實(shí)驗(yàn)六訪問控制權(quán)限

實(shí)驗(yàn)六訪問控制權(quán)限第一頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院AAA認(rèn)證AAA是Authentication，AuthorizationandAccounting（認(rèn)證、授權(quán)和統(tǒng)計(jì)）的簡(jiǎn)稱，它提供了一個(gè)對(duì)認(rèn)證、授權(quán)和統(tǒng)計(jì)這三種安全功能進(jìn)行配置的一致性框架，實(shí)際上是對(duì)網(wǎng)絡(luò)安全的一種管理。AAA一般采用客戶端/服務(wù)器結(jié)構(gòu)：客戶端運(yùn)行于被管理的資源側(cè)，服務(wù)器上集中存放用戶信息。因此，AAA框架具有良好的可擴(kuò)展性，并且容易實(shí)現(xiàn)用戶信息的集中管理。第二頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院功能：哪些用戶可以訪問網(wǎng)絡(luò)服務(wù)器；具有訪問權(quán)的用戶可以得到哪些服務(wù)；如何對(duì)正在使用網(wǎng)絡(luò)資源的用戶進(jìn)行計(jì)費(fèi)。第三頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院認(rèn)證方式：不認(rèn)證：對(duì)用戶非常信任，不對(duì)其進(jìn)行合法檢查。一般情況下不采用這種方式。本地認(rèn)證：將用戶信息（包括本地用戶的用戶名、密碼和各種屬性）配置在設(shè)備上。本地認(rèn)證的優(yōu)點(diǎn)是速度快，可以降低運(yùn)營成本；缺點(diǎn)是存儲(chǔ)信息量受設(shè)備硬件條件限制。遠(yuǎn)端認(rèn)證：支持通過RADIUS協(xié)議或TACACS協(xié)議進(jìn)行遠(yuǎn)端認(rèn)證，設(shè)備作為客戶端，與RADIUS服務(wù)器或TACACS服務(wù)器通信。對(duì)于RADIUS協(xié)議，可以采用標(biāo)準(zhǔn)或擴(kuò)展的RADIUS協(xié)議。第四頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院授權(quán)方式：直接授權(quán)：對(duì)用戶非常信任，直接授權(quán)通過。本地授權(quán)：根據(jù)設(shè)備上為本地用戶帳號(hào)配置的相關(guān)屬性進(jìn)行授權(quán)。RADIUS授權(quán)：RADIUS協(xié)議的認(rèn)證和授權(quán)是綁定在一起的，不能單獨(dú)使用RADIUS進(jìn)行授權(quán)。TACACS授權(quán)：由TACACS服務(wù)器對(duì)用戶進(jìn)行授權(quán)。第五頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院計(jì)費(fèi)方式：不計(jì)費(fèi)：不對(duì)用戶計(jì)費(fèi)。遠(yuǎn)端計(jì)費(fèi)：支持通過RADIUS服務(wù)器或TACACS服務(wù)器進(jìn)行遠(yuǎn)端計(jì)費(fèi)。第六頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUSRADIUS（RemoteAuthenticationDial-InUserService，遠(yuǎn)程認(rèn)證撥號(hào)用戶服務(wù)）是一種分布式的、客戶端/服務(wù)器結(jié)構(gòu)的信息交互協(xié)議，能保護(hù)網(wǎng)絡(luò)不受未授權(quán)訪問的干擾，常被應(yīng)用在既要求較高安全性、又要求維持遠(yuǎn)程用戶訪問的各種網(wǎng)絡(luò)環(huán)境中。第七頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUS服務(wù)的結(jié)構(gòu)RADIUS服務(wù)包括三個(gè)組成部分：協(xié)議服務(wù)器客戶端第八頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUS基于客戶端/服務(wù)器模型。交換機(jī)作為RADIUS客戶端，負(fù)責(zé)傳輸用戶信息到指定的RADIUS服務(wù)器，然后根據(jù)從服務(wù)器返回的信息對(duì)用戶進(jìn)行相應(yīng)處理（如接入/掛斷用戶）。RADIUS服務(wù)器負(fù)責(zé)接收用戶連接請(qǐng)求，認(rèn)證用戶，然后給交換機(jī)返回所有需要的信息。