1、 第第第第6 6讲讲讲讲 端口安全及访问控制列表端口安全及访问控制列表端口安全及访问控制列表端口安全及访问控制列表主主 讲讲:黄成兵黄成兵阿坝师专计科系阿坝师专计科系工作细分 冗余链路技术保证网络稳定冗余链路技术保证网络稳定 安全技术保障网络安全安全技术保障网络安全课程议题网络安全隐患网络安全隐患网络安全隐患网络安全隐患常见的网络攻击：网络攻击手段多种多样，以上是最常见的几种网络攻击手段多种多样，以上是最常见的几种攻击不可避免攻击工具体系化攻击工具体系化 网络攻击原理日趋复杂，但攻击却变得越来越简单易操作网络攻击原理日趋复杂，但攻击却变得越来越简单易操作额外的不安全因素 DMZ E-Mail
2、File Transfer HTTPIntranetIntranet企业网络企业网络生产部生产部工程部工程部市场部市场部人事部人事部路由路由InternetInternet中继中继外部个体外部个体外部外部/组织组织内部个体内部个体内部内部/组织组织现有网络安全体制IDS/IPSIDS/IPS68%68%杀毒软件杀毒软件99%99%防火墙防火墙98%98%ACLACL71%71%VPN VPN 虚拟专用网虚拟专用网防火墙包过滤防病毒入侵检测课程议题交换机端口安全交换机端口安全交换机端口安全交换机端口安全交换机端口安全 利用交换机的端口安全功能实现利用交换机的端口安全功能实现防止局域网大部分的内部
3、攻击对用户、网络设备造成的破坏，防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如如MACMAC地址攻击、地址攻击、ARPARP攻击、攻击、IP/MACIP/MAC地址欺骗等。地址欺骗等。交换机端口安全的基本功能交换机端口安全的基本功能限制交换机端口的最大连接数限制交换机端口的最大连接数端口的安全地址绑定端口的安全地址绑定交换机端口安全 安全违例产生于以下情况：安全违例产生于以下情况：如果一个端口被配置为一个安全端口，当其安全地址的数目已经达如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数到允许的最大个数如果该端口收到一个源地址不属于端口上的安全地址的包如果该端
4、口收到一个源地址不属于端口上的安全地址的包 当安全违例产生时，你可以选择多种方式来处理违例：当安全违例产生时，你可以选择多种方式来处理违例：ProtectProtect：当安全地址个数满后，安全端口将丢弃未知名地址（不是当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包该端口的安全地址中的任何一个）的包RestrictRestrict：当违例产生时，将发送一个：当违例产生时，将发送一个TrapTrap通知通知ShutdownShutdown：当违例产生时，将关闭端口并发送一个当违例产生时，将关闭端口并发送一个TrapTrap通知通知配置安全端口 端口安全最大连
5、接数配置端口安全最大连接数配置switchport port-securityswitchport port-security ！打开该接口的端口安全功能！打开该接口的端口安全功能switchportswitchport port-security maximum value port-security maximum value！设置接口上安全地址的最大个数，范围是！设置接口上安全地址的最大个数，范围是1 1128128，缺省值为，缺省值为128128switchport port-security switchport port-security violationprotect|rest
6、rictviolationprotect|restrict|shutdown|shutdown！设置处理违例的方式！设置处理违例的方式 注意：注意：1 1、端口安全功能只能在、端口安全功能只能在accessaccess端口上进行配置。端口上进行配置。2 2、当当端端口口因因为为违违例例而而被被关关闭闭后后，在在全全局局配配置置模模式式下下使使用用命命令令errdisableerrdisable recovery recovery 来将接口从错误状态中恢复过来。来将接口从错误状态中恢复过来。配置安全端口 端口的安全地址绑定端口的安全地址绑定switchport port-security swi
7、tchport port-security ！打开该接口的端口安全功能！打开该接口的端口安全功能switchportswitchport port-security port-security macmac-address-address macmac-address-address ip-address ip-address ip-ip-addressaddress！手工配置接口上的安全地址！手工配置接口上的安全地址 注意：注意：1 1、端口安全功能只能在、端口安全功能只能在accessaccess端口上进行配置端口上进行配置 2 2、端口的安全地址绑定方式有、端口的安全地址绑定方式有:单单
8、MACMAC、单、单IPIP、MAC+IPMAC+IP案例（一）下面的例子是配置接口下面的例子是配置接口gigabitethernet1/3gigabitethernet1/3上的端口安全功能，上的端口安全功能，设置最大地址个数为设置最大地址个数为8 8，设置违例方式为，设置违例方式为protectprotectSwitch#configure terminal Switch#configure terminal Switch(configSwitch(config)#interface)#interface gigabitethernetgigabitethernet 1/3 1/3 Swi
