C8311园区网安全20.docx
- 文档编号:6532178
- 上传时间:2023-01-07
- 格式:DOCX
- 页数:15
- 大小:329.21KB
C8311园区网安全20.docx
《C8311园区网安全20.docx》由会员分享,可在线阅读,更多相关《C8311园区网安全20.docx(15页珍藏版)》请在冰豆网上搜索。
C8311园区网安全20
第一章IPACL(6.0%)
锐捷三层交换机SVI口in/out机制
输入ACL在设备接口接收到报文时,检查报文是否与该接口输入ACL的某一条ACE相匹配;
输出ACL在设备准备从某一个接口输出报文时,检查报文是否与该接口输出ACL的某一条ACE相匹配。
在制定不同的过滤规则时,多条规则可能同时被应用,也可能只应用其中几条。
只要是符合某条ACE,就按照该ACE定义的处理报文(Permit或Deny)。
ACL的ACE根据以太网报文的某些字段来标识以太网报文的,这些字段包括:
规则(Rules)指的是ACE过滤域模板对应的值。
比如有一条ACE内容如下:
permittcphost192.168.12.2anyeqtelnet
在这条ACE中,过滤域模板为以下字段的集合:
源IP地址字段、IP协议字段、目的TCP端
口字段。
对应的值(Rules)分别为:
源IP地址=Host192.168.12.2;IP协议=TCP;TCP目的端口=Telnet。
permittcphost192.168.12.2anyeqtelnet的分析
过滤域模板可以是三层字段(Layer3Field)和四层字段(Layer4Field)字段的集合,也
可以是多个二层字段(Layer2Field)的集合,但标准与扩展的ACL的过滤域模板不能
是二层和三层、二层和四层、二层和三层、四层字段的集合。
要使用二层、三层、
四层字段集合,可以应用Expert扩展访问控制列表(ExpertACLs)。
1.OUT方向ACL关联SVI的注意事项:
支持IP标准,IP扩展,MAC扩展,专家级ACL应用;
对ACL中匹配目的IP和目的MAC有一些限制,如果在MAC扩展和专家级ACL中匹配目的MAC,将这样的ACL应用到SVI的OUT方向时,表项会被设置,但无法生效。
如果想要在IP标准,IP扩展,专家级ACL中匹配目的IP,而目的IP不在所关联的SVI的子网IP范围内时,该配置的ACL将无法生效。
比如VLAN1的地址为192.168.64.1255.255.255.0现在,创建一条IP扩展的ACL,ACL为denyudpany192.168.65.10.0.0.255eq255,将该ACL应用到VLAN1的出口,将无法生效,因为目的IP不在VLAN1子网IP范围内,如果ACL为denyudpany192.168.64.10.0.0.255eq255将可以生效,因为目的IP符合规定;
2.当配置专家级的ACL,并应用在接口的out方向时,如果该ACL中的某些ACE包含三层匹配信息(比如IP,L4port等),将导致从应用接口进入的非IP报文无法受该ACL的permit和deny规则控制。
3.应用ACL时,如果ACL(包括IP访问列表和Expert扩展访问列表)中的ACE匹配了非L2字段,比如SIP,DIP时,对于带标签的MPLS报文匹配是无效的。
IP访问列表配置
要在设备上配置访问列表,必须为协议的访问列表指定一个唯一的名称或编号,以便在协议内部能够唯一标识每个访问列表。
下表列出了可以使用编号来指定访问列表的协议以及每种
协议可以使用的访问列表编号范围。
IP访问列表配置指导
创建访问列表时,定义的规则将应用于设备上所有的分组报文,设备通过判断分组是否与规则匹配来决定是否转发或阻断分组报文。
标准/扩展IPACL配置,VTY调用ACL
标准ACL
只能匹配源ip地址。
应用场景1
企业进行安全策略设置时,若想控制来自某些IP或某网段的所有流量,如禁止一些IP地址不能访问所有资源,此时可使用标准ACL。
若只想控制来自某些IP或网段的部分流量,如禁止一些IP地址访问另一个网段,此时可采用扩展ACL。
一、组网需求
禁止内网PC1192.168.1.2访问互联网,其它地址不受限制
二、组网拓扑
三、配置要点
1、在全局下配置标准ACL
2、在内网口调用
3、保存配置
四、配置步骤
1、在全局下配置标准ACL
1)标准ACL的编号范围:
1-99和1300-1999;扩展ACL的编号范围:
100-199和2000-2699。
2)标准ACL只匹配源ip地址,扩展ACL可以匹配数据流的五大元素(源ip地址、目的ip地址、源端口、目的端口、协议号)
3)ACL的匹配顺序为从上往下(ACE序号从小到大)匹配ACE条目,若匹配对应的ACE条目后,就执行该ACE条目的行为(允许/拒绝),不会再往下匹配其他ACE条目。
