第八章訪問控制列表與端口安全-展示頁
2025-03-21 20:33本頁面
【正文】 制列表的目的主要基于以下兩點(diǎn)。 1/20/2023 6 訪問列表的作用 ? 訪問控制列表可以限制網(wǎng)絡(luò)流量、提高網(wǎng)絡(luò)性能、控制網(wǎng)絡(luò)通信流量等，同時 ACL也是網(wǎng)絡(luò)訪問控制的基本安全手段。 ? （ 3）來自園區(qū)網(wǎng)外部和內(nèi)部人員的惡意攻擊和破壞。第八章訪問控制列表與端口安全 1/20/2023 1 本章課題 ? 訪問控制列表簡介 ? 編號訪問控制列表配置 ? 命名訪問控制列表 ? 基于時間訪問的控制列表 ? 端口安全 1/20/2023 2 網(wǎng)絡(luò)安全隱患 ? （ 1）非人為的或自然力造成的故障、事故等。 ? （ 2）人為但屬于操作人員無意的失誤造成的數(shù)據(jù)丟失或損壞。 1/20/2023 3 IDS 68% 殺毒軟件 99% 防火墻 98% ACL 71% 現(xiàn)有網(wǎng)絡(luò)安全體制 1/20/2023 4 VPN 虛擬專用網(wǎng) 防火墻 包過濾 防病毒 入侵檢測 1/20/2023 5 什么是訪問列表 ISP √ ? IP Accesslist： IP訪問列表或訪問控制列表，簡稱 IP ACL ? IP ACL就是對經(jīng)過網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)包根據(jù)一定的規(guī)則進(jìn)行數(shù)據(jù)包的過濾。在路由器或交換機(jī)的接口上配置訪問控制列表后，可以對進(jìn)出接口及通過接口中繼的數(shù)據(jù)包進(jìn)行安全檢測。 ? （ 1）限制路由更新。 1/20/2023 7 訪問控制列表類型 ? 標(biāo)準(zhǔn) IP訪問控制列表 –編號的標(biāo)準(zhǔn) IP訪問控制列表 –命名的標(biāo)準(zhǔn) IP訪問控制列表 ? 擴(kuò)展 IP訪問控制列表 –編號的擴(kuò)展 IP訪問控制列表 –命名的擴(kuò)展 IP訪問控制列表 1/20/2023 8 ACL的一些相關(guān)特性 ? （ 1）每一個接口可以在進(jìn)入（ Inbound）和離開（ Outbound）兩個方向上分別應(yīng)用一個 ACL，且每個方向上只能應(yīng)用一個ACL。 ? （ 3）在路由器或交換機(jī)接口接收到報文時，應(yīng)用在接口進(jìn)入方向的 ACL（內(nèi)向 ACL）起作用。 ? （ 5）每個 ACL的結(jié)尾有一個隱含的 deny all（拒絕的所有數(shù)據(jù)包）語句。 1/20/2023 9 ACL的內(nèi)向匹配過程 路由器取出內(nèi)向 ACL的數(shù)據(jù)包進(jìn)入路由器 數(shù)據(jù)包進(jìn)入路由器路由器取出內(nèi)向 ACL的第一條語句 允許還是拒絕？匹配項(xiàng)與數(shù)據(jù)包中的各項(xiàng)進(jìn)行比較 是否匹配匹配項(xiàng)與數(shù)據(jù)包 是否匹配？允許還是拒絕？ 取出內(nèi)向 ACL 下一條語句 最后一條？ 允許 進(jìn)行路由選擇 拒絕 決定轉(zhuǎn)發(fā)接口 丟棄 結(jié)束 1/20/2023 10 ACL的外向匹配過程 路由器取出外向 ACL的第一條語句 選擇離開接口 是否匹配？ 匹配項(xiàng)與數(shù)據(jù)包中的各項(xiàng)進(jìn)行比較 取出外向 ACL 下一條語句 最后一條？ 允許還是拒絕？ 允許 數(shù)據(jù)包從離開接口送出 結(jié)束 丟棄 拒絕 1/20/2023 11 通配符掩碼 通配符掩碼 掩碼的二進(jìn)制形式 描 述 整個 lP地址必須匹配 只有前 24位需要匹配 只有前 16位需要匹配 只有前 8位需要匹配 全部不需要匹配 只有前 20位需要匹配 只有前 22位需要匹配 1/20/2023 12 IP地址與通配符掩碼的作用規(guī)則 ? IP地址與通配符掩碼的作用規(guī)則是： 32位的 IP地址與 32位的通配符掩碼逐位進(jìn)行比較，通配符掩碼為 0的位要求 IP地址的對應(yīng)位必須匹配，通配符掩碼為 1的位所對應(yīng)的 IP地址位不必匹配，例如， ? IP地址 （相應(yīng)的二進(jìn)制為 11000000 10101000 00000001 00000000） ? 通配符掩碼 （相應(yīng)的二進(jìn)制為 00000000 00000000 00000000 11111111） ? 該通配符掩碼的前 24位為 0，對應(yīng)的 IP地址位必須匹配，即必須保持原數(shù)不變，該通配符掩碼的后 8位為 1，對應(yīng)的 IP地址位不必匹配，即IP地址的后 8位可以為任意值。 1/20/2023 13 兩個特殊的關(guān)鍵字 ? Host：表示一種精確匹配，是通配符掩碼 式。 – accesslist 10 permit 或 – accesslist 10 permit host ? Any：表示全部不進(jìn)行匹配，是通配符掩碼。 – accesslist 10 permit – accesslist 10 permit any 1/20/2023 14 配置訪問控制列表的步驟 ? 第一步是配置訪問控制列表語句 ? 第二步是把配置好的訪問控制列表應(yīng)用到某個端口上。 ? （ 2）新的表項(xiàng)只能被添加到訪問表的末尾，這意味著不可能改變已有訪問表的功能。 ? （ 3）標(biāo)準(zhǔn)的 IP訪問控制列表只匹配源地址，一般都使用擴(kuò)展的 IP訪問控制列表以達(dá)到精確的要求。 ? （ 5）在應(yīng)用訪問控制列表時，要特別注意過濾的方向。 1/20/2023 16 配置標(biāo)準(zhǔn) IP訪問控制列表 ? accesslist accesslistnumber denylpermit sourceaddress sourcewildcard mask ? accesslistnumber的范圍是 1~99 ? 訪問控制列表的動作 ： denylpermit 1/20/2023 17 應(yīng)用訪問控制列表到接口 ? Ip accessgroup accesslistnumber in|out ? 訪問控制列表只有被應(yīng)用到某個接口才能達(dá)到報文過濾的目的。 1/20/2
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1