網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全PPT課件

1、網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全第七講、網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全（2）路由系統(tǒng)安全網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全目錄7.1 局域網(wǎng)和VLAN7.2 遠(yuǎn)程訪問(wèn)（撥號(hào)）7.3 路由系統(tǒng)安全7.4 網(wǎng)絡(luò)管理系統(tǒng)安全7.5 域名系統(tǒng)安全網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全7.3 路由系統(tǒng)安全7.3.1路由器工作原理簡(jiǎn)介7.3.2路由協(xié)議及安全特性7.3.3路由器自身的安全防護(hù)7.3.4訪問(wèn)控制列表7.3.5 使用路由器防止拒絕服務(wù)的攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全低端路由器外觀網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全高端路由器外觀網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全核心路由器外觀網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全I(xiàn)nterfaceInterface路由器的內(nèi)部結(jié)構(gòu)RAMROMFlashNVRAMInterfaceCPUInterf

2、aceconsole網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全 Configurations can come from many sources Configurations will act in device memoryConsole portAuxiliary portInterfacesPC or Unix serverWeb or Network ManagementserverVirtual terminal路由器配置方式TelnetTFTP網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全超級(jí)終端Step 1: Verify cablingStep 2: Power on PCStep 3: Open HyperTerminal Fo

3、lderStep 4: Open HyperTerminalStep 5: Describe ConnectionStep 3 and 4Step 5網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全超級(jí)終端通信參數(shù)配置Step 6: Select COM port to be usedStep 7: Select properties網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全路由器配置界面ConnectDisconnectStep 8: Access Device網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Console登錄路由器 enableEnter password:# disable quit User mode prompt Privileged mode promp

4、t 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全內(nèi)存 :ROM 只讀存儲(chǔ)器（ROM） 只讀存儲(chǔ)器，存放引導(dǎo)程序和IOS的一個(gè)最小子集，相當(dāng)于PC的BIOS。 閃存（Flash） 包含壓縮的IOS和微代碼，是一種可擦寫、可編程的ROM，系統(tǒng)掉電時(shí)數(shù)據(jù)不會(huì)丟失。 NVRAM（No-Voliate RAM） 存放路由器的配置文件，系統(tǒng)掉電時(shí)數(shù)據(jù)不會(huì)丟失。網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全內(nèi)存 ：RAM RAM 動(dòng)態(tài)內(nèi)存，系統(tǒng)掉電，內(nèi)容丟失 操作系統(tǒng)運(yùn)行的空間命令解釋器操作系統(tǒng)進(jìn)程活動(dòng)配置文件路由表緩沖區(qū)網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全路由器的啟動(dòng)過(guò)程 首先運(yùn)行ROM的程序，系統(tǒng)自檢和引導(dǎo) 讀Flash內(nèi)的IOS，裝入RAM中 從NVRAM中讀入路由器的配置信息

5、 計(jì)算并生成初始路由表 通過(guò)與相鄰路由器交換路由信息，更新、完善路由表網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全7.3 路由系統(tǒng)安全7.3.1路由器工作原理簡(jiǎn)介7.3.2路由協(xié)議及安全特性7.3.3路由器自身的安全防護(hù)7.3.4訪問(wèn)控制列表7.3.5 使用路由器防止拒絕服務(wù)的攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全NetworkProtocolDestinationNetworkConnectedLearnedExit InterfaceE0S0Routed Protocol: IP Routers must learn destinations that are not directly conn

6、ectedE0S0什么是路由？網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全靜態(tài)路由網(wǎng)絡(luò)管理員手工輸入不適合大規(guī)模網(wǎng)絡(luò)環(huán)境動(dòng)態(tài)路由通過(guò)路由器之間的路由協(xié)議動(dòng)態(tài)獲取可以隨著網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的變化而變化。動(dòng)態(tài)路由和靜態(tài)路由網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全SO靜態(tài)路由（Static Routes）BNetworkAConfigure unidirectional static routes to and from a stub network to allow communications to occur.BStub NetworkTransit

7、Network網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Stub Networkip route SO靜態(tài)路由舉例BNetworkABThis is a unidirectional route. You must have a route configured in the opposite direction.網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Stub Networkip route 缺省路由SOB172.16.2

8、.2NetworkABThis route allows the stub network to reach all known networks beyond router A.網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全什么是路由協(xié)議路由協(xié)議用于路由器之間交換信息，這些信息用來(lái)決定最佳路徑，維護(hù)路由表NetworkProtocolDestinationNetworkConnectedRIPIGRPExit InterfaceE0S0S1Routed Protocol: IPRouting protocol: RIP, IGRP172.16

9、.1.0E0S0網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Autonomous System 100Autonomous System 200IGPs: RIP, OSPF,IGRPEGPs: BGP內(nèi)部/外部網(wǎng)關(guān)路由協(xié)議 （IGP/EGP） An autonomous system is a collection of networks under a common administrative domain IGPs operate within an autonomous system EGPs connect different autonomous systems網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全距離向量/