4)ACL最后隐含一体denyany的ACE条目,会拒绝所有流量。
若是禁止某网段访问,其他网段均放通,则应该在拒绝流量的ACE配置完成后,再加一条permitany的ACE条目,用来放行其他流量。
Ruijie(config)#ipaccess-liststandard1//创建标准acl1
Ruijie(config-std-nacl)#10deny192.168.1.20.0.0.0//配置序列号10的acl条目,匹配PC1的ip192.168.1.2(ip地址+反掩码)
Ruijie(config-std-nacl)#20permitany//配置允许其它流量
Ruijie(config-std-nacl)#exit
2、在内网口调用
Ruijie(config)#interfacefastEthernet0/0
Ruijie(config-if-FastEthernet0/0)#ipaccess-group1in//在内网口应用acl1
3、保存配置
Ruijie(config-if-FastEthernet0/0)#end
Ruijie#write//确认配置正确,保存配置
五、配置验证
1、分别测试内网PC能否访问互联网,若PC1无法访问互联网,其它PC正常,则配置正确。
2、查看acl的配置
Ruijie#showaccess-lists
ipaccess-liststandard1
10deny192.168.1.20.0.0.0
20permitany
3、查看acl在接口下的应用
Ruijie#showipaccess-group
ipaccess-group1in
AppliedOninterfaceFastEthernet0/0.
扩展ACL
可以匹配数据流的五大元素(源ip地址、目的ip地址、源端口、目的端口、协议号)
应用场景1:
企业进行安全策略设置时,若只想控制来自某些IP或网段的部分流量,如禁止某IP地址打开网页,即可写一条扩展的ACL,源是此IP地址,目的IP是所有,目的端口为80(网页端口为80)的ACL进行控制,此时可采用扩展ACL。
一、组网需求
不允许PC1访问100.100.100.100的web服务(tcp80端口),其它流量全部放行。
二、组网拓扑
三、配置要点
1、在全局下配置扩展ACL
2、在内网口调用
3、保存配置
四、配置步骤
1、在全局下配置扩展ACL
1)标准ACL的编号范围:
1-99和1300-1999;扩展ACL的编号范围:
100-199和2000-2699。
2)标准ACL只匹配源ip地址,扩展ACL可以匹配数据流的五大元素(源ip地址、目的ip地址、源端口、目的端口、协议号)
3)ACL的匹配顺序为从上往下(ACE序号从小到大)匹配ACE条目,若匹配对应的ACE条目后,就执行该ACE条目的行为(允许/拒绝),不会再往下匹配其他ACE条目。
4)ACL最后隐含一体denyany的ACE条目,会拒绝所有流量。
若是禁止某网段访问,其他网段均放通,则应该在拒绝流量的ACE配置完成后,再加一条permitany的ACE条目,用来放行其他流量。
Ruijie(config)#ipaccess-listextended100
Ruijie(config-ext-nacl)#10denytcp192.168.1.20.0.0.0100.100.100.1000.0.0.0eq80//配置acl拒绝内网192.168.1.2的PC访问100.100.100.100的80端口
Ruijie(config-ext-nacl)#20permitipanyany//配置允许其它流量(必须配置)
Ruijie(config-ext-nacl)#exit
2、在内网接口上调用
Ruijie(config)#interfacefastEthernet0/0
Ruijie(config-if-FastEthernet0/0)#ipaccess-group100in//接口下调用
3、保存配置
Ruijie(config-if-FastEthernet0/0)#end
Ruijie#write//确认配置正确,保存配置
五、配置验证
1、测试内网PC能否访问100.100.100.100的web服务,及其他流量访问,若PC1无法访问100.100.100.100的web服务,其他流量访问正常,则配置正确。
2、查看acl的配置
Ruijie#showaccess-lists
ipaccess-listextended100
10denytcphost192.168.1.2host100.100.100.100eqwww
20permitipanyany
3、查看acl在接口下的应用
Ruijie#showipaccess-group
ipaccess-group100in
AppliedOninterfaceFastEthernet0/0.
