第12章 安全

Posted zhangkuilong

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了第12章 安全相关的知识,希望对你有一定的参考价值。

访问控制列表:

1、标准访问控制列表

2、扩展访问控制列表

3、命名访问控制列表

 

控制列表末尾有一条隐式的deny any语句、

访问控制列表应遵循的一些原则:

1、在接口的特定方向上,每种协议只能有一个访问控制列表;

2、在访问控制列表中,将uti的测试条件放在前面;

3、新增的语句将放在访问控制列表的末尾;

4、不能进删除访问开工至列表中的一行,如果视同这样做,见该上传整个访问控制列表。

5、除非访问控制列表以permit any命令结尾,否则不满足任何条件的分组都将被丢弃;-----访问控制列表默认是全部deny;

6、创建访问控制列表后应应将其应用于接口;

7、访问控制列表用于过滤穿越路由器的数据流;应将IP标准访问控制列表放在离目的地尽可能近的地方,这就是我们不想在网络中使用标准访问控制列表的原因;

8、将IP扩张访问控制列表放在离信源尽可能远的地方;

 

使用ACL可缓解安全威胁:

1、IP地址欺骗(入站);

2、IP地址欺骗(出站)

3、拒绝服务(DoS)TCP SYN攻击(阻断外部攻击)

4、DoS TCP SYN攻击(使用TCP拦截)

5、DoS smurf攻击

6、拒绝/过滤ICMP消息(入站)

7、拒绝/过滤ICMP消息(出站)

8、拒绝/过滤traceroute。

 

标准访问控制列表:1~99,1300~1999;

通配符大小总比块大小小1;

access-list 10 deny 172.16.10.0 0.0.0.255

acc-list 10 permit any

int fa0/0

ip access-group 10 out;

 

确定块大小和通配符掩码时,需要牢记以下两点:

1、起始位置必须为0或者块大小的整数倍。

2、命令any与0.0.0.0 255.255.255.255 等价。

 

通知VTY(SSH/TELNET)访问;

access-list 50 permit host 172.16.10.3

line vty 0 4

access-class 50 in

 

Router(config)#access-list 110 deny tcp any 172.16.40.0 0.0.15.155
Router(config)#access-list 110 deny tcp any 172.16.192.0 0.0.63.255
Router(config)#access-list 110 permit any

Router(config)#interface f0/0
Router(config-if)#ip access-group 110 out
Router(config-if)#int f0/1
Router(config-if)#ip access-group 110 out

 

命名ACL:

ip access-list standard BlockSales
deny 172.16.40.0 0.0.0.155
permit any

Router(config)#interface fa0/0
Router(config-if)#ip access-group BlockSlaes out

Router(config-if)#exit

 

防DoS攻击常用工具:

1、入侵检测系统(IDS)

2、父亲防范系统(IPS)

R1(config)#no service ?
alignment                  Control alignment correction and logging
compress-config     Compress the nvram configuration file
config                       TFTP load config files
dhcp                                Enable DHCP server and relay agent
disable-ip-fast-frag         Disable IP particle-based fast fragmentation
exec-callback                 Enable exec callback
exec-wait                      Delay EXEC startup on noisy lines
finger                          Allow responses to finger requests
hide-telnet-addresses                  Hide destination addresses in telnet command
linenumber                       enable line number banner for each exec
nagle                          Enable Nagle‘s congestion control algorithm
old-slip-prompts                Allow old scripts to operate with slip/ppp
pad                             Enable PAD commands
password-encryption                     Encrypt system passwords
prompt                         Enable mode specific prompt
pt-vty-logging                   Log significant VTY-Async events
sequence-numbers                Stamp logger messages with a sequence number
slave-log                         Enable log capability of slave IPs
tcp-keepalives-in                    Generate keepalives on idle incoming network   connections
tcp-keepalives-out                           Generate keepalives on idle outgoing networkconnections
tcp-small-servers                             Enable small TCP servers (e.g., ECHO)
telnet-zeroidle                                    Set TCP window 0 when connection is idle
timestamps                              Timestamp debug/log messages
udp-small-servers                     Enable small UDP servers (e.g., ECHO)

 

TCP小程序:

echo:回显输入内容

chargen:生成ASCII数据流

discard:丢弃输入的内容

daytime:返回系统日期和时间

UDP小型服务:

echo:回显发送的数据保的有效负载

discard:小小的丢弃发送的数据报

chargen:丢弃发送的数据报。

 

阻断SNMP分组:

R1(config)#access-list 110 deny udp any any eq snmp
R1(config)#access-list 110 permit ip any any

R1(config)# int f 0/0
R1(config-if)#ip access-group 110 out

 

禁用echo

R1(config)#no service tcp-small-servers
R1(config)#no service udp-small-servers

禁用BootP自动配置

R1(config)#no ip bootp server
R1(config)#no service config

禁用HTTP进程:

R1(config)#no ip http server 

禁用IP源路由选择

R1(config)#no ip source-route 

禁用代理ARP

R1(config)#int fastEthernet 0/0
R1(config-if)#no ip proxy-arp

禁用重定向消息

R1(config)#interface fastEthernet 0/0
R1(config-if)#no ip redirects

禁止生成ICMP不可达消息:

R1(config)#interface fastEthernet 0/0

R1(config-if)#no ip unreachables

 

禁用组播路由缓存:

R1(config)#interface fastEthernet 0/0

R1(config-if)#no ip mroute-cache

禁用维护操作协议:

no mop enabled

关闭X.25 PAD 服务

noservice pad

启用Nale TCP拥塞算法

service nagle

 







































以上是关于第12章 安全的主要内容,如果未能解决你的问题,请参考以下文章

2019--2020信息安全导论第10周总结20191301

CISP 考试教材《第 7 章 知识域:信息安全支撑技术》知识整理

CISP 考试教材《第 8 章 知识域:物理与网络通信安全》知识整理

CISP 考试教材《第 3 章 知识域:信息安全管理》知识整理

网络安全技术概论知识点

网络安全技术概论知识点