【正文】 RLREPLACED FDFADING TO—TIMEOUT（5）分部1的ipsec sa狀態(tài)；[branch1]dis ipsec sa===============================Interface: Serial2/0 path MTU: 1500=============================== IPsec policy name: branch1 sequence number: 10 mode: isakmp connection id: 3 encapsulation mode: tunnel perfect forward secrecy: None tunnel: local address: remote address: Flow : sour addr: : 0 protocol: GRE dest addr: : 0 protocol: GRE [inbound ESP SAs] spi: 3177135980 (0xbd5f3f6c) proposal: ESPENCRYPTDES ESPAUTHMD5 sa duration (kilobytes/sec): 1843200/3600 sa remaining duration (kilobytes/sec): 1843200/2348 max received sequencenumber: 1 antireplay check enable: Y antireplay window size: 32 udp encapsulation used for nat traversal: N [outbound ESP SAs] spi: 4140546555 (0xf6cbb9fb) proposal: ESPENCRYPTDES ESPAUTHMD5 sa duration (kilobytes/sec): 1843200/3600 sa remaining duration (kilobytes/sec): 1843188/2348 max sent sequencenumber: 126 udp encapsulation used for nat traversal: N（6）分部1的路由表[Branch1]dis ip routingtable Routing Tables: Public Destinations : 13 Routes : 13Destination/Mask Proto Pre Cost NextHop Interface 實(shí)驗(yàn)疑問解答實(shí)驗(yàn)中的當(dāng)吧配置文檔敲進(jìn)去后，我能夠看到實(shí)驗(yàn)效果，就是網(wǎng)絡(luò)拓?fù)渲袃啥说腜C能夠ping通，但是查看不了各個路由器中的ike sa狀態(tài)和ipsec sa狀態(tài)。請闡述IPSec是通過哪些協(xié)議來實(shí)現(xiàn)安全服務(wù)的？這些協(xié)議分別起什么作用？。它不支持?jǐn)?shù)據(jù)加密。AH只有當(dāng)我們需要保證交換數(shù)據(jù)雙方安全時才會使用。ESP可以單獨(dú)實(shí)現(xiàn)，也可以與AH一起實(shí)現(xiàn)。Internet Security Association and Key Management Protocol (ISAKMP)：這些協(xié)議提供了實(shí)現(xiàn)IPsec VPN服務(wù)協(xié)商的框架和過程。IKE定義在IETF RFC 2409。IPsec節(jié)點(diǎn)會使用SA來跟蹤不同IPsec節(jié)點(diǎn)之間協(xié)商的各個方面的安全性服務(wù)政策。IKE協(xié)議負(fù)責(zé)管理IPsec VPN節(jié)點(diǎn)的ISAKMP中的IPsec安全關(guān)聯(lián)。IKE是建立IPsec節(jié)點(diǎn)之間IPsec連接的機(jī)制。GRE（Generic Routing Encapsulation，通用路由封裝）協(xié)議是對某些網(wǎng)絡(luò)層協(xié)議（如IP 和IPX）的數(shù)據(jù)報(bào)文進(jìn)行封裝，使這些被封裝的數(shù)據(jù)報(bào)文能夠在另一個網(wǎng)絡(luò)層協(xié)議（如IP）中傳輸。Tunnel 是一個虛擬的點(diǎn)對點(diǎn)的連接，提供了一條通路使封裝的數(shù)據(jù)報(bào)文能夠在這個通路上傳輸，并且在一個Tunnel 的兩端分別對數(shù)據(jù)報(bào)進(jìn)行封裝及解封裝。擴(kuò)大了網(wǎng)絡(luò)的工作范圍，包括那些路由網(wǎng)關(guān)有限的協(xié)議。缺點(diǎn)只封裝不加密，不能防止網(wǎng)絡(luò)監(jiān)聽和攻擊，所以在實(shí)際環(huán)境中經(jīng)常與IPSec一起使用。對原有IP報(bào)文進(jìn)行了重新封裝，所以同樣無法實(shí)施IP QoS策略。 組網(wǎng)圖 組網(wǎng)圖 配置要求先熟悉兩種新設(shè)備MG6030和ME5000，并做好地址規(guī)劃。（2）配置ME5000服務(wù)器。（4）實(shí)現(xiàn)TOPVIEW數(shù)據(jù)終端的安裝和配置。圖 實(shí)驗(yàn)組網(wǎng)圖 實(shí)驗(yàn)配置（1）MCU終端添加如下圖所示。圖 終端管理（3）創(chuàng)建會議，將分屏改成三分層，文字大小是小，字幕位置是下移，字體顏色是綠色，播放形式是滾動，播放速度是中速，循環(huán)次數(shù)是9次等圖 創(chuàng)建會議（4）會議控制圖 會議控制設(shè)置圖 會議控制設(shè)置（5）TOPVIEW會議召開。圖 加入會議2）程序共享圖 程序共享3）文件傳輸圖 文件傳輸 問題回答，？，它是主叫用戶為呼叫移動通信網(wǎng)中用戶所需撥號的號碼。采用ENUM解決電話和數(shù)據(jù)業(yè)務(wù)的惟一號碼問題，但是，實(shí)現(xiàn)ENUM機(jī)制需要分配一個新的號碼，如圖1所示是一個PSTN用戶對一個SIP用戶的呼叫。該種業(yè)務(wù)完全依賴于DNS系統(tǒng)，用戶的個人信息也將在DNS系統(tǒng)中包括，因此ENUM的引入還有一個安全的問題，目前我國正在對于ENUM的引入進(jìn)行研究。題目三、網(wǎng)絡(luò)安全綜合實(shí)驗(yàn) 實(shí)訓(xùn)任務(wù)某企業(yè)采用SecPath防火墻設(shè)備和IPS設(shè)備構(gòu)建安全防范體系。