） accesslist 101 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 101 in 圖 310 對(duì)外屏蔽簡(jiǎn)單網(wǎng)關(guān)協(xié)議 SNMP 對(duì)外屏蔽遠(yuǎn)程登錄協(xié)議 tel 安徽中澳科技職業(yè)學(xué)院 23 首先， tel 可以登錄到大多數(shù)網(wǎng)絡(luò)設(shè)備和 UNIX 服務(wù)器，并可以使用相關(guān)命令完全操縱它們。其次， tel 是一種不安全的協(xié)議類型。用戶在使用 tel 登錄網(wǎng)絡(luò)設(shè)備或服務(wù)器時(shí)所使用的用戶名和口令在網(wǎng)絡(luò)中是以明文傳輸?shù)模苋菀妆痪W(wǎng)絡(luò)上的非法協(xié)議分析設(shè)備截獲。這是極其危險(xiǎn)的，因此必須加以屏蔽。 如圖 311 所示，顯示了如何對(duì)外屏蔽遠(yuǎn)程登錄 協(xié)議 tel。 Router（ config） accesslist 102 deny tcp any any eq tel Router（ config） accesslist 102 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 102 in 圖 311 對(duì)外屏蔽遠(yuǎn)程登錄協(xié)議 tel 對(duì)外屏蔽其它不安全的協(xié)議或服務(wù) 這樣的協(xié)議主要有 SUN OS 的文 件共享協(xié)議端口 2049，遠(yuǎn)程執(zhí)行（ rsh） 、遠(yuǎn)程登錄和遠(yuǎn)程命令端口 51 51 514，遠(yuǎn)程過程調(diào)用端口 ，如圖 312 所示。 Router（ config） accesslist 103 deny tcp any any range 512 514 Router（ config） accesslist 103 deny tcp any any eq 111 Router（ config） accesslist 103 deny udp any any eq 111 Router（ config） accesslist 103 deny tcp any any range 2049 Router（ config） accesslist 103 permit ip any any Router（ config） interface serial 0/0 Router（ configif） ip accessgroup 103 in 圖 312 對(duì)外屏蔽其它不安全的協(xié)議或服務(wù) 針對(duì) DoS 攻擊的設(shè)計(jì) 針對(duì) DoS 攻擊是一種非常常見而且極具破壞力的攻擊手段，它可 以導(dǎo)致服務(wù)器、網(wǎng)絡(luò)設(shè)備的正常服務(wù)進(jìn)程停止，嚴(yán)重時(shí)會(huì)導(dǎo)致服務(wù)器操作系統(tǒng)崩潰。圖 313 顯示了如何設(shè)計(jì)針對(duì)常見 DoS 攻擊的 ACL。 Router（ config） accesslist 104 deny icmp any any eqechorequest Router（ config） accesslist 104 deny udp any any eqecho Router（ config） interface serial 0/0 Router（ configif） no ip directedbroadcast 圖 313 針對(duì) DoS 攻擊的設(shè)計(jì) 保護(hù)路由器的自身安全 作為內(nèi)網(wǎng)、外網(wǎng)間屏障的路由器，保護(hù)自身安全的重要性也是不言而喻的。為了阻止黑客入侵路由器，必須對(duì)路由器的訪問位置加以限制。應(yīng)只允許來自服務(wù)器群的 ip 地址訪問并配置路由器。這時(shí)，可以使用 ACCESSCLASS 命令進(jìn)行 VTY 訪問控制。如圖 314安徽中澳科技職業(yè)學(xué)院 24 所示。 Router（ config） line vty 0 4 Router（ configline） accessclass 2 in Router（ configline） exit Router（ config） accesslist 2 permit 圖 314 保護(hù)路由器自身安全 其它配置 為了實(shí)現(xiàn)對(duì)無類別網(wǎng)絡(luò)以及全零子網(wǎng)的支持，在接入路由器上還需要進(jìn)行適當(dāng)?shù)呐渲?，如圖 315 所示。 Router（ config） ip classless Router（ config） ip subzero 圖 315 定義對(duì)無類別網(wǎng)絡(luò)以及全零子網(wǎng)的支持 第四章 遠(yuǎn)程訪問模塊設(shè)計(jì) 遠(yuǎn)程訪問也是園區(qū)網(wǎng)絡(luò)提供服務(wù)之一。 它可以為家庭辦公 用戶和出差在外的員工提供遠(yuǎn)程、移動(dòng)接入服務(wù)。如圖 41 所示。 圖 41 遠(yuǎn)程服務(wù)類型有三種：分別是專線連接、電路交換和包交換。不同的廣域網(wǎng)連接類型提供的服務(wù)質(zhì)量不同，花費(fèi)也不相同。本設(shè)計(jì)采用了異步撥號(hào)連接作為遠(yuǎn)程訪問的技術(shù)手段。 配置物理線路的基本參數(shù) 對(duì)物理線路的配置包括配置線路速度（ DTE、 DCE 之間的速率）、停止位數(shù)、流控方式、允許呼入連接的協(xié)議類型、 允許流量的方向等。如圖 42 所示 Router（ config） line 77 Router（ configline） modem inout Router（ configline） transport input Router（ configline） stopbits 1 Router（ configline） speed 115200 安徽中澳科技職業(yè)學(xué)院 25 Router（ configline） flowecontrol hardware 圖 42 配置物理線路的基本參數(shù) 配置接口基本參數(shù) 對(duì)接口基本參數(shù)的配置包括：接口封裝協(xié)議類型、接口異步模式、 ip 地址、為遠(yuǎn)程客戶分配 ip 地址的方式等，如圖 43 所示。這里，設(shè)置遠(yuǎn)程客戶從 ip 地址池 liuqing 中 獲取 ip 地址。 Router（ config） interface asynchronous 77 Router（ configif） ip address Router（ configif） encapsulation ppp Router（ configif） asynchronous mode dedicated Router（ configif） peer default ip address pool liuqing 圖 43 配置接口基 本參數(shù) 接下來，需要建立一個(gè)本地的 ip 地址池。如圖 44 所示，建立了一個(gè)名為 liuqing 的ip 地址池。其中 ip 地址范圍是： ~。 Router（ config） ip local pool liuqing