【正文】 ，該層協(xié)議主要有IP和ICMP等。網(wǎng)絡(luò)接口層是TCP/IP協(xié)議軟件的最低一層，主要負(fù)責(zé)數(shù)據(jù)幀的發(fā)送和接收。（1）TCP協(xié)議的防御：對(duì)于TCP協(xié)議來(lái)說(shuō)，最容易受攻擊的地方在于一個(gè)用戶向服務(wù)器發(fā)送了SYN報(bào)文后突然死機(jī)或掉線，那么服務(wù)器在發(fā)出SYN+ACK應(yīng)答報(bào)文后是無(wú)法收到客戶端的ACK報(bào)文的（即第三次握手無(wú)法完成）。一個(gè)用戶出現(xiàn)異常導(dǎo)致服務(wù)器的一個(gè)線程等待１分鐘并不是什么大問(wèn)題，但如果有一個(gè)惡意的攻擊者大量模擬這種情況，服務(wù)器端將為了維護(hù)一個(gè)非常大的半連接列表而消耗非常多的資源。服務(wù)器端將忙于處理攻擊者偽造的TCP連接請(qǐng)求而無(wú)暇理睬客戶的正常請(qǐng)求，此時(shí)從正?？蛻舻慕嵌瓤磥?lái)，服務(wù)器失去響應(yīng)，這種情況我們稱作服務(wù)器端受到了SYN　Flood攻擊。我們可以在路由器的接口模式下寫入命令來(lái)防止：R1(config)ip verify unicast reversepath還有一種方法就是你用TCP截取防御技術(shù)來(lái)實(shí)現(xiàn)：R1(config)ip tcp intercept mode intercept (截取方式)R1(config)ip tcp intercept mode watch （監(jiān)聽方式）定義HTTP流量：R1(config)accesslist 101 permit tcp any any eq 80R1(config)ip tcp intercept list 101（2）IP協(xié)議的防御：基于IP欺騙的防范方法有：①拋棄基于地址的信任策略。這是最簡(jiǎn)單的方法。②進(jìn)行包過(guò)濾。如果網(wǎng)絡(luò)是通過(guò)路由器接入Internet的，那么可以利用路由器來(lái)進(jìn)行包過(guò)濾。確認(rèn)只有內(nèi)部LAN可以使用信任關(guān)系，而內(nèi)部LAN上的主機(jī)對(duì)于LAN以外的主機(jī)要慎重處理。路由器可以過(guò)濾掉所有來(lái)自于外部而希望與內(nèi)部建立連接的請(qǐng)求。③使用加密技術(shù)。阻止IP欺騙的一種簡(jiǎn)單的方法是在通信時(shí)要求加密傳輸和驗(yàn)證。當(dāng)有多種手段并存時(shí)，加密方法可能最為適用 ICMP協(xié)議的防御ICMP即Internet控制消息協(xié)議。用于在IP主機(jī)、路由器之間傳遞控制消息。控制消息是指網(wǎng)絡(luò)通不通、主機(jī)是否可達(dá)、路由是否可用等網(wǎng)絡(luò)本身的消息。Ping就是最常用的基于ICMP的服務(wù)。ICMP協(xié)議本身的特點(diǎn)決定了它非常容易被用于攻擊網(wǎng)絡(luò)上的路由器和主機(jī)。比如，可以利用操作系統(tǒng)規(guī)定的ICMP數(shù)據(jù)包最大尺寸不超過(guò)64KB這一規(guī)定，向主機(jī)發(fā)起“Ping Of Death”（死亡之Ping）攻擊?！癙ing Of Death”攻擊的原理是：如果ICMP數(shù)據(jù)包的尺寸超過(guò)６４ＫＢ上限時(shí)，主機(jī)就會(huì)出現(xiàn)內(nèi)存分配錯(cuò)誤，導(dǎo)致TCP/IP堆棧崩潰，致使主機(jī)死機(jī)。此外，向目標(biāo)主機(jī)長(zhǎng)時(shí)間、連續(xù)、大量地發(fā)送ICMP數(shù)據(jù)包，使得目標(biāo)主機(jī)耗費(fèi)大量的CPU資源處理，也會(huì)最終使系統(tǒng)癱瘓。對(duì)于“Ping Of Death”攻擊，可以采取兩種方法進(jìn)行防范：（１）路由器上對(duì)ICMP數(shù)據(jù)包進(jìn)行帶寬限制，將ICMP占用的帶寬控制在一定的范圍內(nèi)。