校園網(wǎng)絡(luò)安全配置研究畢業(yè)論文-在線瀏覽
2024-08-06 16:49本頁面
【正文】 ，很容易受到入侵者的攻擊，嚴(yán)重時會導(dǎo)致網(wǎng)絡(luò)的癱瘓。能根據(jù)學(xué)校的安全政策控制(允許、拒絕、監(jiān)測)出入網(wǎng)絡(luò)的信息流，具有較強的抗攻擊能力。校園網(wǎng)的防火墻要求控制不安全的服務(wù)，它執(zhí)行防火墻的安全策略，僅允許校園網(wǎng)授權(quán)的協(xié)議和服務(wù)才能通過防火墻。所有進(jìn)出校園網(wǎng)的信息都必須經(jīng)過防火墻，它記錄校園網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間進(jìn)行的所有事件信息。ACL采用包過濾技術(shù)，在路由器上讀取第三層及第四層包頭中的信息如源地址、目的地址、源端口、目的端口等，根據(jù)預(yù)先定義好的規(guī)則對包進(jìn)行過濾，從而達(dá)到訪問控制的目的。其它部門在上班時間（8:00 至18:00）被禁止訪問工資查詢服務(wù)器（IP ），而院長辦公室（IP ）不受限制，可以隨時訪問。Device systemview[Device] timerange trname 8:00 to 18:00 workingday(2) 定義到工資服務(wù)器的ACL 進(jìn)入高級IPv4 ACL 視圖，編號為3000。[Deviceacladv3000] rule 1 permit ip source destination 定義其它部門到工資服務(wù)器的訪問規(guī)則。[Device] firewall enable[Device] interface ethernet 1/0[DeviceEthernet1/0] firewall packetfilter 3000 outbound 3 NAT技術(shù)在安全方面的應(yīng)用 NAT概述 產(chǎn)生背景隨著Internet的發(fā)展和網(wǎng)絡(luò)應(yīng)用的增多，IPv4地址枯竭已成為制約網(wǎng)絡(luò)發(fā)展的瓶頸。其中，使用私網(wǎng)地址之所以能夠節(jié)省IPv4地址，主要是利用了這樣一個事實：一個局域網(wǎng)中在一定時間內(nèi)只有很少的主機需訪問外部網(wǎng)絡(luò)，而80%左右的流量只局限于局域網(wǎng)內(nèi)部。當(dāng)局域網(wǎng)內(nèi)的主機要訪問外部網(wǎng)絡(luò)時，只需通過NAT技術(shù)將其私網(wǎng)地址轉(zhuǎn)換為公網(wǎng)地址即可，這樣既可保證網(wǎng)絡(luò)互通，又節(jié)省了公網(wǎng)地址。它具備以下優(yōu)點：1. 對于內(nèi)部通訊可以利用私網(wǎng)地址，如果需要與外部通訊或訪問外部資源，則可通過將私網(wǎng)地址轉(zhuǎn)換成公網(wǎng)地址來實現(xiàn)。3. 通過靜態(tài)映射，不同的內(nèi)部服務(wù)器可以映射到同一個公網(wǎng)地址。4. 方便網(wǎng)絡(luò)管理，如通過改變映射表就可實現(xiàn)私網(wǎng)服務(wù)器的遷移，內(nèi)部網(wǎng)絡(luò)的改變也很容易。當(dāng)時功能還很簡單,僅僅用于研究實驗。隨著NAT技術(shù)的應(yīng)用越來越廣泛,其自身的技術(shù)特點在網(wǎng)絡(luò)安全領(lǐng)域也逐漸顯示出其獨特的應(yīng)用價值。而這二個地址是很容易披篡改和偽造的,一旦網(wǎng)絡(luò)的結(jié)構(gòu)暴露給外界后,就很難抵御IP層的攻擊行為。采用網(wǎng)絡(luò)路由中網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù)、通過在網(wǎng)關(guān)上對進(jìn)出口IP包源與目的地址的轉(zhuǎn)換,完全可以實現(xiàn)過濾規(guī)則的動態(tài)化,使得外部網(wǎng)中的主機或使用者難以了解和掌握與自己通信的對方的真實網(wǎng)絡(luò)地址。這樣,一方面通過在網(wǎng)絡(luò)層(IP層)將內(nèi)部網(wǎng)與外部網(wǎng)隔離開,使得內(nèi)部網(wǎng)的拓?fù)浣Y(jié)構(gòu)、域名及地址信息對外成為不可見或不確定信息,從而保證了內(nèi)部網(wǎng)中主機的隱蔽性。