企業(yè)網(wǎng)中型局域網(wǎng)組建方案-資料下載頁(yè)
2025-08-05 01:17本頁(yè)面
【正文】 并可以使用相關(guān)命令完全操縱它們。這是極其危險(xiǎn)的，因此必須加以屏蔽。 如圖所示，顯示了如何對(duì)外屏蔽遠(yuǎn)程登錄協(xié)議telnet圖對(duì)外屏蔽遠(yuǎn)程登錄協(xié)議telnet（3）對(duì)外屏蔽其它不安全的協(xié)議或服務(wù) 這樣的協(xié)議主要有SUN OS的文件共享協(xié)議端口2049，遠(yuǎn)程執(zhí)行（rsh）、遠(yuǎn)程登錄（rlogin）和遠(yuǎn)程命令（rcmd）端口5151514，遠(yuǎn)程過(guò)程調(diào)用（SUNRPC）端口111?？梢詫⑨槍?duì)以上協(xié)議綜合進(jìn)行設(shè)計(jì)，如圖所示。圖對(duì)外屏蔽其它不安全的協(xié)議或服務(wù)（4）針對(duì)DoS攻擊的設(shè)計(jì) DoS攻擊（Denial of Service Attack，拒絕服務(wù)攻擊）是一種非常常見(jiàn)而且極具破壞力的攻擊手段，它可以導(dǎo)致服務(wù)器、網(wǎng)絡(luò)設(shè)備的正常服務(wù)進(jìn)程停止，嚴(yán)重時(shí)會(huì)導(dǎo)致服務(wù)器操作系統(tǒng)崩潰?！ D顯示了如何設(shè)計(jì)針對(duì)常見(jiàn)DoS攻擊的ACL圖針對(duì)DoS攻擊的設(shè)計(jì)（5）保護(hù)路由器自身安全作為內(nèi)網(wǎng)、外網(wǎng)間屏障的路由器，保護(hù)自身安全的重要性也是不言而喻的。為了阻止黑客入侵路由器，必須對(duì)路由器的訪問(wèn)位置加以限制?！ ?yīng)只允許來(lái)自服務(wù)器群的IP地址訪問(wèn)并配置路由器。這時(shí)，可以使用ACCESSCLASS命令進(jìn)行VTY訪問(wèn)控制。如圖所示圖保護(hù)路由器自身安全 為了實(shí)現(xiàn)對(duì)無(wú)類別網(wǎng)絡(luò)（Classless Network）以及全零子網(wǎng)（Subnetzero）的支持，在充當(dāng)3層交換機(jī)的核心層交換機(jī)CoreSwitch1，還需要進(jìn)行適當(dāng)?shù)呐渲?，如圖所示。圖定義對(duì)無(wú)類別網(wǎng)絡(luò)以及全零子網(wǎng)的支持五、遠(yuǎn)程訪問(wèn)設(shè)計(jì)和程訪問(wèn)模塊設(shè) 遠(yuǎn)程訪問(wèn)也是園區(qū)網(wǎng)絡(luò)必須提供的服務(wù)之一。它可以為家庭辦公用戶和出差在外的員工提供移動(dòng)接入服務(wù)。如圖所示圖遠(yuǎn)程訪問(wèn)服務(wù) 遠(yuǎn)程訪問(wèn)有三種可選的服務(wù)類型：專線連接、電路交換和包交換。不同的廣域網(wǎng)連接類型提供的服務(wù)質(zhì)量不同，花費(fèi)也不相同。在本設(shè)計(jì)中，由于面對(duì)的用戶群規(guī)模、業(yè)務(wù)量較小，所以采用了異步撥號(hào)連接作為遠(yuǎn)程訪問(wèn)的技術(shù)手段?！ ‘惒綋芴?hào)連接屬于電路交換類型的廣域網(wǎng)連接，它是在傳統(tǒng)公共交換電話網(wǎng)（Public Switched Telephone Network，PSTN）上提供服務(wù)的。傳統(tǒng)PSTN提供的服務(wù)也被稱為簡(jiǎn)易老式電話業(yè)務(wù)（Plan Old Telephone System，POTS）。因?yàn)槟壳按嬖谥罅堪惭b好的電話線，所以這樣的環(huán)境是最容易滿足的。因此，異步撥號(hào)連接也就成為最為方便和普遍的遠(yuǎn)程訪問(wèn)類型?！ V域網(wǎng)連接可以采用不同類型的封裝協(xié)議，如HDLC、PPP等。其中，PPP除了提供身份認(rèn)證功能外，還可以提供其他很多可選項(xiàng)配置，包括鏈路壓縮、多鏈路捆綁、回叫等，因此更具優(yōu)勢(shì)。也是本設(shè)計(jì)所采用的異步連接封裝協(xié)議?！ ≡诒驹O(shè)計(jì)中采用了可以集成在廣域網(wǎng)接入路由器InternetRotuer中的異步Modem模塊NM16AM（8Port Analog Modem Network Module）提供遠(yuǎn)程訪問(wèn)服務(wù)。它可以同時(shí)對(duì)最多16路撥號(hào)用戶提供遠(yuǎn)程接入服務(wù)?！ ∫韵陆榻B一下配置異步撥號(hào)模塊NM16AM的步驟?！ ?．配置物理線路的基本參數(shù) 對(duì)物理線路的配置包括配置線路速度（DTE、DCE之間的速率）、停止位位數(shù)、流控方式、允許呼入連接的協(xié)議類型、允許流量的方向等?！∪鐖D所示，是對(duì)以上參數(shù)進(jìn)行配置。2．配置接口基本參數(shù) 對(duì)接口基本參數(shù)的配置包括：接口封裝協(xié)議類型、接口異步模式、IP地址、為遠(yuǎn)程客戶分配IP地址的方式等。