2網(wǎng)絡(luò)設(shè)備的安全與應(yīng)用實(shí)踐-文庫吧資料
2025-02-21 23:13本頁面
【正文】 ) accesslist 113 deny tcp any any eq 39168 log ! The Subseven DDos system and some Variants Router(config) accesslist 113 deny tcp any any range 6711 6712 log 交換機(jī)安全與應(yīng)用實(shí)踐 ? 交換機(jī)安全 ? 交換機(jī)是一種基于 MAC(網(wǎng)卡的硬件地址 )識別，能完成封裝轉(zhuǎn)發(fā)數(shù)據(jù)包功能的網(wǎng)絡(luò)設(shè)備 ； ? 交換機(jī)可以 “ 學(xué)習(xí) ”MAC 地址，并把其存放在內(nèi)部地址表中，通過在數(shù)據(jù)幀的源發(fā)送者和目標(biāo)接收者之間建立臨時(shí)的交換路徑，使數(shù)據(jù)幀由源地址到達(dá)目的地址 ； ? 傳統(tǒng)交換機(jī)主要用于數(shù)據(jù)包的快速轉(zhuǎn)發(fā)，強(qiáng)調(diào)轉(zhuǎn)發(fā)性能 。這一步對于能訪問外界機(jī)器至關(guān)重要，因?yàn)樵诰钟蚓W(wǎng)中，路由器是與外界相連的唯一出口。 (3) 選定 “ 使用下面的 IP地址 ” ，在 “IP 地址 ” 和 “ 子網(wǎng)掩碼 ” 框中填寫 IP地址（本例為 ）和子網(wǎng)掩碼（ ）。 ? 工作站配置 (1) 進(jìn)入 “ 開始 ”→“ 設(shè)置 ”→“ 網(wǎng)絡(luò)連接 ”→“ 本地連接 ” ，點(diǎn)擊“ 屬性 ” 后進(jìn)入 “ 本地連接屬性 ” 。如果要取消其中某個(gè)會(huì)話，可輸入 disconnect X， X為（ “1” 或 “2” ）。 相同方法進(jìn)行 2號連接； ? 輸入 show sessions命令，可列出用戶當(dāng)前的會(huì)話。 ? 禁止路由器的部分網(wǎng)絡(luò)服務(wù)的安全配置 ? 禁止 Finger服務(wù) Router(config) no ip finger Router(config) no service finger ? 禁止 TCP、 UDP Small服務(wù) Router(config) no service tcpsmallservers Router(config) no service udpsmallservers ? 建議禁止 HTTP服務(wù) Router(config) no ip server ? 禁止 IP Source Routing Router(config) no ip sourceroute ? 禁止 ARPProxy服務(wù) Router(config) no ip proxyarp Router(configif) no ip proxyarp ? 禁止 IP Directed Broadcast Router(config) no ip directedbroadcast ? 禁止 IP Classless Router(config) no ip classless ? 禁止 ICMP協(xié)議的 IP Unreachables、 IP Redirects和 IP Mask Replie Router(config) no ip unreachables Router(config) no ip Redirects Router(config) no ip Mask Replies ? 路由器實(shí)現(xiàn)多設(shè)備控制端口訪問的配置 ? 開始配置 先用 Cisco 2511路由器的一個(gè)異步串行端口連接到用戶的網(wǎng)絡(luò)核心交換機(jī)、路由器和防火墻的每一個(gè)端口（這些設(shè)備各自同樣需要具備串行控制口）；然后再按照 ip host命令對新的 Cisco終端服務(wù)器進(jìn)行配置 ； ? 管理多個(gè)連接 ? 在命令行中輸入主機(jī)名稱，即使用一個(gè) IP主機(jī) Tel到用戶配置過的設(shè)備上，這是 1號連接。訪問列表可用于入口（Inbound），也可用于出口（ Outbound）。認(rèn)證的配置有三個(gè)步驟，一是在端口配置模式使 MD5認(rèn)證模式生效，二是密鑰鏈要一致，三是給密鑰鏈配置密鑰。 ? 路由協(xié)議的安全配置 ? RIP路由協(xié)議驗(yàn)證 ? OSPF路由協(xié)議驗(yàn)證 OSPF有三種認(rèn)證方法，簡單口令認(rèn)證、 MD5認(rèn)證和Null認(rèn)證。 ? 路由器訪問控制的安全策略 ? 嚴(yán)格控制可以訪問路由器的管理員；對路由器的任何一次維護(hù)都需要記錄備案，要有完備的路由器的安全訪問和維護(hù)記錄日志 ； ? 建議不要遠(yuǎn)程訪問路由器 ； ? 要嚴(yán)格地為 IOS（ Cisco網(wǎng)際操作系統(tǒng)）作安全備份，及時(shí)升級和修補(bǔ) IOS軟件，并迅速為 IOS安裝補(bǔ)丁 ； ? 要為路由器的配置文件作安全備份 ； ? 為路由器配備 UPS設(shè)備，或者至少要有冗余電源。 ? Keepalived的安裝 ? openssl的安裝 ? popt的安裝 ? popt的安裝 ? 