网络系统建设与运维高级实验手册网络系统安全.docx
- 文档编号:25751017
- 上传时间:2023-06-12
- 格式:DOCX
- 页数:34
- 大小:185.70KB
网络系统建设与运维高级实验手册网络系统安全.docx
《网络系统建设与运维高级实验手册网络系统安全.docx》由会员分享,可在线阅读,更多相关《网络系统建设与运维高级实验手册网络系统安全.docx(34页珍藏版)》请在冰豆网上搜索。
网络系统建设与运维高级实验手册网络系统安全
10网络系统安全
10.1利用交换机保障网络安全
10.1.1项目背景
企业局域网有大量用户,局域网内部网络面临着两个风险:
计算机病毒的扩散和内部人员的恶意攻击。
为了提高网络安全,管理员决定在交换机上使用技术手段,防止MAC泛洪、DHCP欺骗、ARP中间人攻击、IP源地址欺骗,避免合法用户的数据被中间人窃取。
10.1.2项目目的
通过本项目可以掌握如下知识点和技能点,同时积累项目经验。
●配置交换机的接口安全。
●配置交换机的DHCPSnooping功能。
●配置交换机的动态ARP检测功能。
●配置交换机的IP源防护功能。
10.1.3项目拓扑
本拓扑用一台交换机S1模拟大量的接入层交换机,S1通过接口G0/0/4上连到DHCPServer(用S2模拟),通过接口G0/0/1、G0/0/2连接DHCP客户端UserA和UserB,通过接口G0/0/3连接静态配置IP地址的用户UserC。
S1的接口G0/0/1、G0/0/2、G0/0/3都属于VLAN1,G0/0/4接口是Trunk接口。
10.1.4项目规划
本项目的核心任务是完成接入层交换机的安全配置,为保持项目的完整性,需完成前期准备工作。
10.1.4.1项目前期准备工作
步骤1VLAN配置:
在两个交换机上配置Trunk,并把接口划分到相应VLAN。
步骤2DHCP服务器部署:
把S2配置为DHCP服务器。
10.1.4.2项目核心任务-完成接入层交换机的安全配置
步骤1配置接口安全防MAC泛洪攻击。
步骤2配置DHCPSnooping功能:
G0/0/4接口为信任接口,并配置静态绑定表,防止DHCP欺骗。
步骤3使能动态ARP检测功能:
使S1对收到的ARP报文对应的源IP、源MAC、VLAN以及接口信息进行DHCPSnooping绑定表匹配检查,防止ARP中间人攻击。
步骤4使能IP源防护功能:
使S1对收到的IP报文对应的源IP、源MAC、VLAN以及接口信息进行DHCPSnooping绑定表匹配检查,防止IP源地址欺骗攻击。
设备接口连接规划表和设备接口IP地址规划表如下。
表10-1设备接口连接规划表
设备
接口
接口类型
VLAN
对端设备及接口
S1
G0/0/1
Access
VLAN1
UserAE0/0/1
G0/0/2
Access
VLAN1
UserBE0/0/1
G0/0/3
Access
VLAN1
UserCE0/0/1
G0/0/4
Trunk
S2G0/0/1
S2
G0/0/1
Trunk
S1G0/0/4
UserA
E0/0/1
S1G0/0/1
UserB
E0/0/1
S1G0/0/2
UserC
E0/0/1
S1G0/0/3
表10-2设备接口IP地址规划表
设备
接口
IP地址
备注
S1
G0/0/1
无
G0/0/2
无
G0/0/3
无
G0/0/4
无
S2
G0/0/1
192.168.1.254/24
UserA
E0/0/1
DHCP
UserB
E0/0/1
DHCP
UserC
E0/0/1
192.168.1.100/24
网关:
192.168.1.254
10.1.5项目实施
10.1.5.1项目准备工作
步骤1VLAN配置
在两个交换机上配置Trunk,并把接口划分到相应VLAN。
在R1上把接口G0/0/1、G0/0/2、G0/0/3链路类型改为access,G0/0/4链路类型改为trunk。
在R2上把接口G0/0/4链路类型改为trunk。
[S1]interfacegigabitethernet0/0/1
[S1-GigabitEthernet0/0/1]portlink-typeaccess
[S1-GigabitEthernet0/0/1]quit
[S1]interfacegigabitethernet0/0/2
[S1-GigabitEthernet0/0/2]portlink-typeaccess
[S1-GigabitEthernet0/0/2]quit
[S1]interfacegigabitethernet0/0/3
[S1-GigabitEthernet0/0/3]portlink-typeaccess
[S1-GigabitEthernet0/0/3]quit
[S1]interfacegigabitethernet0/0/4
[S1-GigabitEthernet0/0/4]portlink-typetrunk
[S1-GigabitEthernet0/0/4]porttrunkallow-passvlan1
[S1-GigabitEthernet0/0/4]quit
[S2]interfacegigabitethernet0/0/1
[S2-GigabitEthernet0/0/1]portlink-typetrunk
[S2-GigabitEthernet0/0/1]porttrunkallow-passvlan1
[S2-GigabitEthernet0/0/1]quit
步骤2DHCP服务器部署
把S2配置为DHCP服务器。
[S2]dhcpenable
[S2]interfaceVlanif1
[S2-Vlanif1]ipaddress192.168.1.254255.255.255.0
[S2-Vlanif1]dhcpselectinterface
[S2-Vlanif1]dhcpserverdns-list1.1.1.1
[S2-Vlanif1]quit
在UserA主机上检查IP地址,如下。
UserB主机操作类似。
PC>ipconfig
LinklocalIPv6address...........:
fe80:
:
5689:
98ff:
fe55:
7659
IPv6address......................:
:
:
/128
IPv6gateway......................:
:
:
IPv4address......................:
192.168.1.253
Subnetmask.......................:
255.255.255.0
Gateway...........................:
192.168.1.254
Physicaladdress..................:
54-89-98-55-76-59
DNSserver........................:
1.1.1.1
以上看到已经获取IP地址
在UserC主机上检查IP地址,如下。
PC>ping192.168.1.254
Ping192.168.1.254:
32databytes,PressCtrl_Ctobreak
From192.168.1.254:
bytes=32seq=1ttl=255time=32ms
From192.168.1.254:
bytes=32seq=2ttl=255time=32ms
From192.168.1.254:
bytes=32seq=3ttl=255time=46ms
From192.168.1.254:
bytes=32seq=4ttl=255time=32ms
From192.168.1.254:
bytes=32seq=5ttl=255time=62ms
---192.168.1.254pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=32/40/62ms
10.1.5.2项目核心任务
步骤1配置接口安全防MAC泛洪攻击
使能接口GE0/0/1、GE0/0/2、GE0/0/3的端口安全功能,限制MAC数为1;安全保护动作为restrict。
[S1]interfacegigabitethernet0/0/1
[S1-GigabitEthernet0/0/1]port-securityenable
[S1-GigabitEthernet0/0/1]port-securitymax-mac-num1
[S1-GigabitEthernet0/0/1]port-securityprotect-actionrestrict
[S1]interfacegigabitethernet0/0/2
[S1-GigabitEthernet0/0/2]port-securityenable
[S1-GigabitEthernet0/0/2]port-securitymax-mac-num1
[S1-GigabitEthernet0/0/2]port-securityprotect-actionrestrict
[S1]interfacegigabitethernet0/0/3
[S1-GigabitEthernet0/0/3]port-securityenable
[S1-GigabitEthernet0/0/3]port-securitymax-mac-num1
[S1-GigabitEthernet0/0/3]port-securityprotect-actionrestrict
步骤2配置DHCPSnooping功能
把S1的G0/0/4接口为信任接口,并在G0/0/3接口配置静态绑定表。
G0/0/1--3其他接口为不可信任接口。
[S1]dhcpenable
[S1]dhcpsnoopingenable
[S1]vlan1
[S1-vlan10]dhcpsnoopingenable
[S1]interfacegigabitethernet0/0/4
[S1-GigabitEthernet0/0/4]dhcpsnoopingtrusted
[S1-GigabitEthernet0/0/4]quit
[S1]user-bindstaticip-address192.168.1.100mac-add5489-9827-6945interfaceg0/0/3vlan1
[S1]interfaceGigabitEthernet0/0/1
[S1-GigabitEthernet0/0/1]dhcpsnoopingenable
[S1-GigabitEthernet0/0/1]quit
[S1]interfaceGigabitEthernet0/0/2
[S1-GigabitEthernet0/0/2]dhcpsnoopingenable
[S1-GigabitEthernet0/0/2]quit
[S1]interfaceGigabitEthernet0/0/3
[S1-GigabitEthernet0/0/3]dhcpsnoopingenable
[S1-GigabitEthernet0/0/3]quit
步骤3使能动态ARP检测功能
使S1对收到的ARP报文对应的源IP、源MAC、VLAN以及接口信息进行DHCPSnooping绑定表匹配检查,防止ARP中间人攻击。
在S1的接口GE0/0/1、GE0/0/2、GE0/0/3下使能动态ARP检测功能。
[S1]interfacegigabitethernet0/0/1
[S1-GigabitEthernet0/0/1]arpanti-attackcheckuser-bindenable
[S1-GigabitEthernet0/0/1]arpanti-attackcheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/1]quit
[S1]interfacegigabitethernet0/0/2
[S1-GigabitEthernet0/0/2]arpanti-attackcheckuser-bindenable
[S1-GigabitEthernet0/0/2]arpanti-attackcheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/2]quit
[S1]interfacegigabitethernet0/0/3
[S1-GigabitEthernet0/0/3]arpanti-attackcheckuser-bindenable
[S1-GigabitEthernet0/0/3]arpanti-attackcheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/3]quit
步骤4使能IP源防护功能
使S1对收到的IP报文对应的源IP、源MAC、VLAN以及接口信息进行DHCPSnooping绑定表匹配检查,防止IP源地址欺骗攻击。
在S1的接口GE0/0/1、GE0/0/2、GE0/0/3下使能IPSG功能。
[S1]interfacegigabitethernet0/0/1
[S1-GigabitEthernet0/0/1]ipsourcecheckuser-bindenable
[S1-GigabitEthernet0/0/1]ipsourcecheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/1]quit
[S1]interfacegigabitethernet0/0/2
[S1-GigabitEthernet0/0/2]ipsourcecheckuser-bindenable
[S1-GigabitEthernet0/0/2]ipsourcecheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/2]quit
[S1]interfacegigabitethernet0/0/3
[S1-GigabitEthernet0/0/3]ipsourcecheckuser-bindenable
[S1-GigabitEthernet0/0/3]ipsourcecheckuser-bindcheck-itemip-addressmac-addressvlan
[S1-GigabitEthernet0/0/3]quit
10.1.6项目验证
10.1.6.1检查客户计算机IP地址和通信
