電子科技大學(xué)歷年分?jǐn)?shù)線(學(xué)校及學(xué)院)

1、實(shí)驗(yàn)一實(shí)驗(yàn)名稱：交換機(jī)的端口安全配置。實(shí)驗(yàn)?zāi)康模赫莆战粨Q機(jī)的端口安全功能。技術(shù)原理：利用交換機(jī)的端口安全功能可以防止局域網(wǎng)大部分的內(nèi)部攻擊對(duì)用戶、網(wǎng)絡(luò)設(shè)備造成的破壞。如MAC地址攻擊、ARP攻擊、IP/MAC地址欺騙等。交換機(jī)端口安全有限制交換機(jī)端口的最大連接數(shù)和端口的安全地址綁定兩種基本功能實(shí)現(xiàn)功能：查看交換機(jī)的各項(xiàng)參數(shù)。實(shí)驗(yàn)設(shè)備：S2126G一臺(tái)，主機(jī)一臺(tái)，直連網(wǎng)線一根。實(shí)驗(yàn)拓樸： S2126ConsoleF0/5com1NIC實(shí)驗(yàn)步驟：1.配置交換機(jī)端口最大連接數(shù)限制。Switch(config)#interface range fastethernet 0/1-23 ! 進(jìn)行一組端口的

2、配置。Switch(config-if-range)# switchport port-security ! 開(kāi)放交換機(jī)端口的安全功能。Switch(config-if-range)#switchport port-security maximum 1 ! 配置端口的最大連接數(shù)為1。Switch(config-if-range)#switchport port-security violation shutdown ! 配置安全違例的處理方式為shutdown.Switch#show port-security !查看交換機(jī)端口的安全配置。Secure Port MaxSecureAddr(c

3、ount) CurrentAddr(count) Security Action- - - -Fa0/1 1 0 ShutdownFa0/2 1 0 ShutdownFa0/3 1 0 ShutdownFa0/4 1 0 ShutdownFa0/5 1 0 ShutdownFa0/6 1 0 ShutdownFa0/7 1 0 ShutdownFa0/8 1 0 ShutdownFa0/9 1 0 ShutdownFa0/10 1 0 ShutdownFa0/11 1 0 ShutdownFa0/12 1 0 ShutdownFa0/13 1 0 ShutdownFa0/14 1 0 Shut

4、downFa0/15 1 0 ShutdownFa0/16 1 0 ShutdownFa0/17 1 0 ShutdownFa0/18 1 0 ShutdownFa0/19 1 0 ShutdownFa0/20 1 0 ShutdownFa0/21 1 0 ShutdownFa0/22 1 0 ShutdownFa0/23 1 0 Shutdown2配置交換機(jī)端口的地址綁定。Switch(config)#interface fastethernet 0/3Switch(config-if)#switchport port-securitySwitch(config-if)#switchport

5、 port-security mac-address 0006.1bde.13b4 ip-address 5 ! 配置IP地址和MAC地址的綁定，MAC地址用 ipconfig /all命令。Switch#show port-security address !查看地址安全綁定配置。Vlan Mac Address IP Address Type Port Remaining Age(mins)- - - - - -1 0016.ecd3.9136 Configured Fa0/3 -注意事項(xiàng)：1.交換機(jī)端口安全功能只能在ACCESS接口進(jìn)行配置。2交換機(jī)

6、最大連接數(shù)限制取值范圍是1128，默認(rèn)128。3交換機(jī)最大連接數(shù)限制默認(rèn)的處理方式是protect。4.有三種安全違例處理方式：l Protect：當(dāng)安全地址個(gè)數(shù)滿后，安全端口將丟棄未知名地址（不是該端口的安全地址中的任何一個(gè)）的包。l RestrictTrap：當(dāng)違例產(chǎn)生時(shí)，將發(fā)送一個(gè)Trap通知。l Shutdown：當(dāng)違例產(chǎn)生時(shí)，將關(guān)閉端口并發(fā)送一個(gè)Trap通知。5. 當(dāng)端口因?yàn)檫`例而被關(guān)閉后，在全局配置模式下使用命令errdisable recovery 來(lái)將接口從錯(cuò)誤狀態(tài)中恢復(fù)過(guò)來(lái)。實(shí)驗(yàn)二實(shí)驗(yàn)名稱：標(biāo)準(zhǔn)IP訪問(wèn)控制列表。實(shí)驗(yàn)?zāi)康模赫莆章酚善魃蠘?biāo)準(zhǔn)IP訪問(wèn)控制列表規(guī)則及配置。技術(shù)原理：