第九頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUS服務(wù)器的數(shù)據(jù)存儲(chǔ)RADIUS服務(wù)器通常要維護(hù)三個(gè)數(shù)據(jù)庫。第一個(gè)數(shù)據(jù)庫“Users”用于存儲(chǔ)用戶信息（如用戶名、口令以及使用的協(xié)議、IP地址等配置）。第二個(gè)數(shù)據(jù)庫“Clients”用于存儲(chǔ)RADIUS客戶端的信息（如共享密鑰）。第三個(gè)數(shù)據(jù)庫“Dictionary”存儲(chǔ)的信息用于解釋RADIUS協(xié)議中的屬性和屬性值的含義第十頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUS的消息交互流程第十一頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院基本交互步驟：用戶輸入用戶名和口令。RADIUS客戶端根據(jù)獲取的用戶名和口令，向RADIUS服務(wù)器發(fā)送認(rèn)證請(qǐng)求包（Access-Request）。RADIUS服務(wù)器將該用戶信息與Users數(shù)據(jù)庫信息進(jìn)行對(duì)比分析，如果認(rèn)證成功，則將用戶的權(quán)限信息以認(rèn)證響應(yīng)包（Access-Accept）發(fā)送給RADIUS客戶端；如果認(rèn)證失敗，則返回Access-Reject響應(yīng)包。RADIUS客戶端根據(jù)接收到的認(rèn)證結(jié)果接入/拒絕用戶。如果可以接入用戶，則RADIUS客戶端向RADIUS服務(wù)器發(fā)送計(jì)費(fèi)開始請(qǐng)求包（Accounting-Request），Status-Type取值為start。RADIUS服務(wù)器返回計(jì)費(fèi)開始響應(yīng)包（Accounting-Response）。用戶開始訪問資源。RADIUS客戶端向RADIUS服務(wù)器發(fā)送計(jì)費(fèi)停止請(qǐng)求包（Accounting-Request），Status-Type取值為stop。RADIUS服務(wù)器返回計(jì)費(fèi)結(jié)束響應(yīng)包（Accounting-Response）。用戶訪問資源結(jié)束。第十二頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院RADIUS的特點(diǎn)RADIUS是由LIVINGSTON公司最早提出的，后來由IETF列入Internet標(biāo)準(zhǔn)，定義在RFC2138和RFC2139中。RADIUS中采用UDP作為客戶端與服務(wù)器端的數(shù)據(jù)傳輸協(xié)議。RADIUS導(dǎo)致用戶的認(rèn)證和授權(quán)過程往往無法分開。RADIUS服務(wù)器可以充當(dāng)代理客戶端。第十三頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院TACAS和RADIUS的區(qū)別TACACS是私有的協(xié)議，RADIUS是一種開放的標(biāo)準(zhǔn)；TACACS分離了驗(yàn)證、授權(quán)和統(tǒng)計(jì)的功能；TACACS使用TCP協(xié)議，RADIUS使用UDP協(xié)議；RADIUS是目前支持無線驗(yàn)證協(xié)議的惟一安全協(xié)議；RADIUS服務(wù)器可以充當(dāng)代理客戶端；TACACS采用MD5算法對(duì)整個(gè)報(bào)文加密，RADIUS采用MD5算法對(duì)用戶口令加密。第十四頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院?jiǎn)栴}的提出如何讓研發(fā)部員工在工作日的早8點(diǎn)到晚6點(diǎn)都不能訪問internet?第十五頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院訪問控制列表ACL（AccessControlList，訪問控制列表）主要用來實(shí)現(xiàn)流識(shí)別功能。網(wǎng)絡(luò)設(shè)備為了過濾數(shù)據(jù)包，需要配置一系列的匹配規(guī)則，以識(shí)別需要過濾的報(bào)文。在識(shí)別出特定的報(bào)文之后，才能根據(jù)預(yù)先設(shè)定的策略允許或禁止相應(yīng)的數(shù)據(jù)包通過。第十六頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的基本原理ACL使用包過濾技術(shù)，在路由器上讀取第三層及第四層包頭中的信息如源地址、目的地址、源端口、目的端口等，根據(jù)預(yù)先定義好的規(guī)則對(duì)包進(jìn)行過濾，從而達(dá)到訪問控制的目的。

