基于访问列表控制的cisco路由器安全策略初探

《基于访问列表控制的cisco路由器安全策略初探》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于访问列表控制的Cisco路由器安全策略初探摘要：随着网络技术的快速发展，黑客的入侵于段越來越高明，网络帘常受到攻击。路山器作为Intranet和Internet的网间互连设备，位于不可信任网络和可信任网络Z间，是保证网络安全的第一关，安全性已成为路山器设计中最关键的技术问题。木文对基于访问列表控制的路由器安全策略进行了探讨，并以最常用的Cisco路山器为例进行了分析。关键词：访问列农路由器安全引言网络安全一直是借受关注的领域，如果缺乏一定的安全保障，无论是公共网还是企业专用网都难以抵挡网络攻击和非法入侵。随着人们对网络依赖程度的H益增强，网络的安全性和可靠性问题愈來愈重要，一

2、旦网络瘫痪或重要信息被窃収，将带来巨大损失。而路山器作为网络传输过程屮的重要设备，对报文安全、正确和快速的转发起着关键作川。因此，研究常川路由器的安全配置和策略，就具有重要的意义。Vj1・1路由器的功能路由器处于网络层，是网络中进行网间互连的关键设备，能够跨越不同类型的物理网络类型，并将整个互联网络分割成独立的网络单位，使网络具有一定的逻辑结构。作为不同网络Z间连接的枢纽，路市器系统构成了基于TCP/IP的Internet主体脉络。不同地位的路巾器其功能也不相同：第一，在主干网上，路由器的主要作用是路由选择。主干网上的路由器必须知道到达所有下层网络的路径。这需要维护庞人的路由表，

3、并对连接状态的变化做出尽可能快速的反应。第二，在地区网屮，路由器的主要作川是网络连接和路由选择，即连接下层各个棊层网络单位——园区网，并负责下层网络之间的数据转发。第三，在园区网内部，路山器的主要作用是分隔子网。各个子网在逻辑上独立，而路山器则负责子网间的数据转发和广播隔离，在园区网边界上的路山器则负责与地区网的连接。1・2路由器的安全机制女全路由器能够按照需要向内部局域网或外部公用网转发授权包；能够对每一条链路的访问权限进行控制；能够I■办助对传输的数据进行加密；提供内外识别地址的转变：捉供配置管理、性能管理、流量控制、安全管理等功能；确保路山信息能够安全、准确地传递；提供包括

4、分组过滤、优先级、复用、加密、压缩等功能。为了构建路由器的女全机制，必须采用不同的女全对策。在控制数据流量上，可以采用包过滤和代理服务；在访问路由器上，为了保证路由器木身的安全，可以采用认证的技术;为了保证数据的安全，可以采用数据加密技术。当然，包过滤技术和代理服务技术是当今最广泛釆用的网络安全技术，也就是我们通常称的防火墙技术。防火墙町以根据网络安全的规则设置允许经过授权的数据包进出内部网络，同时将非法数据包扌为在防火墙内外，最人限度地阻止黑客攻击。包过滤技术以访问列表的形式出现，被创建的访问列表可以川来允许或拒绝信息流通过一或多个路由器接口。日前，市场上的路由器品牌很多，其中

5、Cisco（思科）路l+l器在路由器技术方血最为权威，从某种意义上来说已经成为路由器的代名词。因此，本文主要以Cisco路由器为例，来探讨基于访问列农控制的路山器女全策略。2.路由器访问列表的原理与设计2.1路由器访问列表的基本原理访问列表是棊于规则与数据包进行匹配来允许或拒绝数据流的排序表，其棊木格式为：access-list[access-list-number][permitIdenyIjoinlevaluate][refnum][protocol]fsourccsourcc-wildcardlany][sourceport][destinationdetination-w

6、ildcandlany][destinationport][options]在实际使用时，每个语句一般都在单独一行上。并非所有的域都是必需的，只有第1、第2和第5域在每种类型的访问列表中都需要。访问列表在配置时，遵循以下原则：第一，从上到下的处理过程。访问列表的检测顺序是从第一表项开始的，如果找到了匹配项，则处理过程结束，系统不再过问剩下的表项。第二，隐含的拒绝所有的数据包。在访问列农的最后，总是有一个隐含的“denyall”表项，所有不能显式匹配访问表项的数据包都会自动地被拒绝。第三，新的表项增加到底部。要进行增加表项到访问列表的修改，一般需要删除和重建整个访问列表；也可以衣客

7、八机中婕立访问列表文木文件，使川TFTP协议达到修改访问列表的H的。2.2路由器访问列表的主要功能路由器的访问列表包括标准访问列表、扩展访问列表、第二层访问列表和自反访问列表四种。其中前三种为静态包过滤，白反访问列表为动态包过滤。第一，标准访问列表定义的范围为1-99,只允许通过源IP地址进行过滤。标准访问列表在限制虚拟终端访问、限制SNMP访问、过滤路巾协议等方血比扩展访问列表更为有用。第二，扩展访问列表提供了与标准访问列表一样的基于源地址的过滤，同时还可以通过目的地址和协议信