7、IP訪問(wèn)控制是對(duì)經(jīng)過(guò)網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)包根據(jù)一定的規(guī)則進(jìn)行數(shù)據(jù)包的過(guò)濾，達(dá)到安全的目的。標(biāo)準(zhǔn)訪問(wèn)列表根據(jù)數(shù)據(jù)包源IP地址進(jìn)行規(guī)則定義。1.定義標(biāo)準(zhǔn)ACL 編號(hào)的標(biāo)準(zhǔn)訪問(wèn)列表Router(config)#access-list permit|deny 源地址 反掩碼 命名的標(biāo)準(zhǔn)訪問(wèn)列表switch(config)# ip access-list standard switch(config-std-nacl)#permit|deny 源地址 反掩碼2.應(yīng)用ACL到接口Router(config-if)#ip access-group in | out 實(shí)現(xiàn)功能：實(shí)現(xiàn)網(wǎng)段間相互訪問(wèn)的安全控制。實(shí)驗(yàn)設(shè)備

8、：R1762路由器兩臺(tái)，V.35線纜一條，直連線或交叉線三根。實(shí)驗(yàn)拓樸：實(shí)驗(yàn)步驟：1. router1基本配置。Router(config)#hostname router1Router1(config)#interface fastethernet 1/0Router1(config-if)#ip address Router1(config-if)#no shutdownRouter1(config)#interface fastethernet 1/1Router1(config-if)#ip address 255

9、.255.255.0Router1(config-if)#no shutdownRouter1(config)#interface serial 1/2Router1(config-if)#ip add Router1(config-if)#clock rate 64000Router1(config-if)#no shutdownRouter1(config-if)#endRouter1#show ip interface brief ! 查處接口狀態(tài)。Interface IP-Address(Pri) OK? Statusserial 1/2

10、 /24 YES DOWNserial 1/3 no address YES DOWNFastEthernet 1/0 /24 YES DOWNFastEthernet 1/1 /24 YES DOWNNull 0 no address YES UP2. router2基本配置。Router(config)#hostname router2Router2(config)#interface fastethernet 1/0Router2(config-if)#ip address Ro

11、uter2(config-if)#no shutdownRouter2(config)#interface serial 1/2Router2(config-if)#ip add Router2(config-if)#no shutdownRouter2(config-if)#endRouter2#show ip interface brief ! 查處接口狀態(tài)。Interface IP-Address(Pri) OK? Statusserial 1/2 /24 YES DOWNserial 1/3 no address YE

12、S DOWNFastEthernet 1/0 /24 YES DOWNFastEthernet 1/1 no address YES DOWNNull 0 no address YES UPRouter1(config)#ip route serial 1/2 !配置靜態(tài)路由。Router2(config)#ip route serial 1/2 !配置靜態(tài)路由。Router2(config)#ip route serial

13、1/2 !配置靜態(tài)路由。Router1#show ip route !查看路由表信息。Codes: C - connected, S - static, R - RIP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 * - candidate defaultGateway of last resort is no setC /24

14、 is directly connected, serial 1/2C /32 is local host.S /24 is directly connected, serial 1/2注意：兩臺(tái)路由器沒(méi)連接之前只能顯示：Codes: C - connected, S - static, R - RIP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - O

15、SPF external type 2 * - candidate defaultGateway of last resort is no setRouter2#show ip route !查看路由表信息。Codes: C - connected, S - static, R - RIP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 * - can

16、didate defaultGateway of last resort is no setS /24 is directly connected, serial 1/2S /24 is directly connected, serial 1/2C /24 is directly connected, serial 1/2C /32 is local host.3配置標(biāo)準(zhǔn)訪問(wèn)控制列表。Router2(config)#access-list 1 deny 55 !拒絕來(lái)自172.