第十七頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的功能網(wǎng)絡(luò)中的節(jié)點(diǎn)通常分為資源節(jié)點(diǎn)和用戶節(jié)點(diǎn)兩大類。ACL的功能：保護(hù)資源節(jié)點(diǎn)，阻止非法用戶對(duì)資源節(jié)點(diǎn)的訪問；限制特定的用戶節(jié)點(diǎn)所能具備的訪問權(quán)限。第十八頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的分類根據(jù)應(yīng)用目的，可將ACL分為下面幾種：基本ACL：只根據(jù)三層源IP地址制定規(guī)則。高級(jí)ACL：根據(jù)數(shù)據(jù)包的源IP地址信息、目的IP地址信息、IP承載的協(xié)議類型、協(xié)議特性等三、四層信息制定規(guī)則。二層ACL：根據(jù)源MAC地址、目的MAC地址、VLAN優(yōu)先級(jí)、二層協(xié)議類型等二層信息制定規(guī)則。用戶自定義ACL：以數(shù)據(jù)包的頭部為基準(zhǔn)，指定從第幾個(gè)字節(jié)開始進(jìn)行“與”操作，將從報(bào)文提取出來的字符串和用戶定義的字符串進(jìn)行比較，找到匹配的報(bào)文。第十九頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的配置原則最小特權(quán)原則：只給受控對(duì)象完成任務(wù)所必須的最小的權(quán)限最靠近受控對(duì)象原則第二十頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的配置步驟配置ACL作用的時(shí)間段配置ACL規(guī)則在端口上應(yīng)用ACL規(guī)則第二十一頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院配置ACL時(shí)間段基于時(shí)間段的ACL使用戶可以區(qū)分時(shí)間段對(duì)報(bào)文進(jìn)行ACL控制。周期時(shí)間段絕對(duì)時(shí)間段第二十二頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院時(shí)間段：工作日早8點(diǎn)到晚6點(diǎn)<H3C>system-view[H3C]time-rangedeny8:00to18:00working-day第二十三頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院配置ACL規(guī)則定義基本ACL基本ACL只根據(jù)三層源IP制定規(guī)則，對(duì)數(shù)據(jù)包進(jìn)行相應(yīng)的分析處理。基本ACL的序號(hào)取值范圍為2000～2999。第二十四頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院定義高級(jí)ACL高級(jí)ACL可以使用數(shù)據(jù)包的源地址信息、目的地址信息、IP承載的協(xié)議類型、針對(duì)協(xié)議的特性，例如TCP或UDP的源端口、目的端口，ICMP協(xié)議的類型、code等內(nèi)容定義規(guī)則。高級(jí)ACL序號(hào)取值范圍3000～3999（ACL3998與3999是系統(tǒng)為集群管理預(yù)留的編號(hào)，用戶無法配置）。第二十五頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院定義二層ACL二層ACL根據(jù)源MAC地址、目的MAC地址、VLAN優(yōu)先級(jí)、二層協(xié)議類型等二層信息制定規(guī)則，對(duì)數(shù)據(jù)進(jìn)行相應(yīng)處理。二層ACL的序號(hào)取值范圍為4000～4999。第二十六頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院用戶自定義ACL用戶自定義ACL以數(shù)據(jù)包的頭部為基準(zhǔn)，指定從第幾個(gè)字節(jié)開始進(jìn)行“與”操作，將從報(bào)文提取出來的字符串和用戶定義的字符串進(jìn)行比較，找到匹配的報(bào)文，然后進(jìn)行相應(yīng)的處理。用戶自定義ACL的序號(hào)取值范圍為5000～5999。