10、鏈路狀態(tài)路由協(xié)議Distance VectorHybrid RoutingLink State網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全距離向量路由協(xié)議Pass periodic copies of routing table to neighbor routers and accumulate distance vectorsRoutingTableRoutingTableRoutingTableRoutingTableDistanceHow farVectorIn which direction網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Routers discover the best path to destinations from e

11、ach neighborE0S0S0S1S0E0Routing Table 00S0S1Routing TableS00E00Routing Table E0S0 00距離向量路由發(fā)現(xiàn)過(guò)程網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Routers discover the best path to destinations from each neighborE0S0S0S1S0E0Routing T

12、ableRouting Table0011S0S1S1S0Routing TableS00E00S0 1E0S0S0100距離向量路由發(fā)現(xiàn)過(guò)程網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全距離向量路由發(fā)現(xiàn)過(guò)程Routers discover the best path to destinations from each neighborE0S0S0S1S0E0Routing Table1

13、Routing Table0011S0S1S1S0Routing TableS00E00S0S012E0S0S0S01200網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全19.2 kbpsT1T1T1 距離向量路由協(xié)議 用跳數(shù)（Hop）計(jì)算路徑的尺度（metric） 每30秒廣播一次路由表RIP 簡(jiǎn)介網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全 Starts the RIP routing processRouter(config)#router ripRouter(config

14、-router)#network network-number Selects participating attached networks The network number must be a major classful network numberRIP 配置命令網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全router ripnetwork network RIP 配置實(shí)例router ripnetwork router ripnetwork network S2E0S31

15、S2S3ABC E0網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全debug ip rip CommandRouterA#debug ip ripRIP protocol debugging is onRouterA#00:06:24: RIP: received v1 update from on Serial200:06:24: in 1 hops00:06:24: in 2 hops00:06:33: RIP: sending v1

16、update to 55 via Ethernet0 ()00:06:34: network , metric 100:06:34: network , metric 300:06:34: RIP: sending v1 update to 55 via Serial2 ()00:06:34: network , metric 1S2E0S3S2S310.2.2

17、.3ABC E0網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全鏈路狀態(tài)路由協(xié)議After initial flood, pass small event-triggered link-state updates to all other routersLink-State PacketsSPFAlgorithmTopologicalDatabaseShortest Path First TreeRoutingTable網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全7.3 路由系統(tǒng)安全7.3.1路由器工作原理簡(jiǎn)介7.3.2路由協(xié)議及安全特性7.3.3路由器自身的安全防護(hù)7.3.4訪問(wèn)控制列表7.3

18、.5 使用路由器防止拒絕服務(wù)的攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全使用邊界路由器保護(hù)內(nèi)部網(wǎng)絡(luò) 路由其自身的安全保護(hù) 路由協(xié)議安全配置 路由器實(shí)現(xiàn)訪問(wèn)控制 防止DoS 攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全保護(hù)路由器自身的安全 控制對(duì)路由器的訪問(wèn) 控制臺(tái)訪問(wèn) Telnet HTTP SNMP 關(guān)閉不必要的服務(wù) 路由協(xié)議認(rèn)證 審計(jì)網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制臺(tái)訪問(wèn) 物理安全： 在路由器加電啟動(dòng)時(shí)，可以通過(guò)按“Break”鍵，進(jìn)入口令恢復(fù)過(guò)程 通過(guò)修改寄存器的值，可以使啟動(dòng)過(guò)程繞過(guò)口令驗(yàn)證 設(shè)置控制臺(tái)口令Router(config)# line console 0Router(config-line)# loginRouter(config

19、-line)# password password網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制臺(tái)訪問(wèn) 設(shè)置口令加密 缺省條件下, enable 口令是明文存儲(chǔ)的，很容易被看到（控制臺(tái)、telnet） 兩種方式： Service password-encryption enable secretrouter# show running-configenable password 7 14141B180FB0!line con 0password 7 094F71A1A0A網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制臺(tái)訪問(wèn) 口令加密 enable secret 超時(shí)退出router # show running-config!enable se

20、cret 5 $1$6cWV$inD7guHPLlD3ZmdX08MMSrouter (config )#line console 0router(config-line)# exec-timeout 2 30網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制Telnet、HTTP的訪問(wèn) telnet 口令 Telnet 端口在路由器上被稱為vty端口 必須在vty上配置一個(gè)啟用口令才能通過(guò)telnet訪問(wèn) 控制列表Router(config)# line vty 0 4Router (config -line)# loginRouter(config-line) #password shakespeareRouter(c

21、onfig)# access-list 21 permit Router (config -line)# line vty 0 4Router(config-line) #access-class 21 in網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制SNMP的訪問(wèn) SNMP概述GET / SETUDP 161UDP 162TRAPManagerAgent, MIBs網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制SNMP的訪問(wèn) SNMPv1 Community name 明文傳輸 沒有訪問(wèn)控制 用snmpwalk等工具可以得到路由器的配置性 SNMPv2 增加了視圖的概念，訪問(wèn)控制機(jī)制Router(config)# snmp