17、16.2.0網(wǎng)段的流量通過(guò)。Router2(config)#access-list 1 permit 55 !允許來(lái)自網(wǎng)段的流量通過(guò)。Router2#show access-lists 1Standard IP access list 1 includes 2 items: deny , wildcard bits 55 permit , wildcard bits 554.在接口下應(yīng)用訪問(wèn)控制列表。Router2(config)#interface fastethern

18、et 1/0Router2(config-if)#ip access-group 1 out ! 訪問(wèn)列表的出棧應(yīng)用Router2#show ip interface fastethernet 1/0FastEthernet 1/0 IP interface state is: DOWN IP interface type is: BROADCAST IP interface MTU is: 1500 IP address is: /24 (primary) IP address negotiate is: OFF Forward direct-boardcast is:

19、ON ICMP mask reply is: ON Send ICMP redirect is: ON Send ICMP unreachabled is: ON DHCP relay is: OFF Fast switch is: ON Route horizontal-split is: ON Help address is: Proxy ARP is: ON Outgoing access list is 1. Inbound access list is not set.5.驗(yàn)證測(cè)試。(網(wǎng)段的主機(jī)不能ping通網(wǎng)段的主機(jī)，172.

20、16.1.0網(wǎng)段的主機(jī)能ping通網(wǎng)段的主機(jī))注意事項(xiàng)：1.訪問(wèn)控制列表的網(wǎng)絡(luò)掩碼是反掩碼。2訪問(wèn)控制列表要盡量應(yīng)用在靠近目的地址的接口。3. 路由器或三層交換機(jī)缺省允許所有的信息流通過(guò); 而防火墻缺省封鎖所有的信息流，然后對(duì)希望提供的服務(wù)逐項(xiàng)開(kāi)放。4. 從頭到尾，至頂向下的匹配方式,匹配成功馬上停止,執(zhí)行規(guī)則中的deny或permit5. 一個(gè)端口在一個(gè)方向上只能應(yīng)用一組ACL實(shí)驗(yàn)三實(shí)驗(yàn)名稱：擴(kuò)展IP訪問(wèn)控制列表。實(shí)驗(yàn)?zāi)康模赫莆杖龑咏粨Q機(jī)上擴(kuò)展IP訪問(wèn)控制列表規(guī)則及配置。技術(shù)原理：擴(kuò)展訪問(wèn)列表根據(jù)數(shù)據(jù)包中源IP、目的IP、源端口、目的端口、協(xié)議進(jìn)行規(guī)則定義。1.定義擴(kuò)展的

21、ACL 編號(hào)的擴(kuò)展ACLSwitch(config)#access-list permit /deny 協(xié)議 源地址 反掩碼 源端口 目的地址 反掩碼 目的端口 命名的擴(kuò)展ACLSwitch(config)#ip access-list extended name permit /deny 協(xié)議 源地址 反掩碼源端口 目的地址 反掩碼 目的端口 2.應(yīng)用ACL到接口Switch(config-if)#ip access-group in | out 實(shí)現(xiàn)功能：實(shí)現(xiàn)網(wǎng)段間相互訪問(wèn)的安全控制。實(shí)驗(yàn)設(shè)備：S3350交換機(jī)一臺(tái)，PC三臺(tái)，直連線三根。實(shí)驗(yàn)拓樸：實(shí)驗(yàn)步驟：1. 基本配置。 Switch(

22、config)#vlan 10Switch(config-vlan)#name serverSwitch(config)#vlan 20Switch(config-vlan)#name teacherSwitch(config)#vlan 30Switch(config-vlan)#name studentSwitch(config)#interface fa0/5Switch(config-if)#switchport mode accessSwitch(config-if)#switchport access vlan 10Switch(config)#interface fa0/10Sw

23、itch(config-if)#switchport mode accessSwitch(config-if)#switchport access vlan 20Switch(config)#interface fa0/15Switch(config-if)#switchport mode accessSwitch(config-if)#switchport access vlan 30Switch(config)#inter vlan 10Switch(config-if)#ip add Switch(config-if)#no shutdo