防火墻上實(shí)現(xiàn)分片報(bào)文攻擊防范、常見flood攻擊防范。防火墻郵件主題過濾、網(wǎng)頁地址過濾實(shí)現(xiàn)。（1）配置文檔給各個端口配置IP地址[F]interface Ethernet 0/0[FEthernet0/0]ip add 24[FEthernet0/0]quit[F]interface Ethernet0/1[FEthernet0/1]ip add 24[FEthernet0/1]quit防火墻打開[F]firewall packetfilter enable [F]firewall packetfilter default permit 全局模式啟用統(tǒng)計(jì)功能[F]firewall statistic system enable 啟用黑名單功能[F]firewall blacklist enable手工添加到黑名單條目[F]firewall blacklist [F]firewall zone trust [Fzonetrust]add interface Ethernet 0/0[Fzonetrust] statistic enable ip inzone//連接發(fā)起域入方向啟用IP統(tǒng)計(jì)功能[Fzonetrust]quit[F]firewall zone untrust [Fzoneuntrust]add interface Ethernet 0/1[Fzoneuntrust]statistic enable ip outzone//連接發(fā)起域出方向啟用IP統(tǒng)計(jì)功能[Fzoneuntrust]statistic enable ip inzone[Fzoneuntrust]quit配置ipsweep防范屬性[F]firewall defend ipsweep maxrate 300 blacklisttimeout 15配置portscan防范屬性[F]firewall defend portscan maxrate 300 blacklisttimeout 10 （2）當(dāng)我們將配置全部敲完后，我們將要查看實(shí)驗(yàn)效果，然后就是用軟件nmap來攻擊我們的web服務(wù)器，也可以說是要掃描web服務(wù)器端口。圖 端口掃描當(dāng)我們端口掃描完后，我們就在防火墻中進(jìn)行查看，代碼如下：顯示黑名單表項(xiàng)[F]dis firewall blacklist item Firewall blacklist item : Current manual insert items : 1 Current automatic insert items : 1 Need aging items : 1 IP Address Insert reason Insert time Age time(minutes) Manual 2013/01/13 12:29:14 Permanent Port Scan 2013/01/13 14:56:05 10顯示攻擊防范統(tǒng)計(jì)[F] dis firewall statistic system defend Display firewall defend statistic:IPsweep, 2 time(s)TCP portscan, 2 time(s)UDP portscan, 0 time(s)total, 4 time(s)防火墻上實(shí)現(xiàn)分片報(bào)文攻擊防范、常見flood攻擊防范。打開防火墻[F]firewall packetfilter enable [F]firewall packetfilter default permit [F]firewall statistic system enable 設(shè)置阻止到達(dá)server的IP分片報(bào)文，并且允許FTP分片報(bào)文通過。[F]interface Ethernet 0/0[FEthernet0/0]ip add 24[FEthernet0/0]firewall packetfilter 3000 inbound [FEthernet0/0]quit[F]interface Ethernet 0/1[FEthernet0/1]ip add 24[FEthernet0/1]quit[F]firewall zone trust [Fzonetrust]add interface Ethernet 0/0[Fzonetrust]quit[F]firewall zone untrust [Fzoneuntrust]add interface Ethernet 0/1[Fzoneuntrust]quit[F]FTP server enable //FTP服務(wù)開啟% Start FTP server（2）常見flood攻擊防范。[F]firewall packetfilter enable [F]firewall packetfilter default permit[F]firewall statistic system enable [F]acl number 2001[Faclbasic2001]rule 0 permit source [Faclbasic2001]quit常見的病毒防范列表[F]acl number 3001[Facladv3001]rule 0 deny tcp sourceport eq 3127[Facladv3001]rule 1 deny tcp sourceport eq 1025 [Facladv3001]rule 2 deny tcp sourceport eq 5554 [Facladv3001]rule 3 deny tcp sourceport eq 9996 [Facladv3001]rule 4 deny tcp sourceport eq 1068 [Facladv3001]rule 5 deny tcp sourceport eq 135 [Facladv3001]rule 6 deny udp sourceport eq 135 [Facladv3001]rule 7 deny tcp sourceport eq 137 [Facladv3001]rule 8 deny udp sourceport eq netbiosns [Facladv3001]rule 9 deny tcp sourceport eq 138 [Facladv3001]rule 10 deny udp sourceport eq netbiosdgm [Facladv3001]rule 11 deny tcp sourceport eq 139 [Facladv3001]rule 12 deny udp sourceport eq netbiosssn [Facl