命令是：R1(config)accesslist 101 permit icmp any anyR1(config)interface f0/2R1(configif)ratelimit input accessgroup 101 32000 1500 2000 conformaction transmit exceedaction drop（２）在主機(jī)上設(shè)置ICMP數(shù)據(jù)包的處理規(guī)則，最好是設(shè)定拒絕所有的ICMP數(shù)據(jù)包。 DHCP服務(wù)器的防御為了減小網(wǎng)絡(luò)編址的復(fù)雜性和手工配置IP地址的工作量，使用了DHCP為網(wǎng)絡(luò)中的設(shè)備分配IP地址。但網(wǎng)絡(luò)管理員發(fā)現(xiàn)最近經(jīng)常有員工抱怨無(wú)法訪問(wèn)網(wǎng)絡(luò)資源，經(jīng)過(guò)故障排查后，發(fā)現(xiàn)客戶端PC通過(guò)DHCP獲得了錯(cuò)誤的IP地址，從此現(xiàn)象可以判斷出網(wǎng)絡(luò)中可能出現(xiàn)了DHCP攻擊，即可能有人私自架設(shè)了DHCP服務(wù)器（偽DHCP服務(wù)器）導(dǎo)致客戶端PC不能獲得正確的IP地址信息，以至不能夠訪問(wèn)網(wǎng)絡(luò)資源。我們根據(jù)上述判斷，對(duì)所有的交換機(jī)寫入以下命令來(lái)阻止攻擊：Hexin1(config)ip dhcp snoopingHexin1 (config)interface fastEthernet 0/1Hexin1 (configif)ip dhcp snooping trust Hexin1 (configif)exit Hexin1 (config)interface fastEthernet 0/2 Hexin1 (configif)ip dhcp snooping trustBangongqu1 (config)ip dhcp snoopingBangongqu1 (config)interface fastEthernet 0/1Bangongqu1 (configif)ip dhcp snooping trust Bangongqu1 (configif)exit Bangongqu1 (config)interface fastEthernet 0/2 Bangongqu1 (configif)ip dhcp snooping trust DNS的防御作為當(dāng)前全球最大最復(fù)雜的分布式層次數(shù)據(jù)庫(kù)系統(tǒng)，由于其開放、龐大、復(fù)雜的特性以及設(shè)計(jì)之初對(duì)于安全性的考慮不足，再加上人為攻擊和破壞，DNS系統(tǒng)面臨非常嚴(yán)重的安全威脅，因此如何解決DNS安全問(wèn)題并尋求相關(guān)解決方案是當(dāng)今DNS亟待解決的問(wèn)題。DNS安全防護(hù)主要面臨如下威脅：（1）對(duì)DNS的DDoS攻擊。（2）DNS欺騙：針對(duì)以上的兩種攻擊我們采用不同的方法來(lái)實(shí)現(xiàn)防御:1）對(duì)DNS的DDoS攻擊的防御：目前業(yè)界主流的針對(duì)DNS的DDoS攻擊識(shí)別，通常采用判斷DNS請(qǐng)求流量閾值的方法來(lái)判斷發(fā)生攻擊，這種判斷方法有以下局限：①熱點(diǎn)事件產(chǎn)生的正常DNS請(qǐng)求流量超限的情況，容易產(chǎn)生誤報(bào)。②針對(duì)通過(guò)非法域名以小博大的攻擊方法，由于其流量未超限會(huì)產(chǎn)生漏報(bào)。迪普科技采用智能的DNS DDoS攻擊識(shí)別技術(shù)，通過(guò)實(shí)時(shí)分析DNS解析失敗率、DNS響應(yīng)報(bào)文與請(qǐng)求報(bào)文的比例關(guān)系等方法，準(zhǔn)確識(shí)別各種針對(duì)DNS的DDoS攻擊，避免產(chǎn)生漏報(bào)和誤報(bào)，并且通過(guò)專業(yè)的線性DNS攻擊防御技術(shù)和離散DNS攻擊防御技術(shù)有效的防御了DNS DDoS攻擊。