24、wnSwitch(config)#inter vlan 20Switch(config-if)#ip add Switch(config-if)#no shutdownSwitch(config)#inter vlan 30Switch(config-if)#ip add Switch(config-if)#no shutdown2.配置擴(kuò)展IP訪問(wèn)控制列表。Switch(config)#ip access-list extended denystudentwww !命名Switch(confi

25、g-ext-nac1)#deny tcp 55 55 eq www !禁止WWW服務(wù)。Switch(config-ext-nacl)#permit ip any any ! 允許其它服務(wù)。Switch#show ip access-lists denystudent www3.在接口下應(yīng)用訪問(wèn)控制列表。Switch(config)#inter vlan 30Switch(config-if)ip access-group denystudentwww in4.配置WEB服務(wù)器(參見(jiàn)局域網(wǎng)實(shí)驗(yàn))。5.驗(yàn)證測(cè)試。(VLAN

26、 30中的主機(jī)pc3不能訪問(wèn)WEB服務(wù)器pc1，VLAN 20中的主機(jī)pc2能訪問(wèn)WEB服務(wù)器pc1。)注意事項(xiàng)：1.訪問(wèn)控制列表的網(wǎng)絡(luò)掩碼是反掩碼。2訪問(wèn)控制列表要在接口下應(yīng)用。3Deny某網(wǎng)段后要permit其它網(wǎng)段。4. 一個(gè)端口在一個(gè)方向上只能應(yīng)用一組ACL實(shí)驗(yàn)四實(shí)驗(yàn)名稱：基于時(shí)間的訪問(wèn)控制列表。實(shí)驗(yàn)?zāi)康模赫莆栈跁r(shí)間對(duì)網(wǎng)絡(luò)進(jìn)行訪問(wèn)控制，提高網(wǎng)絡(luò)的使用效率和安全性。實(shí)現(xiàn)功能：基于時(shí)間段對(duì)網(wǎng)絡(luò)進(jìn)行訪問(wèn)控制的IP訪問(wèn)控制列表的配置。實(shí)驗(yàn)設(shè)備：R1762路由器一臺(tái)，直連線或交叉線二根。實(shí)驗(yàn)拓樸：實(shí)驗(yàn)步驟：1. router1基本配置。Router(config)#interface fast

27、ethernet 1/0Router(config-if)#ip address Router(config-if)#no shutdownRouter(config)#interface fastethernet 1/1Router(config-if)#ip address Router(config-if)#no shutdownRouter#show ip interface brief !查看路由器接口的狀態(tài)。Interface IP-Address(Pri) OK? Statusse

28、rial 1/2 no address YES DOWNserial 1/3 no address YES DOWNserial 2/0 no address YES DOWNserial 2/1 no address YES DOWNFastEthernet 1/0 /24 YES UPFastEthernet 1/1 /24 YES UPNull 0 no address YES UP2.配置路由器的時(shí)鐘。Router#show clockclock: 2008-1-13 2:0:25Router#clock set 12:40:08 15 apr

29、il 2007! 設(shè)置路由器的時(shí)鐘。3定義時(shí)間段。Router(config)#time-range freetime Router(config-time-range)#absolute start 8:00 1 jan 2008 end 18:00 31 dec 2010 !定義絕對(duì)時(shí)間段。Router(config-time-range)#periodic daily 0:00 to 8:00 ! 定義周期性時(shí)間段Router(config-time-range)#periodic daily 17:00 to 23:59 ! 定義周期性時(shí)間段,此處不能寫24：00。Router#sho

30、w time-range freetime ! 查看時(shí)間段配置。time-range entry: freetime (inactive) absolute start 08:00 01 January 2008 end 18:00 31 December 2010 periodic Daily 0:00 to 8:00 periodic Daily 17:30 to 23:594.定義訪問(wèn)控制列表規(guī)則。Router(config)#access-list 100 permit ip any host !定義擴(kuò)展訪問(wèn)控制列表，允許訪問(wèn)主機(jī)。Router(config)#access-list 100 permit ip any any time-range freetime !允許在