安裝 keepalived ? 安裝 keepalived 路由器安全配置與應(yīng)用實(shí)踐 ? 路由器的自身安全 ； ? 路由器訪問控制的安全策略 ； ? 路由協(xié)議的安全配置 ； ? 路由器的網(wǎng)絡(luò)安全配置 ； ? 禁止路由器的部分網(wǎng)絡(luò)服務(wù)的安全配置 ； ? 路由器實(shí)現(xiàn)多設(shè)備控制端口訪問的配置 ； ? 實(shí)現(xiàn)精確控制訪問的路由器配置 ； ? 路由器的其他安全配置 。 ? Linux下的 VRRP組件 在 Linux操作系統(tǒng)下可以實(shí)現(xiàn)非常穩(wěn)定的VRRP功能，實(shí)現(xiàn)該功能的軟件是keepalived。局域網(wǎng)內(nèi)的主機(jī)僅僅知道這個(gè)虛擬路由器的 IP地址而并不知道具體的 Master路由器的 IP地址以及 Backup路由器的 IP地址，它們將自己的缺省路由下一跳地址設(shè)置為該虛擬路由器的 IP地址。 ? VRRP是一種容錯(cuò)協(xié)議，它為具有多播或廣播能力的局域網(wǎng)而設(shè)計(jì)。主路由器負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包到這些虛擬 IP地址 ； ? VRRP協(xié)議中優(yōu)先級范圍是 0255。 虛擬路由器冗余協(xié)議（ VRRP） ? VRRP協(xié)議 ? VRRP是一種選擇協(xié)議，它可以把一個(gè)虛擬路由器的責(zé)任動(dòng)態(tài)分配到局域網(wǎng)上的 VRRP路由器中 ； ? 使用 VRRP，可以通過手動(dòng)或 DHCP設(shè)定一個(gè)虛擬 IP地址作為默認(rèn)路由器。 這兩種類型的 ACL都可以基于序列號和命名進(jìn)行配置 。 ? 路由器訪問控制列表 (ACL) ? ACL是 Cisco IOS所提供的一種訪問控制技術(shù) ； ? ACL技術(shù)是一種基于包過濾的流控制技術(shù)。 在該類算法中，最常用的是距離向量路由選擇算法和鏈路狀態(tài)路由選擇算法。路由表可 分為 靜態(tài)路由 表和 動(dòng)態(tài)路由表 ； ? 在現(xiàn)代網(wǎng)絡(luò)中，廣泛采用的是動(dòng)態(tài)路由算法。 路由器安全與應(yīng)用實(shí)踐 ? 路由器是網(wǎng)絡(luò)的神經(jīng)中樞，是眾多網(wǎng)絡(luò)設(shè)備的重要一 員； ? 廣域網(wǎng)就是靠一個(gè)個(gè)路由器連接起來組成的 ； ? 路由器對網(wǎng)絡(luò)的應(yīng)用和安全具有極重要的地位 。這是使用 RAID的第二個(gè)原因，因?yàn)槠胀ù疟P驅(qū)動(dòng)器無法提供容錯(cuò)功能，RAID的容錯(cuò)是建立在每個(gè)磁盤驅(qū)動(dòng)器的硬件容錯(cuò)功能之上的，所以它提供更高的安全性。在 RAID中，可以讓很多磁盤驅(qū)動(dòng)器同時(shí)傳輸數(shù)據(jù)，而這些磁盤驅(qū)動(dòng)器在邏輯上又是一個(gè)磁盤驅(qū)動(dòng)器，所以使用 RAID可以達(dá)到單個(gè)的磁盤驅(qū)動(dòng)器幾倍、幾十倍甚至上百倍的速率。 RAID被廣泛地應(yīng)用在服務(wù)器體系中 。 通過對數(shù)據(jù)分塊和交叉存儲(chǔ)兩項(xiàng)技術(shù)的使用 ， 使 CPU實(shí)現(xiàn)通過硬件方式對數(shù)據(jù)的分塊控制和對磁盤陣列中數(shù)據(jù)的并行調(diào)度等功能 。 RAID一般是在 SCSI或 SATA磁盤接口實(shí)現(xiàn)的。 RAID將一組磁盤驅(qū)動(dòng)器用某種邏輯方式聯(lián)系起來，作為邏輯上的一個(gè)磁盤驅(qū)動(dòng)器來使用。其接管過程如下圖所示 服 務(wù) 器 1服 務(wù) 器 n兩 個(gè) 以 上 的 服務(wù) 器 群?集 群應(yīng) 用 請 求服 務(wù) 器 1服 務(wù) 器 n兩 個(gè) 以 上 的 服務(wù) 器 群?集 群應(yīng) 用 請 求正 常 情 況服 務(wù) 器 實(shí) 效 情 況磁盤陣列存儲(chǔ)器的編碼容錯(cuò)方案 ? 廉價(jià)冗余磁盤陣列 RAID（ Redundent Array of Inexpensive Disks）是由美國加州大學(xué)伯克利分校的 . Patterson教授在 1988年提出的。 12 ?集群系統(tǒng) ?在集群系統(tǒng)中，所有的計(jì)算機(jī)擁有一個(gè)共同的名稱，集群內(nèi)任一系統(tǒng)上運(yùn)行的服務(wù)可被所有的網(wǎng)絡(luò)客戶所使用。并且集群系統(tǒng)的管理員可以隨意增加和刪改集群系統(tǒng)的節(jié)點(diǎn)。 11 集群系統(tǒng) ? 集群，英文名稱為 Cluster，通俗地說，集群是這樣一種技術(shù)：它至少將兩個(gè)系統(tǒng)連接到一起，使多臺服務(wù)器能夠像一臺機(jī)器那樣工作或者看起來好像一臺機(jī)器。 10
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1