配置UserA、UserB计算机使用动态IP地址,UserC为静态IP(192.168.1.100)。
以下是UserA的地址。
PC>ipconfig/renew
IPConfiguration
LinklocalIPv6address...........:
fe80:
:
5689:
98ff:
fe55:
7659
IPv6address......................:
:
:
/128
IPv6gateway......................:
:
:
IPv4address......................:
192.168.1.248
Subnetmask.......................:
255.255.255.0
Gateway...........................:
192.168.1.254
Physicaladdress..................:
54-89-98-55-76-59
DNSserver........................:
1.1.1.1
PC>ping192.168.1.254
Ping192.168.1.254:
32databytes,PressCtrl_Ctobreak
From192.168.1.254:
bytes=32seq=1ttl=255time=93ms
From192.168.1.254:
bytes=32seq=2ttl=255time=62ms
From192.168.1.254:
bytes=32seq=3ttl=255time=63ms
From192.168.1.254:
bytes=32seq=4ttl=255time=78ms
From192.168.1.254:
bytes=32seq=5ttl=255time=78ms
---192.168.1.254pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=62/74/93ms
以下是UserB的地址。
PC>ipconfig/renew
IPConfiguration
LinklocalIPv6address...........:
fe80:
:
5689:
98ff:
fed9:
7a30
IPv6address......................:
:
:
/128
IPv6gateway......................:
:
:
IPv4address......................:
192.168.1.247
Subnetmask.......................:
255.255.255.0
Gateway...........................:
192.168.1.254
Physicaladdress..................:
54-89-98-D9-7A-30
DNSserver........................:
1.1.1.1
PC>ping192.168.1.254
Ping192.168.1.254:
32databytes,PressCtrl_Ctobreak
From192.168.1.254:
bytes=32seq=1ttl=255time=32ms
From192.168.1.254:
bytes=32seq=2ttl=255time=47ms
From192.168.1.254:
bytes=32seq=3ttl=255time=47ms
From192.168.1.254:
bytes=32seq=4ttl=255time=47ms
From192.168.1.254:
bytes=32seq=5ttl=255time=31ms
---192.168.1.254pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=31/40/47ms
以下是UserC的地址。
PC>ipconfig
LinklocalIPv6address...........:
fe80:
:
5689:
98ff:
fe27:
6945
IPv6address......................:
:
:
/128
IPv6gateway......................:
:
:
IPv4address......................:
192.168.1.100
Subnetmask.......................:
255.255.255.0
Gateway...........................:
192.168.1.254
Physicaladdress..................:
54-89-98-27-69-45
DNSserver........................:
PC>ping192.168.1.254
Ping192.168.1.254:
32databytes,PressCtrl_Ctobreak
From192.168.1.254:
bytes=32seq=1ttl=255time=63ms
From192.168.1.254:
bytes=32seq=2ttl=255time=46ms
From192.168.1.254:
bytes=32seq=3ttl=255time=47ms
From192.168.1.254:
bytes=32seq=4ttl=255time=31ms
From192.168.1.254:
bytes=32seq=5ttl=255time=31ms
---192.168.1.254pingstatistics---
5packet(s)transmitted
5packet(s)received
0.00%packetloss
round-tripmin/avg/max=31/43/63ms
10.1.6.2检查DHCPSnooping情况
[S1]displaydhcpsnooping
DHCPsnoopingglobalrunninginformation:
DHCPsnooping:
Enable
Staticusermaxnumber:
1024
Currentstaticusernumber:
1
Dhcpusermaxnumber:
1024(default)
Currentdhcpusernumber:
2
Arpdhcp-snoopingdetect:
Disable(default)
Alarmthreshold:
100(default)
Checkdhcp-rate:
Disable(default)
Dhcp-ratelimit(pps):
100(default)
Alarmdhcp-rate:
Disable(default)
Alarmdhcp-ratethresho
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络 系统 建设 高级 实验 手册 系统安全
![提示](https://static.bdocx.com/images/bang_tan.gif)