同時(shí)，迪普科技還通過(guò)流量異常檢測(cè)、SYN Cookie、SYN Proxy、連接限制、連接速率限制等技術(shù)實(shí)現(xiàn)了全面的TCP Flood、UDP Flood、SYN Flood、ICMP Flood、HTTP Get、CC等DDoS攻擊防御，全面確保了DNS服務(wù)器不會(huì)受到DDoS攻擊2）DNS欺騙的防御：我們可以使用AntiARPDNS來(lái)防御，它包括了對(duì)ARP和DNS欺騙攻擊的實(shí)時(shí)監(jiān)控和防御，收到攻擊時(shí)會(huì)迅速記錄，追蹤攻擊者并且控制攻擊的程度至最低，能有效地防止局域網(wǎng)內(nèi)的非法ARP或DNS欺騙攻擊。 FTP的防御FTP（File Transfer Protocol, FTP）是TCP/IP網(wǎng)絡(luò)上兩臺(tái)計(jì)算機(jī)傳送文件的協(xié)議FTP是在TCP/IP網(wǎng)絡(luò)和INTERNET上最早使用的協(xié)議之一，它屬于網(wǎng)絡(luò)協(xié)議組的應(yīng)用層。FTP客戶機(jī)可以給服務(wù)器發(fā)出命令來(lái)下載文件、上載文件、創(chuàng)建或改變服務(wù)器上的目錄。正是由于FTP的功能加上FTP驗(yàn)證機(jī)制的脆弱使FTP更容易受到攻擊，所以我們可以通過(guò)在路由器上對(duì)協(xié)議加密來(lái)防范可能出現(xiàn)的攻擊：R1(config)router ospf 1R1(config)area 0 authentication messagedigestR1(config)interface f0/2R1(configif)ip add R1(configif)ip ospf authentication messagedigestR1(configif)ip ospf messagedigestkey 1 md5 1014 RIP協(xié)議的防御RIP是路由信息協(xié)議（Routing Information Protocol）的縮寫，采用距離矢量算法。在默認(rèn)情況下，RIP使用一種非常簡(jiǎn)單的度量制度：距離就是通往目的站點(diǎn)所需經(jīng)過(guò)的鏈路數(shù)，取值為1~15，數(shù)值16表示無(wú)窮大。RIP進(jìn)程使用UDP的520端口來(lái)發(fā)送和接收RIP分組。RIP分組每隔30s以廣播的形式發(fā)送一次，為了防止出現(xiàn)“廣播風(fēng)暴”，其后續(xù)的的分組將做隨機(jī)延時(shí)后發(fā)送。在RIP中，如果一個(gè)路由在180s內(nèi)未被刷，則相應(yīng)的距離就被設(shè)定成無(wú)窮大，并從路由表中刪除該表項(xiàng)。當(dāng)兩個(gè)路由之間多出來(lái)了一個(gè)“流氓路由”之后，此時(shí)黑客很可能利用“流氓路由”對(duì)其進(jìn)行入侵，這種方法不容易被發(fā)現(xiàn)而且成功率很高。鑒于此，我們一樣可以用md5進(jìn)行加密來(lái)保護(hù)：R1(config)key chain 111R1(configkeychain)key 1R1(configkeychain)keystring 11R1(config)interface f0/2R1(configif)ip rip authentication keychain 111R1(configif)ip rip authentication mode md57 設(shè)備的維護(hù)當(dāng)今許多重要的信息存儲(chǔ)在網(wǎng)絡(luò)上，這些信息泄露出去將造成無(wú)法估量的損失。之所以網(wǎng)絡(luò)信息會(huì)泄露出去，一方面有許多入侵者千方百計(jì)想“看”到一些關(guān)心的數(shù)據(jù)或者信息；另一方面網(wǎng)絡(luò)自身存在安全隱患才使得入侵者得逞。