9、tch(configSwitch(config-if)#switchport mode access-if)#switchport mode access Switch(configSwitch(config-if)#-if)#switchportswitchport port-security port-security Switch(configSwitch(config-if)#switchport port-security maximum 8-if)#switchport port-security maximum 8 Switch(configSwitch(config-if)#-
10、if)#switchportswitchport port-security violation protect port-security violation protect Switch(configSwitch(config-if)#end-if)#end案例（二）下面的例子是配置接口下面的例子是配置接口fastethernet0/3fastethernet0/3上的端口安全功能，上的端口安全功能，配置端口绑定地址，主机配置端口绑定地址，主机MACMAC为为00d0.f800.073c00d0.f800.073c，IPIP为为192.168.12.202192.168.12.202Swi
11、tch#configure terminalSwitch#configure terminalSwitch(configSwitch(config)#interface)#interface fastethernetfastethernet 0/3 0/3Switch(configSwitch(config-if)#switchport mode access-if)#switchport mode accessSwitch(configSwitch(config-if)#-if)#switchportswitchport port-security port-securitySwitch(c
12、onfigSwitch(config-if)#switchport port-security-if)#switchport port-security macmac-address-address 00d0.f800.073c ip-address 192.168.12.20200d0.f800.073c ip-address 192.168.12.202Switch(configSwitch(config-if)#end-if)#end查看配置信息 查看所有接口的安全统计信息，包括最大安全地址数，当前安全查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等地址数
13、以及违例处理方式等 Switch#showSwitch#show port-security port-security Secure Port Secure Port MaxSecureAddrMaxSecureAddr CurrentAddrCurrentAddr Security Action Security Action -Gi1/3 8 1 Protect Gi1/3 8 1 Protect 查看安全地址信息查看安全地址信息Switch#show port-security addressSwitch#show port-security address VlanVlan Mac
14、Address IP Address Type Port Remaining Mac Address IP Address Type Port Remaining Age(minsAge(mins)-1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8 1 1 00d0.f800.073c 192.168.12.202 Configured Fa0/3 8 1课程议题端口安全实现端口安全实现端口安全实现端口安全实现网络接入安全网络接入安全网络接入安全网络接入安全实验拓扑F1/0F0/3F1/1BF0/23F0/23VLAN2S2126S3550F
15、TPserverF0/24F0/24企业内部网企业内部网外部网外部网VLAN3F0/2S6810E实验拓扑 工作目标工作目标在交换机上配置端口安全最大地址数，实现网络接入安全在交换机上配置端口安全最大地址数，实现网络接入安全F0/1案例拓扑结构服务器群服务器群ISP行政楼行政楼总装配楼总装配楼信息中心信息中心双链路千兆光纤单链路千兆光纤课程议题IPIPIPIP访问控制列表访问控制列表访问控制列表访问控制列表什么是访问列表 IP Access-listIP Access-list：IPIP访问列表或访问控制列表，简称访问列表或访问控制列表，简称IP ACLIP ACLACLACL就是对经过网络设
16、备的数据包根据一定的规则进行数据包的过滤就是对经过网络设备的数据包根据一定的规则进行数据包的过滤ISP 为什么要使用访问列表内网安全运行内网安全运行访问外网的安全控制访问外网的安全控制访问列表 访问控制列表的作用：访问控制列表的作用：内网布署安全策略，保证内网安全权限的资源访问内网布署安全策略，保证内网安全权限的资源访问内网访问外网时，进行安全的数据过滤内网访问外网时，进行安全的数据过滤防止常见病毒、木马、攻击对用户的破坏防止常见病毒、木马、攻击对用户的破坏访问列表的组成 定义访问列表的步骤定义访问列表的步骤第一步，定义规则（哪些数据允许通过，哪些数据不允许通过）第一步，定义规则（哪些数据允许
17、通过，哪些数据不允许通过）第二步，将规则应用在路由器（或交换机）的接口的某个方向上第二步，将规则应用在路由器（或交换机）的接口的某个方向上 访问控制列表规则的分类：访问控制列表规则的分类：1 1、标准访问控制列表、标准访问控制列表2 2、扩展访问控制列表、扩展访问控制列表 访问列表规则的应用 路由器应用访问列表对流经接口的数据包进行控制路由器应用访问列表对流经接口的数据包进行控制1.1.入栈应用（入栈应用（inin）经某接口进入设备内部的数据包进行安全规则过滤2.2.出栈应用（出栈应用（outout）设备从某接口向外发送数据时进行安全规则过滤 一个接口在一个方向只能应用一组访问控制列表一个接口