基于时间的ACL
应用场景1
企业进行安全策略设置时,除了使用标准/扩展ACL匹配IP流量外,若还有需要对时间进行控制,例如企业控制员工上班时间不能访问互联网,下班后可以访问互联网,那么可以在标准/扩展ACL加上时间匹配。
功能介绍:
您可以使ACL基于时间运行,比如让ACL在一个星期的某些时间段内生效等。
为了达到这个要求,您必须首先配置一个Time-Range。
Time-Range的实现依赖于系统时钟,如果您要使用这个功能,必须保证系统有一个可靠的时钟。
一、组网需求
白天上班时间(9:
00~12:
00及14:
00~18:
00),禁止内网PC访问互联网,其它时间段可以访问互联网,内网之间互访的流量不受限制。
二、组网拓扑
三、配置要点
1、要先配置设备的时间,ACL的生效时间,参照的是本设备的时间
2、时间段不能跨0:
00,即如果要写晚上10:
00点到第二天早上7:
00的时间段,需要分两段写
Ruijie(config)#time-rangeaaa
Ruijie(config-time-range)#periodicdaily0:
00to7:
00
Ruijie(config-time-range)#periodicdaily22:
00to23:
59
3、标准ACL及扩展ACL都支持基于时间段来控制
四、配置步骤
1、配置设备时间
Ruijie>enable
Ruijie#clockset10:
00:
001212012//clockset小时:
分钟:
秒月日年
Ruijie#configureterminal//进入全局配置模式
Ruijie(config)#clocktimezonebeijing8//设置设备的时区为东8区
2、配置时间段参数
Ruijie(config)#time-rangework//定义一个名字为work的时间段
Ruijie(config-time-range)#periodicdaily9:
00to12:
30
Ruijie(config-time-range)#periodicdaily14:
00to18:
30
Ruijie(config-time-range)#exit
3、配置关联时间段的ACL
Ruijie(config)#ipaccess-listextended100
Ruijie(config-ext-nacl)#10denyip192.168.1.00.0.0.255anytime-rangework//在work的时间段,拒绝内网192.168.1.0/24到外网的任何流量
Ruijie(config-ext-nacl)#20permitipanyany//配置允许其它流量(必须配置),ACL最后隐含一体denyany语句,会拒绝所有流量
Ruijie(config-ext-nacl)#exit
4、接口下调用
Ruijie(config)#interfacefastEthernet0/0
Ruijie(config-if-FastEthernet0/0)#ipaccess-group100in//在内网口调用配置好的acl100
5、保存配置
Ruijie(config-if-FastEthernet0/0)#end
Ruijie#write//确认配置正确,保存配置
五、配置验证
1、通过如上的clockset调整设备的时间,内网PC分别测试是否能够上互联网,上班时间(9:
00-12:
0014:
00-18:
00)内网PC不能访问互联网,非上班时间,内网PC可以访问互联网。
2、查看设备的相应配置
1)查看设备的时间
Ruijie#showclock
10:
14:
01beijingSat,Dec1,2012
2)查看acl的配置
Ruijie#showaccess-lists
ipaccess-listextended100
10denyip192.168.1.00.0.0.255anytime-rangework(active)//acl的状态为生效,因为当前设备时间为上班时间
20permitipanyany
Ruijie#
3)查看acl在接口下的调用
Ruijie#showipaccess-group
ipaccess-group100in
AppliedOninterfaceFastEthernet0/0.
