中职培训网络路由交换技术(三)

湖南科技职业学院中职计算机网络教师培训网络安全及网络出口主讲:李正军谭林海Tel：13170409282QQ：961257879湖南科技职业学院本讲内容交换机端口安全IP访问控制列表NAT技术湖南科技职业学院课程议题交换机端口安全湖南科技职业学院交换机端口安全利用交换机的端口安全功能实现防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。交换机端口安全的基本功能限制交换机端口的最大连接数端口的安全地址绑定湖南科技职业学院交换机端口安全安全违例产生于以下情况：如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数如果该端口收到一个源地址不属于端口上的安全地址的包当安全违例产生时，你可以选择多种方式来处理违例：Protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包Restrict：当违例产生时，将发送一个Trap通知Shutdown：当违例产生时，将关闭端口并发送一个Trap通知湖南科技职业学院配置安全端口端口安全最大连接数配置switchportport-security！打开该接口的端口安全功能switchportport-securitymaximumvalue！设置接口上安全地址的最大个数，范围是1－128，缺省值为128switchportport-securityviolation{protect|restrict|shutdown}！设置处理违例的方式注意：1、端口安全功能只能在access端口上进行配置。2、当端口因为违例而被关闭后，在全局配置模式下使用命令errdisablerecovery来将接口从错误状态中恢复过来。湖南科技职业学院配置安全端口端口的安全地址绑定switchportport-security！打开该接口的端口安全功能switchportport-securitymac-addressmac-addressip-addressip-address！手工配置接口上的安全地址注意：1、端口安全功能只能在access端口上进行配置2、端口的安全地址绑定方式有:单MAC、单IP、MAC+IP湖南科技职业学院案例（一）下面的例子是配置接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protectSwitch#configureterminalSwitch(config)#interfacegigabitethernet1/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum8Switch(config-if)#switchportport-securityviolationprotectSwitch(config-if)#end湖南科技职业学院案例（二）下面的例子是配置接口fastethernet0/3上的端口安全功能，配置端口绑定地址，主机MAC为00d0.f800.073c，IP为192.168.12.202Switch#configureterminalSwitch(config)#interfacefastethernet0/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymac-address00d0.f800.073cip-address192.168.12.202Switch(config-if)#endSwitch#showmac湖南科技职业学院查看配置信息查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等Switch#showport-securitySecurePortMaxSecureAddrCurrentAddrSecurityAction------------------------------------------------Gi1/381Protect查看安全地址信息Switch#showport-securityaddressVlanMacAddressIPAddressTypePortRemainingAge(mins)-------------------------------------------------100d0.f800.073c192.168.12.202ConfiguredFa0/381湖南科技职业学院课程议题IP访问控制列表湖南科技职业学院什么是访问列表IPAccess-list：IP访问列表或访问控制列表，简称IPACLACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤ISP√湖南科技职业学院访问列表的组成定义访问列表的步骤第一步，定义规则（哪些数据允许通过，哪些数据不允许通过）第二步，将规则应用在路由器（或交换机）的接口上访问控制列表规则的分类：1、标准访问控制列表2、扩展访问控制列表湖南科技职业学院访问列表规则的应用路由器应用访问列表对流经接口的数据包进行控制1.入栈应用（in）经某接口进入设备内部的数据包进行安全规则过滤2.出栈应用（out）设备从某接口向外发送数据时进行安全规则过滤一个接口在一个方向只能应用一组访问控制列表F1/0F1/1INOUT湖南科技职业学院IPACL的基本准则一切未被允许的就是禁止的定义访问控制列表规则时，最终的缺省规则是拒绝所有数据包通过按规则链来进行匹配使用源地址、目的地址、源端口、目的端口、协议、时间段进行匹配规则匹配原则从头到尾，至顶向下的匹配方式匹配成功马上停止立刻使用该规则的“允许/拒绝……”湖南科技职业学院IP标准访问列表的配置1.