第二十七頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院規(guī)則要求：禁止研發(fā)部人員在工作日早8點(diǎn)到晚6點(diǎn)訪問internet<H3C>system-view[H3C]aclnumber2000[H3C-acl-basic-2000]ruledenysource10.1.6.0第二十八頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院反向掩碼0表示需要匹配，1表示不需要匹配基本計(jì)算規(guī)則：跟子網(wǎng)掩碼的和為如何用反向掩碼檢查多個(gè)連續(xù)網(wǎng)段？第二十九頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院檢查10.1.16.0/24to10.1.31.0/24000100000001111100001111第三十頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院應(yīng)用ACL規(guī)則針對(duì)端口應(yīng)用ACL規(guī)則針對(duì)VLAN應(yīng)用ACL規(guī)則第三十一頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院在以太網(wǎng)端口1上應(yīng)用ACL規(guī)則<H3C>system-view[H3C]interfaceethernet1/0/1[H3C-Ethernet1/0/1]packet-filterinbound

ip-group2000<H3C>system-view[H3C]firewallenable[H3C]interfaceethernet0/1[H3C-Ethernet0/1]firewallpacket-filter2000inbound第三十二頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院允許研發(fā)部經(jīng)理訪問Internet假設(shè)研發(fā)部經(jīng)理的主機(jī)IP地址是：[H3C-acl-basic-2000]rulepermitsource10.1.6.30[H3C-acl-basic-2000]ruledenysource10.1.6.0[H3C-acl-basic-2000]rulepermitsource10.1.6.30第三十三頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院實(shí)驗(yàn)二配置基本ACL實(shí)驗(yàn)內(nèi)容：配置基本ACL實(shí)驗(yàn)要求：使同一VLAN/網(wǎng)段下的主機(jī)不能互訪。使用路由器配置ACL需先啟動(dòng)防火墻第三十四頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL的執(zhí)行順序ACL的執(zhí)行順序?yàn)椤睆纳舷蛳隆北痪芙^的數(shù)據(jù)包丟棄允許的數(shù)據(jù)包進(jìn)入路由選擇狀態(tài)數(shù)據(jù)包一旦與ACL出現(xiàn)匹配，就執(zhí)行相應(yīng)的操作，而此時(shí)對(duì)此數(shù)據(jù)包的檢測(cè)就到此為止了，后面不管出現(xiàn)多少不匹配的情況將不作檢測(cè)。S3600交換機(jī)由于是硬件ACL，所以其執(zhí)行順序是：后配置的先匹配，先配置的后匹配第三十五頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院ACL包含多條規(guī)則的匹配ACL可能會(huì)包含多個(gè)規(guī)則，而每個(gè)規(guī)則都指定不同的報(bào)文范圍。這樣，在匹配報(bào)文時(shí)就會(huì)出現(xiàn)匹配順序的問題。ACL支持兩種匹配順序：配置順序：根據(jù)配置順序匹配ACL規(guī)則。自動(dòng)排序：根據(jù)“深度優(yōu)先”規(guī)則匹配ACL規(guī)則?！吧疃葍?yōu)先”順序的判斷原則如下：先比較規(guī)則的協(xié)議范圍。IP協(xié)議的范圍為1～255，其他協(xié)議的范圍就是自己的協(xié)議號(hào)；協(xié)議范圍小的優(yōu)先；再比較源IP地址范圍。源IP地址范圍小(掩碼長)的優(yōu)先；然后比較目的IP地址范圍。目的IP地址范圍小(掩碼長)的優(yōu)先；最后比較四層端口號(hào)（TCP/UDP端口號(hào)）范圍。四層端口號(hào)范圍小的優(yōu)先；第三十六頁，共三十九頁，2022年，8月28日四川大學(xué)錦城學(xué)院如果規(guī)則A與規(guī)則B按照原有匹配順序進(jìn)行配置時(shí)，協(xié)議范圍、源IP地址范圍、目的IP地址范圍、四層端口號(hào)范圍完全相同，并且其它的元素個(gè)數(shù)相同，將按照加權(quán)規(guī)則進(jìn)行排序。加權(quán)規(guī)則如下：設(shè)備為每個(gè)元素設(shè)定一個(gè)固定的權(quán)值，最終的匹配順