同時在很大程度上還保證了網(wǎng)絡(luò)通信的透明性。 NAT只能安裝在網(wǎng)關(guān)系統(tǒng)上,而這也正是普通防火墻系統(tǒng)通常所處的位置。 校園內(nèi)部服務(wù)器通過NAT訪問外網(wǎng)方案設(shè)計方案設(shè)計的目的在于校園網(wǎng)通過MSR系列路由器的地址轉(zhuǎn)換后連接到廣域網(wǎng)。～ 三個合法的公網(wǎng)IP 地址。并希望可對外提供統(tǒng)一的服務(wù)器的IP地址， 的公網(wǎng)地址。外部PC 機可以訪問內(nèi)部的服務(wù)器。很多新的應(yīng)用技術(shù)也在不斷地開發(fā)并投入應(yīng)用之中。新技術(shù)可以讓我們感受到科技的便利，同時也會給我們帶來新的煩惱。對于校園網(wǎng)來說，ARP攻擊就是一個揮之不去的夢魘。ARP攻擊的具體表現(xiàn)為：在使用校園網(wǎng)時經(jīng)常突然掉線，過一會兒網(wǎng)絡(luò)又可能恢復(fù)，這種現(xiàn)象會頻繁出現(xiàn)。ARP攻擊一般比較頑固，在一個網(wǎng)絡(luò)中只要出現(xiàn)一臺電腦有ARP病毒程序，就會導(dǎo)致整個網(wǎng)絡(luò)出現(xiàn)間歇性中斷，甚至整個網(wǎng)絡(luò)癱瘓，危害特別大，前一段時間，各大校園網(wǎng)都受到不同程序的攻擊。 ARP協(xié)議及ARP攻擊簡介 ARP協(xié)議簡介ARP協(xié)議是Address Resolution Protocol地址解析協(xié)議的縮寫,是一種將IP地址轉(zhuǎn)化成物理地址，即Mac地址的協(xié)議，在TCP/IP局域網(wǎng)中以幀的方式傳輸數(shù)據(jù),并且根據(jù)幀中目標(biāo)主機的MAC地址來進(jìn)行尋址。 ARP攻擊簡介按照ARP協(xié)議的設(shè)計，一個主機即使收到的ARP應(yīng)答并非自身請求得到的，也會將其IP地址和MAC地址的對應(yīng)關(guān)系添加到自身的ARP映射表中。校園網(wǎng)中，常見的ARP攻擊有如下幾中形式。這樣一來，主機訪問網(wǎng)關(guān)的流量，被重定向到一個錯誤的MAC地址，導(dǎo)致該用戶無法正常訪問外網(wǎng)。這樣一來，網(wǎng)關(guān)發(fā)給該用戶的所有數(shù)據(jù)全部重定向到一個錯誤的MAC地址，導(dǎo)致該用戶無法正常訪問外網(wǎng)。這樣一來，網(wǎng)段內(nèi)的其他主機發(fā)給該用戶的所有數(shù)據(jù)都被重定向到錯誤的MAC地址，同網(wǎng)段內(nèi)的用戶無法正常互訪。如0所示，Host A和Host C通過Switch進(jìn)行通信。此后，Host A 和Host C之間看似“直接”的通信，實際上都是通過黑客所在的主機間接進(jìn)行的，即Host B擔(dān)當(dāng)了“中間人”的角色，可以對信息進(jìn)行了竊取和篡改。圖44 “中間人”攻擊ARP“中間人”攻擊示意圖惡意用戶利用工具構(gòu)造大量ARP報文發(fā)往交換機的某一端口，導(dǎo)致CPU負(fù)擔(dān)過重，造成其他功能無法正常運行甚至設(shè)備癱瘓。正常情況下，除網(wǎng)關(guān)外不會有其他記錄，需要注意的是網(wǎng)關(guān)的MAC地址是否和正常的時候一樣。鍵入“arp –d”命令，查看網(wǎng)絡(luò)是否可以恢復(fù)。2. Ping網(wǎng)關(guān)，看看是否出現(xiàn)丟包的現(xiàn)象，如果有丟包現(xiàn)象，但是又有時能夠連通，則有可能受到了攻擊。直接使用tracert連接最近的路由，檢查是不是原來設(shè)定的路由，如果或者通過很多路由，就可能受到了攻擊，而且通過的路徑都有可能是攻擊路由。2. 設(shè)定好靜態(tài)的IPMAC對應(yīng)表，不讓主機去更新綁定的ARP緩存表，從而制止ARP攻擊。4. 使用ARP防火墻監(jiān)視網(wǎng)絡(luò)，發(fā)現(xiàn)ARP攻擊及時阻斷攻擊源并立即追蹤。管理員通過在接入交換機上全面部署ARP攻擊防御相關(guān)特性，形成保護(hù)屏障，過濾掉攻擊報文。校園網(wǎng)用戶分布在兩個區(qū)域Host area1和Host area2，分別屬于VLAN10和VLAN20，通過接入交換機Switch A和Switch B連接到網(wǎng)關(guān)Gate
數(shù)學(xué)相關(guān)推薦
鄂ICP備17016276號-1