CCNA学习指南第十章

安全(Security)

一些常见的攻击:

应用层攻击:利用软件漏洞攻击。

autorooters:利用rootkit扫描、探测目标主机的数据,然后监视整个系统。

后门程序:在目标主机装入一程序,通过远程进入主机并控制。

拒绝服务DOS和分布式拒绝服务(DDOS)攻击:发送大量数据,让主机停止服务。有TCP-SYN泛洪攻击、死亡PING攻击、族群式泛洪攻击(TFN)和族群式2000泛洪攻击(TFN2000)。

IP欺骗:通过IP伪装成一台可信的主机。

中间人攻击:拦截数据,更改数据。

网络侦察:通过扫描、探测软件找到网络漏洞。

包嗅探、口令攻击、强暴攻击、端口重定向攻击。

访问控制列表:是一系列对数据包进行分类的条件,调节网络流量,控制网络包的走向,增强网络安全的一系列条件。

访问列表的遵循规则:

1、按顺序比较访问列表的第一行,

2、比较访问列表的各行,直到匹配的一行,后面的不在进行比较。

3、在所有行不匹配的时候,后面隐含量了一个拒绝的语句,如果访问控制列没有匹配,将丢弃所有数据。

访问列表类型:标准访问列表和扩展访问列表,还有命名式的访问列表。命名列表可以是标准的也可以是扩展的。

入口访问列表:当访问列表被应用到从接口输入的包时,那些包在被路由到输出接口之前要经过访问列表的处理,路由之前就被丢弃。

出口访问列表:当访问列表被应用到从接口输出的包时,那些包首先被路由到输出接口中,然后在进入该接口的输出队列之前经过访问列表的处理。

访问列表配置指南:

1、每个接口、每个协议或每个方向只可以分派一个访问列表。

2、将特殊的测试放在访问列表的最前面,

3、添加新的访问列表条目时,都将放在最末尾。

4、不能删除访问列表的某一行,除命名访问列表。

5、如果访问列表末尾没有允许所有的命令,测试条件不符合将拒绝所有的数据据通过。

6、将IP标准访问列表放在靠近目的地址的位置。

7、将扩展IP访问列表放在靠近源地址的位置。

标准的IP访问列表通过使用IP包中的源IP地址过虑网络中的流量。可以使用访问列表号1~~99或1300~~1999(扩展范围)创建标准的访问列表。

router(config)#access-list_1_deny_host_192.168.1.1-----拒绝源主机192.168.1.1流量通过。

router(config)#access-list_1_permit_192.168.1.0_255.255.255.0---------允许源为192.168.1.0网络的所有主机流量通行。

router(config)#access-list_1_permit_192.168.1.0_0.0.0.255---------------允许源为192.168.1.0网络的所有主机流量通行。

通配符掩码:是用来标识一个段的网络,第一个块的必须从0或块的大小倍数开始。

router(config-if)#ip_access-group_1_out----------把标准访问列表1应用的接口的出方向。

router(config-if)#ip_access-group_1_in----------把标准访问列表1应用的接口的入方向。

router(config_line)#access-class_1_in----------把标准访问列表1应用的VTY线路的入方向,

扩展访问列表:

扩展访问列表可以允许指定源地址和目地地址,以及标识上层的协议或应用程序的协议和端口号。

router(config)#access-list_110_deny_tcp_any_host_192.168.1.1_eq_23_log

拒绝目标地址192.168.1.1的telnet所有流量,并发送到日志信息中。

命名访问列表可以是标准的也可以是扩展的访问列表

router(config)#ip_access-list_"extended|standard"_"名称"----------创建命名访问列表

router(config-std-nacl)#permit_host_192.168.1.1-------------命名列表允许源主机192.168.1.1流量通过。

router(config-if)#ip_access-group_"名称"_out-----------把命名列表应用的接口的出方向

交换机端口访问控制列表(ACL):只能把它应用在接口的入口列表上,并且只能使用命名的访问列表

switch(config)#mac_access-list_extended_"名称"-------创建扩展命名的MAC访问列表

switch(config-ext-macl)#deny_host_any_host_xxxx.xxxx.xxxx-------------命名MAC访问列表拒绝目标xxxx.xxxx.xxxx的所有流量。

switch(config-if)max_access-group_"名称"_in-----------把MAC命名列表应用到接口的入方向

基于时间的访问控制列表:

router(config)#time-range_"名字"--------------创建一个时间规则

router(config-time-range)#periodic------------定义一个周期时间

router(config-time-range)#absolute------------定义一个绝对时间

router(config)#ip_access-list_extended_"名字"

router(config-ext-nacl)#deny_tcp_any_any_eq_www_time-range_"名字"---------调用时间规则到访问列表中。

router(config-if)#ip_access-group_"名字"_in---------调用访问列表到接口的入方向

注释:

router(config)#ip_access-list_110_remark_"说明内容,注释内容"

router#show_access-list----------------显示访问列表参数

router#show_access-list_110----------显示访问列表110的参数

router#show_ip_access-list--------------显示IP访问列表参数

router#show_run--------------------显示那些接口被配置了访问列表

router#show_mac_access-group-----------显示二层接口的MAC访问列表

你可能感兴趣的:(网络安全)