伴隨著互聯(lián)網(wǎng)技術(shù)在全球迅猛發(fā)展，人們?cè)谔峁┝藰O大的方便，然而，信息化在給人們帶來(lái)種種物質(zhì)和文化享受的同時(shí)，我們也正受到日益嚴(yán)重的來(lái)自網(wǎng)絡(luò)的安全威脅，網(wǎng)絡(luò)安全是任何計(jì)算機(jī)網(wǎng)絡(luò)建設(shè)必須解決的重要問(wèn)題，企業(yè)網(wǎng)建設(shè)應(yīng)把網(wǎng)絡(luò)管理與安全放在突出地位。企業(yè)配置網(wǎng)絡(luò)管理軟件，可以對(duì)整個(gè)網(wǎng)絡(luò)上的網(wǎng)絡(luò)設(shè)備進(jìn)行集中式的配置、監(jiān)視和控制，自動(dòng)檢測(cè)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，監(jiān)視和控制網(wǎng)段和端口，以及進(jìn)行網(wǎng)絡(luò)流量的統(tǒng)計(jì)和錯(cuò)誤統(tǒng)計(jì)，網(wǎng)絡(luò)設(shè)備事件的自動(dòng)收集和管理等一系列綜合的管理和監(jiān)測(cè)。這對(duì)解決網(wǎng)絡(luò)故障幫助非常大，特別是某些突發(fā)性的故障。對(duì)交換機(jī)、防火墻等重要的網(wǎng)絡(luò)設(shè)備的配置要進(jìn)行備份，當(dāng)網(wǎng)絡(luò)設(shè)備出現(xiàn)故障時(shí)能夠及時(shí)恢復(fù)對(duì)網(wǎng)絡(luò)設(shè)備的配置。中心管理員控制著全網(wǎng)用戶的配置和權(quán)限的修改，因此對(duì)于權(quán)限的管理要嚴(yán)格進(jìn)行，以保證網(wǎng)絡(luò)權(quán)限分配的安全合理。8 總結(jié)本畢業(yè)設(shè)計(jì)從企業(yè)網(wǎng)的建設(shè)思想、目標(biāo)、可以選用的網(wǎng)絡(luò)技術(shù)以及對(duì)絡(luò)設(shè)備的介紹和選擇等多方面的論述，使我們對(duì)企業(yè)網(wǎng)建設(shè)工程有了一個(gè)比較深入的了解，企業(yè)網(wǎng)絡(luò)建設(shè)作為一項(xiàng)重要的系統(tǒng)工程，它的所用到的各種技術(shù)是多方面的，既有網(wǎng)絡(luò)技術(shù)、工程施工技術(shù)、綜合布線技術(shù)，也有管理制度等各個(gè)方面的知識(shí)。網(wǎng)絡(luò)技術(shù)的發(fā)展是永無(wú)止境的，在前進(jìn)的過(guò)程中必將有更多的知識(shí)需要我們?nèi)W(xué)習(xí)與研究，并能將其應(yīng)用到實(shí)際的網(wǎng)絡(luò)工程建設(shè)之中。 由于企業(yè)網(wǎng)功能齊全，技術(shù)含量高，接觸面廣，在網(wǎng)絡(luò)設(shè)計(jì)、規(guī)劃和建設(shè)中都非常復(fù)雜，在論述中不可能面面具到，同時(shí)也由于本人的知識(shí)水平有限，文中的不足和錯(cuò)誤在所難免，敬請(qǐng)各位老師多多指點(diǎn)和更正參考文獻(xiàn)[1] 諶璽、張洋，企業(yè)網(wǎng)絡(luò)整體安全——攻防技術(shù)內(nèi)幕大剖析，北京：電子工業(yè)出版社，[2] 陸魁軍，計(jì)算機(jī)網(wǎng)絡(luò)工程實(shí)踐教程基于華為路由器和交換機(jī)，北京：清華大學(xué)出版社，[3] 姚華婷，網(wǎng)絡(luò)服務(wù)器配置與管理——Windows Server 2003篇，北京：人民郵電出版社，[4] 馬立新，局域網(wǎng)組建、管理與維護(hù)，北京：機(jī)械工業(yè)出版社，[5] 劉曉輝，中小型局域網(wǎng)構(gòu)建實(shí)踐，北京：電子工業(yè)出版社，[6] 百度文庫(kù)，DNS安全防護(hù)解決方案，20110712第54頁(yè) 共54頁(yè)