访问控制列表与端口安全

《访问控制列表与端口安全》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第八章访问控制列表与端口安全9/1/20211本章课题8.1访问控制列表简介8.2编号访问控制列表配置8.3命名访问控制列表8.4基于时间访问的控制列表8.5端口安全9/1/20212网络安全隐患（1）非人为的或自然力造成的故障、事故等。（2）人为但属于操作人员无意的失误造成的数据丢失或损坏。（3）来自园区网外部和内部人员的恶意攻击和破坏。9/1/20213现有网络安全防御体制IDS68%杀毒软件99%防火墙98%ACL71%现有网络安全体制9/1/20214VPN虚拟专用网防火墙包过滤防病毒入侵检测9/1/20215什么是访问列表ISP√IPAccess-list：IP访问列表或访问控制

2、列表，简称IPACLIPACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤。9/1/20216访问列表的作用访问控制列表可以限制网络流量、提高网络性能、控制网络通信流量等，同时ACL也是网络访问控制的基本安全手段。在路由器或交换机的接口上配置访问控制列表后，可以对进出接口及通过接口中继的数据包进行安全检测。配置访问控制列表的目的主要基于以下两点。（1）限制路由更新。（2）限制网络访问。9/1/20217访问控制列表类型标准IP访问控制列表编号的标准IP访问控制列表命名的标准IP访问控制列表扩展IP访问控制列表编号的扩展IP访问控制列表命名的扩展IP访问控制列表9/1/20218

3、ACL的一些相关特性（1）每一个接口可以在进入（Inbound）和离开（Outbound）两个方向上分别应用一个ACL，且每个方向上只能应用一个ACL。（2）ACL语句包括两个动作，一个是拒绝（Deny），一个是允许（Permit）。（3）在路由器或交换机接口接收到报文时，应用在接口进入方向的ACL（内向ACL）起作用。（4）在路由选择决定以后，数据准备从某一个接口输出报文时，应用在接口离开方向的ACL（外向ACL）起作用。（5）每个ACL的结尾有一个隐含的denyall（拒绝的所有数据包）语句。因此，如果包不匹配ACL中的任何语句，将被拒绝。9/1/20219ACL的内向匹配过程路由器取

4、出内向ACL的数据包进入路由器数据包进入路由器路由器取出内向ACL的第一条语句允许还是拒绝？匹配项与数据包中的各项进行比较是否匹配匹配项与数据包是否匹配？允许还是拒绝？取出内向ACL下一条语句最后一条？允许进行路由选择拒绝决定转发接口丢弃结束9/1/202110ACL的外向匹配过程路由器取出外向ACL的第一条语句选择离开接口是否匹配？匹配项与数据包中的各项进行比较取出外向ACL下一条语句最后一条？允许还是拒绝？允许数据包从离开接口送出结束丢弃拒绝9/1/202111通配符掩码通配符掩码掩码的二进制形式描述0.0.0.000000000.00000000.00000000.00000000整

5、个lP地址必须匹配0.0.0.25500000000.00000000.00000000.11111111只有前24位需要匹配0.0.255.25500000000.00000000.11111111.11111111只有前16位需要匹配0.255.255.25500000000.11111111.11111111.11111111只有前8位需要匹配255.255.255.25511111111.11111111.11111111.11111111全部不需要匹配0.0.15.25500000000.00000000.00001111.11111111只有前20位需要匹配0.0.3.2550

6、0000000.00000000.00000011.11111111只有前22位需要匹配9/1/202112IP地址与通配符掩码的作用规则IP地址与通配符掩码的作用规则是：32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配，例如，IP地址192.168.1.0（相应的二进制为11000000101010000000000100000000）通配符掩码0.0.0.255（相应的二进制为00000000000000000000000011111111）该通配符掩码的前24位为0，对应的IP地址位必须匹配

7、，即必须保持原数不变，该通配符掩码的后8位为1，对应的IP地址位不必匹配，即IP地址的后8位可以为任意值。也就是说IP地址192.168.1.0和通配符掩码0.0.0.255匹配的结果是192.168.1.0这个网段内的所有主机。9/1/202113两个特殊的关键字Host：表示一种精确匹配，是通配符掩码0.0.0.0的简写形式。例如，只检查IP地址为192.168.1.10的数据包，可使用以下两种ACL语句。acces