18、在一个方向只能应用一组访问控制列表F1/0F1/0F1/1F1/1ININOUTOUT访问列表的入栈应用NY是否允许是否允许?Y是否应用是否应用访问列表访问列表?N查找路由表查找路由表进行选路转发进行选路转发以以ICMPICMP信息通知源发送方信息通知源发送方以以ICMPICMP信息通知源发送方信息通知源发送方NY选择出口选择出口S0路由表中是路由表中是否存在记录否存在记录?NY查看访问列表查看访问列表的陈述的陈述是否允许是否允许?Y是否应用是否应用访问列表访问列表?NS0S0 访问列表的出栈应用IP ACL的基本准则 一切未被允许的就是禁止的一切未被允许的就是禁止的定义访问控制列表规则时，最
19、终的缺省规则是拒绝所有数据包通过定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过 按规则链来进行匹配按规则链来进行匹配使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配配 规则匹配原则规则匹配原则从头到尾，至顶向下的匹配方式从头到尾，至顶向下的匹配方式匹配成功马上停止匹配成功马上停止立刻使用该规则的立刻使用该规则的“允许允许/拒绝拒绝”Y拒绝拒绝Y是否匹配是否匹配规则条件规则条件1?允许允许N拒绝拒绝允许允许是否匹配是否匹配规则条件规则条件2?拒绝拒绝是否匹配是否匹配最后一个最后一个条件条件?YYNYY允许允许隐含拒
20、绝隐含拒绝N 一个访问列表多条过滤规则访问列表规则的定义 标准访问列表标准访问列表根据数据包源根据数据包源IPIP地址进行规则定义地址进行规则定义 扩展访问列表扩展访问列表根据数据包中源根据数据包中源IPIP、目的、目的IPIP、源端口、目的端口、协议进行规则定义、源端口、目的端口、协议进行规则定义源地址源地址TCP/UDP数据数据IPeg.HDLC1-99 号列表号列表 IP标准访问列表目的地址目的地址源地址源地址协议协议端口号端口号 IP扩展访问列表TCP/UDP数据数据IPeg.HDLC100-199 号列表号列表 0 0表示检查相应的地址比特表示检查相应的地址比特 1 1表示不检查相应
21、的地址比特表示不检查相应的地址比特001111111286432168421000000000000111111111111 反掩码（通配符）IP标准访问列表的配置1.1.定义标准定义标准ACLACL编号的标准访问列表编号的标准访问列表Router(config)#accessRouter(config)#access-list -list permit|denypermit|deny 源地址源地址 反掩码反掩码 命名的标准访问列表命名的标准访问列表 switch(configswitch(config)#ip access-list standard)#ip access-list stan
22、dard switch(config-std-nacl)#permit|denyswitch(config-std-nacl)#permit|deny 源地址源地址 反掩码反掩码 2.2.应用应用ACLACL到接口到接口Router(config-if)#ipRouter(config-if)#ip access-group in|out access-group in|out 172.16.3.0172.16.4.0F1/0S1/2F1/1172.17.0.0 IP标准访问列表配置实例(一)配置：配置：access-list 1 permit 172.16.3.0 0.0.0.255acce
23、ss-list 1 permit 172.16.3.0 0.0.0.255 (access-list 1 deny any)(access-list 1 deny any)interface serial 1/2interface serial 1/2ip access-group 1 outip access-group 1 out标准访问列表配置实例(二)需求：需求：你是某校园网管，领导要你对网络的数据流量进行控制你是某校园网管，领导要你对网络的数据流量进行控制,要求校长可以访问财务的主机，但教师机不可以访问。要求校长可以访问财务的主机，但教师机不可以访问。配置：配置：ipip acces
24、s-list standard access-list standard abcabcpermit host 192.168.2.8 permit host 192.168.2.8 deny 192.168.2.0 0.0.0.255deny 192.168.2.0 0.0.0.255财务财务192.168.1.0教师教师192.168.2.0192.168.2.8F0/1F0/2F0/5F0/6F0/8F0/9F0/10校长校长 IP扩展访问列表的配置1.1.定义扩展的定义扩展的ACLACL编号的扩展编号的扩展ACLACLRouter(config)#access-list permit/d
25、eny 协议 源地址 反掩码 源端口 目的地址 反掩码 目的端口 命名的扩展命名的扩展ACLACLip access-list extended name permit/deny 协议 源地址 反掩码源端口 目的地址 反掩码 目的端口 2.2.应用应用ACLACL到接口到接口Router(config-if)#ipRouter(config-if)#ip access-group in|out access-group in|out IP扩展访问列表配置实例(一)如何创建一条扩展如何创建一条扩展ACLACL该该ACLACL有一条有一条ACEACE，用于允许指定网络（，用于允许指定网络（192.