這里，設(shè)置遠(yuǎn)程客戶從IP地址池rasclients中獲得IP地址。圖配置接口基本參數(shù) 接下來(lái)，需要建立一個(gè)本地的IP地址池。如下所示，建立了一個(gè)名為rasclients的IP地址池。其IP地址范圍是：～。圖指定IP地址池 3．配置身份認(rèn)證 PPP提供了兩種可選的身份認(rèn)證方法：口令驗(yàn)證協(xié)議PAP（Password Authentication Protocol，PAP）和質(zhì)詢握手協(xié)議（Challenge Handshake Authentication Protocol，CHAP）?！ AP是一個(gè)簡(jiǎn)單的、實(shí)用的身份驗(yàn)證協(xié)議。PAP認(rèn)證進(jìn)程只在雙方的通信鏈路建立初期進(jìn)行。如果認(rèn)證成功，在通信過(guò)程中不再進(jìn)行認(rèn)證。如果認(rèn)證失敗，則直接釋放鏈路?！ HAP認(rèn)證比PAP認(rèn)證更安全，因?yàn)镃HAP不在線路上發(fā)送明文密碼，而是發(fā)送經(jīng)過(guò)摘要算法加工過(guò)的隨機(jī)序列，也被稱為挑戰(zhàn)字符串。如圖1415所示。同時(shí)，身份認(rèn)證可以隨時(shí)進(jìn)行，包括在雙方正常通信過(guò)程中。因此，非法用戶就算截獲并成功破解了一次密碼，此密碼也將在一段時(shí)間內(nèi)失效。 CHAP對(duì)端系統(tǒng)要求很高，因?yàn)樾枰啻芜M(jìn)行身份質(zhì)詢、響應(yīng)。這需要耗費(fèi)較多的CPU資源，因此只用在對(duì)安全要求很高的場(chǎng)合?！ AP雖然有著用戶名和密碼是明文發(fā)送的弱點(diǎn)，但是認(rèn)證只在鏈路建立初期進(jìn)行，因此節(jié)省了寶貴的鏈路帶寬?！ ”驹O(shè)計(jì)中將采用PAP身份認(rèn)證方法。 ?。?）建立本地口令數(shù)據(jù)庫(kù) 如圖所示建立本地口令數(shù)據(jù)庫(kù)。圖建立本地口令數(shù)據(jù)庫(kù) （2）設(shè)置進(jìn)行PAP認(rèn)證圖建立本地口令數(shù)據(jù)庫(kù)六、服務(wù)器模塊設(shè)計(jì) 服務(wù)器模塊用來(lái)對(duì)校園網(wǎng)的接入用戶提供各種服務(wù)。在本設(shè)計(jì)方案中，所有的服務(wù)器被集中到VLAN 100構(gòu)成服務(wù)器群并通過(guò)分別層交換機(jī)DistributeSwitch1的端口fastethernet 1～20接入校園網(wǎng)。如圖所示。 圖服務(wù)器群 校園網(wǎng)提供的常見(jiàn)的服務(wù)（服務(wù)器）包括： WEB服務(wù)器：提供WEB網(wǎng)站服務(wù)?！ NS、目錄服務(wù)器：提供域名解析以及目錄服務(wù)?！ TP、文件服務(wù)器：提供文件傳輸、共享服務(wù)?！ ∴]件服務(wù)器：提供郵件收發(fā)服務(wù)。 數(shù)據(jù)庫(kù)服務(wù)器：提供各種數(shù)據(jù)庫(kù)服務(wù)?！ 〈蛴》?wù)器：提供打印機(jī)共享服務(wù)?！ ?shí)時(shí)通信服務(wù)器：提供實(shí)時(shí)通信服務(wù)。 流媒體服務(wù)器：提供各種流媒體播放、點(diǎn)播服務(wù)?！ 【W(wǎng)管服務(wù)器：對(duì)校園網(wǎng)網(wǎng)絡(luò)設(shè)備進(jìn)行綜合管理。 如圖所示。顯示了各服務(wù)器IP地址配置情況。圖標(biāo)準(zhǔn)ACL實(shí)驗(yàn)環(huán)境 表給出了所有的服務(wù)器硬件平臺(tái)、操作系統(tǒng)以及服務(wù)軟件的選型表?！ ”碇蠽LAN及IP編址方案七 總結(jié)（其他、測(cè)試） 1 系統(tǒng)測(cè)試 主要的測(cè)試內(nèi)容應(yīng)該包括： 對(duì)管理IP地址的測(cè)試。 對(duì)相同VLAN內(nèi)的通信進(jìn)行測(cè)試?！ ? 對(duì)不同VLAN內(nèi)的通信進(jìn)行測(cè)試?！ ? 對(duì)廣域網(wǎng)接入路由器上的NAT進(jìn)行測(cè)試。 對(duì)遠(yuǎn)程訪問(wèn)服務(wù)進(jìn)行測(cè)試?！ ? 對(duì)各種服務(wù)器提供的服務(wù)進(jìn)行測(cè)試?！ ? 需要說(shuō)明的是，一個(gè)完整的校園網(wǎng)網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì)不僅包含上述設(shè)備，還應(yīng)該有計(jì)費(fèi)系統(tǒng)、防火墻系統(tǒng)、入侵檢測(cè)系統(tǒng)等組成部分?！ ?2相關(guān)測(cè)試、診斷命令 通用測(cè)試、診斷命令 CDP測(cè)試、診斷 路由和路由協(xié)議測(cè)試、診斷命令 VLAN、VTP測(cè)試、診斷命令
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號(hào)-1