定义标准ACL编号的标准访问列表Router(config)#access-list1-99{permit|deny}源地址[反掩码]命名的标准访问列表switch(config)#ipaccess-liststandardnameswitch(config-std-nacl)#{permit|deny}源地址[反掩码]2.应用ACL到接口Router(config-if)#ipaccess-group1-99{in|out}湖南科技职业学院标准IPACL配置示例要求172.16.1.0网段的主机不可以访问服务器172.17.1.1，其它主机访问服务器172.17.1.1不受限制。湖南科技职业学院标准IPACL配置示例R(config)#access-list1denyhost172.17.1.1湖南科技职业学院IP扩展访问列表的配置1.定义扩展的ACL编号的扩展ACLRouter(config)#access-list100-199{permit/deny}协议源地址反掩码[源端口]目的地址反掩码[目的端口]命名的扩展ACLipaccess-listextended{name}{permit/deny}协议源地址反掩码[源端口]目的地址反掩码[目的端口]2.应用ACL到接口Router(config-if)#ipaccess-group100-199{in|out}湖南科技职业学院扩展IPACL配置示例172.17.1.1为公司的文件服务器，要求网段172.16.1.0中的主机能够访问172.17.1.1中的FTP服务和WEB服务，而对服务器的其它服务禁止访问。湖南科技职业学院名称IPACL配置示例Router(config)#access-list100permitipanyany湖南科技职业学院访问列表的验证显示全部的访问列表Router#showaccess-lists显示指定的访问列表Router#showaccess-lists1-199显示接口的访问列表应用Router#showipinterface接口名称接口编号湖南科技职业学院IP访问列表配置注意事项1、一个端口在一个方向上只能应用一组ACL2、锐捷全系列交换机可针对物理接口和SVI接口应用ACL针对物理接口，只能配置入栈应用(In)针对SVI（虚拟VLAN）接口，可以配置入栈（In）和出栈（Out）应用3、访问列表的缺省规则是：拒绝所有湖南科技职业学院基于时间的ACL基于时间的ACL对于不同的时间段实施不同的访问控制规则在原有ACL的基础上应用时间段任何类型的ACL都可以应用时间段时间段绝对时间段（absolute）周期时间段（periodic）混合时间段湖南科技职业学院配置时间段配置时间段time-rangetime-range-nameRouter(config)#配置绝对时间absolute{starttimedate[endtimedate]|endtimedate}Router(config-time-range)#starttimedate：表示时间段的起始时间。time表示时间，格式为“hh:mm”。date表示日期，格式为“日月年”endtimedate：表示时间段的结束时间，格式与起始时间相同示例：absolutestart08:001Jan2010end10:001Feb2010湖南科技职业学院配置时间段（续）配置周期时间periodicday-of-the-weekhh:mmto[day-of-the-week]hh:mmperiodic{weekdays|weekend|daily}hh:mmtohh:mmRouter(config-time-range)#day-of-the-week：表示一个星期内的一天或者几天，Monday，Tuesday，Wednesday，Thursday，Friday，Saturday，Sundayhh:mm：表示时间weekdays：表示周一到周五weekend：表示周六到周日daily：表示一周中的每一天示例：periodicweekdays09:00to18:00湖南科技职业学院配置时间段（续）应用时间段在ACL规则中使用time-range参数引用时间段只有配置了time-range的规则才会在指定的时间段内生效，其它未引用时间段的规则将不受影响确保设备的系统时间的正确！湖南科技职业学院基于时间的ACL配置示例在上班时间（9：00~18：00）不允许员工的主机（172.16.1.0/24）访问Internet，下班时间可以访问Internet上的Web服务。湖南科技职业学院课程议题网络地址转换NAT湖南科技职业学院NAT实施NAT优点：节省公共地址可减少编址方案重叠的情况发生将私有网络转化成公网时，无需要重新进行编址NAT缺点：NAT会增加延迟无法进行端到端的IP跟踪湖南科技职业学院配置静态NAT第一步：在路由器上配置IP路由选择和IP地址。第二步：至少指定一个内部接口和一个外部接口，方法是进入接口配置模式下，执行命令ipnat{inside|outside}。第三步：使用全局命令ipnatinsidesourcestaticlocal-ip{interfaceinterface|global-ip}配置静态转换条目。湖南科技职业学院配置静态端口地址转换第一步：在路由器上配置IP路由选择和IP地址。第二步：至少指定一个内部接口和一个外部接口，并执行命令ipnat{inside|outside}。第三步：使用全局命令ipnatinsidesourcestatic{tcp|