VTY调用ACL
第二章锐捷防ARP欺骗(9.0%)
IPSourceGuard原理,DAI原理,ARPCheck原理
IPSourceGuard原理
IPSourceGuard维护一个IP源地址绑定数据库,IPSourceGuard可以在对应的接口上对主机报文进行基于源IP、源IP加源MAC的报文过滤,从而保证只有IP源地址绑定数据库中的主机才能正常使用网络;IPSourceGuard之所以在DHCP使用中能够有效的安全控制,这主要取决于IP源地址绑定数据库,IPSourceGuard会自动将DHCPSnooping绑定数据库中的合法用户绑定同步到IPSourceGuard的IP源地址绑定数据库,这样IPSourceGuard就可以在打开DHCPSnooping的设备上对客户端的报文进行严格过滤;默认情况下,打开IPSourceGuard功能的端口会过滤所有非DHCP的IP报文;只有当客户端通过DHCP从服务器获取到合法的IP或者管理员为客户端配置了静态的IP源地址绑定后,端口才允许和这个客户端匹配的IP报文通过;IPSourceGuard支持基于IP+MAC或者基于IP的过滤,如果打开基于IP+MAC的过滤,IPSourceGuard会对所有报文的MAC+IP进行检测,仅仅允许IP源地址绑定表格中存在的用户报文通过;而基于IP的过滤,仅仅会对报文的源IP地址进行检测;在支持ARPCheck功能的交换机系统上,开启IPSourceGuard功能和ARPCheck功能后,交换机能使用IPSourceGuard对IP报文进行IP+MAC或仅源IP过虑,ARPCheck功能对ARP报文中的SenderIP+SenderMAC或仅对SenderIP检查过虑。
IPSourceGuard的相关过滤功能都是基于硬件实现的,接口上的IPSourceGuard过滤规则可以理解为基于接口的可以动态改变的ACL,各系列产品的过滤表容量存在差异,因此在规划IPSourceGuard应用之前请参看相关产品规格说明。
IPSourceGuard功能维护一个IP源地址数据库,通过将数据库中的用户信息[VLAN、MAC、IP、PORT]设置为硬件过滤表项,只允许对应的用户使用网络,DHCPSnooping维护一个用户IP的数据库,并将该数据提供给IPSourceGuard功能进行过滤,从而限制只有通过DHCP获取IP的用户才能够使用网络,这样就阻止了用户随意设置静态IP。
DAI原理
DAI的全称是DynamicARPInspection,中文名为动态ARP检测。
即对接收到的ARP报文进行合法性检查。
不合法的ARP报文会被丢弃DAI确保了只有合法的ARP报文才会被设备转发。
它主要执行以下几个步骤:
在打开DAI检查功能的VLAN所对应的非信任端口上拦截住所有ARP请求和应答报文在做进一步相关处理之前,根据DHCP数据库的设置,对拦截住的ARP报文进行合法性检查。
丢弃没有通过检查的报文。
检查通过的报文继续做相应的处理,送给相应的目的地。
ARP报文是否合法的依据是DHCPsnoopingbinding数据库
ARPCheck原理
ARP报文检查(ARP-Check)功能,对逻辑端口下的所有的ARP报文进行过滤,对所有非法的ARP报文进行丢弃,能够有效的防止网络中ARP欺骗,提高网络的稳定性,锐捷交换机支持多种IP安全应用(例如IpSourceGuard、全局IP+MAC绑定、端口安全等等)这些安全应用通过对用户IP报文进行有效的数据过滤,从而避免网络中的非法用户使用网络资源。
在支持ARPCheck功能的交换机中,ARPCheck功能能够根据这些应用模块所合法用户信息(IP或IP+MAC)产生相应的ARP过滤信息,从而实现对网络中的非法ARP报文的过滤
如上图所示,交换机各安全功能模块产生的合法用户信息(仅有IP或IP+MAC),ARPCheck功能使用这些信息用于检测逻辑端口下的所有的ARP报文中的SenderIP字段或
1.仅检测IP字段:
端口安全的仅IP模式,IpSourceGuard手工配置的仅IP模式。
2.检测IP+MAC字段:
端口安全的IP+MAC绑定模式,全局IP+MAC绑定功能,802.1xIP授权功能,IpSourceGuard功能,GSN绑定功能。
ARP-Check有2种模式:
打开和关闭,默认为关闭。
锐捷防ARP欺骗方案的配置(不含SAM)
防网关ARP欺骗方案
拓扑图
应用需求
上图为中小型公司或单位的简化典型网络拓扑,PC用户通过接入设备SwitchA访问办公服务器,以及通过网关设备连接外网。
如果存在非法用户冒充网关IP地址或服务器IP地址进行ARP欺骗,将导致其它用户无法正常上网以及访问服务器。
阻断伪造网关和内网服务器ARP欺骗报文,保证用户能正常上网
配置要点
1、在接入交换机(本例为SwitchA)直连PC的端口(本例为Gi0/3,Gi0/4)上启用防网关欺骗,网关地址为内网网关地址和内网服务器地址。
安全-配置防网关ARP欺骗
配置注意
1、上链口、连接出口网关或服务器的端口不能启用防网关欺骗,否则将导致源地址为网关IP或服务器IP的ARP报文被阻断,造成网络不通2、如果端口不够,需在接入交换机下挂一台8口的hub(集线器),也可在接入交换机上开启防网关欺骗,缺陷是同一台hub上的电脑之间的网关ARP欺骗无法阻断。
配置步骤
配置SwitchA
第一步,在直连电脑的端口上启用防网关欺骗
SwitchA#configureterminal
Enterconfigurationcommands,oneperline.EndwithCNTL/Z.
SwitchA(config)#interfacerangegigabitEthernet0/2-4
SwitchA(config-if-range)#anti-arp-spoofingip192.168.1.1
SwitchA(config-if-range)#anti-arp-spoofingip192.168.1.254
配置验证
第一步,确认配置是否正确,关注点:
是否启用防网关欺骗、网关地址是否正确、
上链口是否启用防网关欺骗
SwitchA(config-if)#showrunning-config
interfaceGigabitEthernet0/1
!
interfaceGigabitEthernet0/2
anti-arp-spoofingip192.168.1.1
anti-arp-spoofingip192.168.1.254
!
interfaceGigabitEthernet0/3
anti-arp-spoofingip192.168.1.1
anti-arp-spoofingip192.168.1.254
!
interfaceGigabitEthernet0/4
anti-arp-spoofingip192.168.1.1
anti-arp-spoofingip192.168.1.254
!
第二步,查看防网关欺骗状态,再次确认。
关注点同第一步
安全-配置防网关ARP欺骗
SwitchA#showanti-arp-spoofing
Anti-arp-spoofing
portip
--------------
Gi0/2192.168.1.1
Gi0/2192.168.1.254
Gi0/3192.168.1.1
Gi0/3192.168.1.254
Gi0/4192.168.1.1
Gi0/4192.168.1.254
第三步,如果可能,将PC1的IP地址配置为网关的IP地址,然后观察网关是否报告IP地址冲突,PC2是否能正常上网。
如果一切正常,说明防网关欺骗配置生效。
第三章NFPP(5.0%)
NFPP的原理
在网络环境中经常发现一些恶意的攻击,这些攻击会给交换机带来过重的负担,引起交换机CPU利用率过高,导致交换机无法正常运行。
这些攻击具体表现在:
拒绝服务攻
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- C8311 园区网 安全 20