22、-server community password1 roRouter(config)# snmp-server community password2 rw網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全控制SNMP的訪問(wèn) SNMP TRAP 設(shè)備啟動(dòng)、鏈路中斷、鏈路啟動(dòng)、認(rèn)證失敗等 訪問(wèn)控制Router(config)# snmp-server host 1 trapRouter(config) # access-list 1 permit Router (config) # access-list 1 permit Router (config) # snmp-ser

23、ver community private rw 1 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全關(guān)閉不必要的服務(wù) No service tcp-small-servers no service udp-small-servers no service finger no service ip domain-lookup no cdp enable no proxy arp no ip directed-broadcast網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全保護(hù)路由器之間的通信 路由器假冒、路由欺騙 相鄰路由器認(rèn)證 明文認(rèn)證 MD5 認(rèn)證PPPCHAP 認(rèn)證認(rèn)證網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全RAkey chain kal key chain kal ke

24、y 1 key 1 key-string 234 key-string 234 interface Serial0 ip address 0 52 ip rip authentication key-chain kal ip rip authentication key-chain kal router rip version 2 network network RBkey chain kal key chain kal key 1 key 1 key-string 234 key-string 234

25、interface Serial0 ip address 52 ip rip authentication key-chain kal ip rip authentication key-chain kal clockrate 64000 ! router rip version 2 network network 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全7.3 路由系統(tǒng)安全7.3.1路由器工作原理簡(jiǎn)介7.3.2路由協(xié)議及安全特性7.3.3路由器自身的安全防護(hù)7.3.4訪問(wèn)控制列表7.3.5 使用路由器防止拒絕服務(wù)的攻擊網(wǎng)絡(luò)基礎(chǔ)

26、設(shè)施安全用路由器實(shí)現(xiàn)訪問(wèn)控制 訪問(wèn)控制列表的配置原則 路由器總是自頂向下順序檢查所有規(guī)則，因此，配置規(guī)則時(shí)要從具體到一般，如主機(jī)、子網(wǎng)、網(wǎng)絡(luò)、任何網(wǎng)絡(luò) permit deny 55 permit any 常發(fā)生的放在列表的前面 隱含拒絕一切 新增加的行將放在末尾 未定義的訪問(wèn)控制列表等與允許一切網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全標(biāo)準(zhǔn)型和擴(kuò)展型訪問(wèn)控制列表 標(biāo)準(zhǔn)型 access-list num permit|deny source wildcard logaccess-list 10 permit access-list 10 de

27、ny 55access-list 10 permit 網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全標(biāo)準(zhǔn)型和擴(kuò)展型訪問(wèn)控制列表 擴(kuò)展型訪問(wèn)控制列表access-list num permit|deny proc src dst interface eth 1ip access-group 103 inaccess-list 103 permit tcp any 55 establishedaccess list 103 permit tcp any host eq smtpEthe 1inter

28、net網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全實(shí)例internet內(nèi)部網(wǎng)內(nèi)部網(wǎng)/24允許所有外出的數(shù)據(jù)流允許所有外出的數(shù)據(jù)流允許所有由內(nèi)部發(fā)起允許所有由內(nèi)部發(fā)起的外來(lái)的數(shù)據(jù)流的外來(lái)的數(shù)據(jù)流拒絕其他的數(shù)據(jù)流，并記錄這些訪問(wèn)企圖拒絕其他的數(shù)據(jù)流，并記錄這些訪問(wèn)企圖s0網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全Router(config) # access-list 47 permit 55Router(config) # access-list 103 permit tcp any any establishedRouter(config) # access-list 103 deny any an

29、y Router(config) # interface serial 0Router(config-if) # ip access-group 47 outRouter(config-if) # ip access-group 103 in網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全7.3 路由系統(tǒng)安全7.3.1路由器工作原理簡(jiǎn)介7.3.2路由協(xié)議及安全特性7.3.3路由器自身的安全防護(hù)7.3.4訪問(wèn)控制列表7.3.5 使用路由器防止拒絕服務(wù)的攻擊網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全防止DOS 攻擊 no ip directed-broadcast 入流量過(guò)濾、出流量過(guò)濾 CAR(committed access rate) 限制某種類型

30、包的發(fā)送速率interface serial 0rate-limit output access-group 105 1540000 512000 786000 conform-action transmit exceed-action dropaccess-list 105 permit icmp any any echo-reply網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全過(guò)濾出入的包進(jìn)入過(guò)濾：interface Serial 0ip address ip access-group 11 inaccess-list 11 deny 0.0.25

31、5.255access-list 11 deny 55access-list 11 deny 55access-list 11 deny access-list 11 permit any離開過(guò)濾：interface Ethernet 0ip address ip access-group 12 inaccess-list 12 permit ip verify unicast reverse-path外部網(wǎng)絡(luò)s0eth0內(nèi)部網(wǎng)絡(luò)網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全TCP 攔截 限制 SYN 攻擊internet客戶機(jī)請(qǐng)求被攔截客戶機(jī)請(qǐng)求被攔截和驗(yàn)證和驗(yàn)證與客戶機(jī)與客戶機(jī)建立連接建立連接有效連接被交換，有效連接被交換，數(shù)據(jù)被傳遞數(shù)據(jù)被傳遞ip tcp intercept list 100ip tcp intercept con