26、168.x.x192.168.x.x）的所有主机以）的所有主机以HTTPHTTP访问服务器访问服务器172.168.12.3172.168.12.3，但拒绝其它所有主机使用网络，但拒绝其它所有主机使用网络Router(config)#access-list 103 permit tcp 192.168.0.0 0.0.255.255 host 172.168.12.3 eq www Router#show access-lists 103access-list 115 deny udp any any eq 69 access-list 115 deny tcp any any eq 135a
27、ccess-list 115 deny udp any any eq 135access-list 115 deny udp any any eq 137access-list 115 deny udp any any eq 138access-list 115 deny tcp any any eq 139access-list 115 deny udp any any eq 139access-list 115 deny tcp any any eq 445access-list 115 deny tcp any any eq 593access-list 115 deny tcp any
28、 any eq 4444access-list 115 permit ip any any interface ip access-group 115 in ip access-group 115 out IP扩展访问列表配置实例(二)利用利用ACLACL隔离冲击波病毒隔离冲击波病毒 访问列表的验证 显示全部的访问列表显示全部的访问列表Router#showRouter#show access-lists access-lists 显示指定的访问列表显示指定的访问列表Router#showRouter#show access-lists access-lists 显示接口的访问列表应用显示接口
29、的访问列表应用Router#showRouter#show ip interface ip interface 接口名称接口名称 接口编号接口编号IP访问列表配置注意事项1 1、一个端口在一个方向上只能应用一组、一个端口在一个方向上只能应用一组ACLACL2 2、锐捷全系列交换机可针对物理接口和、锐捷全系列交换机可针对物理接口和SVISVI接口应用接口应用ACLACL针对物理接口，只能配置入栈应用针对物理接口，只能配置入栈应用(In)(In)针对针对SVISVI（虚拟（虚拟VLANVLAN）接口，可以配置入栈（）接口，可以配置入栈（InIn）和出栈（）和出栈（OutOut）应用）应用3 3、访
30、问列表的缺省规则是：拒绝所有、访问列表的缺省规则是：拒绝所有4 4、交换机用命名的访问控制列表，路由器用编号的访问控制列表、交换机用命名的访问控制列表，路由器用编号的访问控制列表课程议题IP ACLIP ACLIP ACLIP ACL实现网络安全实现网络安全实现网络安全实现网络安全实验拓扑 工作目标工作目标在路由器在路由器A A上配置基于上配置基于IPIP的的ACLACL，使，使192.168.1.0/24192.168.1.0/24网络中的主机无法访网络中的主机无法访问问FTPFTP服务器的服务器的FTPFTP服务。服务。F0/2F1/1F1/0FTP服务器服务器192.168.1.2192
31、.168.4.2192.168.2.1192.168.2.2192.168.3.1192.168.3.2B 3760 VLAN2VALN3IP ACL 注意事项：注意事项：1 1、交换机支持命名的、交换机支持命名的ACLACL，路由器支持编号的，路由器支持编号的ACLACL2 2、注意命名规则时所选定的协议、注意命名规则时所选定的协议3 3、删除端口上应用的、删除端口上应用的ACLACL时需要在端口下删除时需要在端口下删除4 4、交换机和交换机相连配、交换机和交换机相连配TrunkTrunk5 5、要做回指路由、要做回指路由案例拓扑结构服务器群服务器群ISP行政楼行政楼总装配楼总装配楼信息中心信息中心双链路千兆光纤单链路千兆光纤谢谢 谢谢!
个人主页
