第9章 锐捷园区网安全功能的规划和部署.doc

《第9章 锐捷园区网安全功能的规划和部署.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第9章锐捷园区网安全功能的规划第9章锐捷园区网安全功能的规划和部署9.1、常见的网络安全漏洞从网络模型来看，在各层的网络安全漏洞有：l物理层――线路的安全、物理设备的安全、机房的安全；l链路层――MAC地址欺骗/泛洪、ARP欺骗、STP攻击、DHCP攻击；l网络层――IP地址扫描/欺骗/攻击；l传输层――面向连接和非连接的攻击，也就是端口扫描；l应用层――Web服务、电子邮件、FTP，病毒对系统的攻击；由于物理层涉及的主要是设备、线路等硬件，故不列入本章的考虑范围。9.2、基本安全部署在园区网的实施和部署中，根据各自的不同情况和实际需要，可以有多种的

2、安全部署方案。锐捷网络推荐采用的基本安全部署有以下几种：l扩展ACL过滤；lSTP的BPDU报文过滤和防卫；l三层设备的IP防扫描；l防ARP欺骗；9.2.1、扩展ACL过滤由于很多的病毒是根据操作系统和软件的漏洞，通过特定TCP/UDP端口进行感染和传播的。比如冲击波、震荡波、SQL蠕虫等就是通过特定的TCP/UDP端口进行传播的。针对这种情况，锐捷网络在S21系列以上的交换机和各款路由器上，通过扩展ACL对常用的病毒端口进行过滤。35第9章锐捷园区网安全功能的规划由于锐捷网络交换机和路由器的ACL配置是有所区别的，下面分别进行说明。9.2.1.1

3、、交换机的ACL过滤在锐捷网络交换机上创建ACL时，可以用字符串也可以用数字来命名ACL，一般可采用字符串+数字的方式加以命名，以便于识别；至于是标准ACL还是扩展ACL，是通过字段来识别的，如标准ACL用standard识别，扩展ACL用extended识别。下例的配置显示如何在交换机上创建一条扩展ACL，名字为anti-virus，并将这条ACL应用到fastEthernet0/1端口的in方向：Switch#configureterminalSwitch(config)#ipaccess-listextendedanti-virusSwitch

4、(config-ext-nacl)#denytcpanyanyeq135Switch(config-ext-nacl)#denytcpanyanyeq136Switch(config-ext-nacl)#denytcpanyanyeq137Switch(config-ext-nacl)#denytcpanyanyeq138Switch(config-ext-nacl)#denytcpanyanyeq139Switch(config-ext-nacl)#denytcpanyanyeq445Switch(config-ext-nacl)#denytcpa

5、nyanyeq593Switch(config-ext-nacl)#denytcpanyanyeq4444Switch(config-ext-nacl)#denytcpanyanyeq5554Switch(config-ext-nacl)#denytcpanyanyeq9995Switch(config-ext-nacl)#denytcpanyanyeq9996Switch(config-ext-nacl)#denyudpanyanyeq135Switch(config-ext-nacl)#denyudpanyanyeq136Switch(confi

6、g-ext-nacl)#denyudpanyanyeq137Switch(config-ext-nacl)#denyudpanyanyeq138Switch(config-ext-nacl)#denyudpanyanyeq139Switch(config-ext-nacl)#denyudpanyanyeq445Switch(config-ext-nacl)#denyudpanyanyeq593Switch(config-ext-nacl)#denyudpanyanyeq143435第9章锐捷园区网安全功能的规划Switch(config-ext-na

7、cl)#denyudpanyanyeq4444Switch(config-ext-nacl)#denyudpanyanyeq5554Switch(config-ext-nacl)#denyudpanyanyeq9995Switch(config-ext-nacl)#denyudpanyanyeq9996Switch(config-ext-nacl)#permitipanyanySwitch(config-ext-nacl)#exitSwitch(config)#interfacefastEthernet0/1Switch(config-if)#ipa

8、ccess-groupanti-virusinSwitch(config-if)#^ZSwitch#注意事项