導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

校園網(wǎng)接入層安全策略研究

文檔作者：申繼年李毅治邢雪梅文檔來(lái)源：中國(guó)藥科大學(xué)現(xiàn)代教育技術(shù)中心		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月30日
下載地址：點(diǎn)擊這里	文件大小： 1.00 MB 共3頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁(yè)]

本文件共3頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大小：1.00 MB 共3頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：長(zhǎng)輸熱網(wǎng)中繼泵站安全運(yùn)行保障措施

上一篇：電力調(diào)度數(shù)據(jù)網(wǎng)的安全防護(hù)技術(shù)

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

回
校園網(wǎng)接入層安全策略研究
申繼年李毅治邢雪梅
中國(guó)藥科大學(xué)現(xiàn)代教育技術(shù)中心江蘇210009
摘要:本文在對(duì)問(wèn)題發(fā)生原因深入分析之后,提出了在校園網(wǎng)的接入層部署相關(guān)策略,包括屏蔽非法服務(wù)器、防止用戶(hù)
私設(shè)IP、防止ARP欺騙和病毒防護(hù)等,從根本上解決校園網(wǎng)的安全與管理問(wèn)題。
關(guān)鍵詞:接入層安全:P地址沖突;ARP欺騙:DHCP- -Snooping
0前言
(3)為特定主機(jī)分配固定IP
本文將介紹校園網(wǎng)的接入層的相關(guān)技術(shù)策略,從而構(gòu)建校園網(wǎng)中有些主機(jī)由于要提供服務(wù),需要固定IP地址,
一個(gè)安全高效的網(wǎng)絡(luò),不但要讓用戶(hù)方便易用,還要讓校園比如服務(wù)器,這就需在DHCP服務(wù)器和接入交換機(jī)上構(gòu)建
網(wǎng)管理者能夠有效管理,從接入層解決校園網(wǎng)的安全隱患。一個(gè)ip和AC綁定的跨網(wǎng)DHCP強(qiáng)制分配機(jī)制
1IP地址的分配與管理
通過(guò)以上分析,必須采取有效措施來(lái)應(yīng)對(duì)上述三個(gè)問(wèn)
1.1全網(wǎng)DHCP動(dòng)態(tài)分配IP
題我們利用接入交換機(jī)DHCP P-Snooping-功能屏蔽非法
在計(jì)算機(jī)數(shù)量眾多并且劃分多個(gè)子網(wǎng)的網(wǎng)絡(luò)中, DHCPDHCP服務(wù)器、過(guò)濾非法DHCP報(bào)文、防止用戶(hù)私設(shè)IP,還
服務(wù)的優(yōu)勢(shì)更加明顯,其優(yōu)點(diǎn)如下
可以為用戶(hù)指定固定的IP地址,可以有效解決非法DHCP
(1)減小輸入錯(cuò)誤的可能
服務(wù)器擾亂用戶(hù)網(wǎng)絡(luò)和防止私設(shè)IP用戶(hù)使用網(wǎng)絡(luò)。
(2)避免IP沖突
2DHCP防護(hù)
(3)減小管理員的工作量;
2.1dhcp- -Snooping技術(shù)簡(jiǎn)介
(4)當(dāng)網(wǎng)絡(luò)更改IP地址段時(shí),不需要重新配置每臺(tái)計(jì)算
dhcp- -Snooping技術(shù)就像是在非信任端口的主機(jī)和
機(jī)的IP;
(5)計(jì)算機(jī)移動(dòng)到其它子網(wǎng)不必重新配置IP
DHCP服務(wù)器之間安裝了 DHCP一道防火墻,通過(guò) Snooping
1.2DHCP服務(wù)所帶來(lái)新問(wèn)題
來(lái)區(qū)分連接到終端客戶(hù)的非信任端口和連接到DHCP服務(wù)
器或者其他交換機(jī)的信任端口。
隨著DHCP服務(wù)的廣泛應(yīng)用,也給網(wǎng)絡(luò)管理帶來(lái)一些新
的問(wèn)題,具體表現(xiàn)在:
dhcp P-Snooping-具有屏蔽非法DHCP服務(wù)器和過(guò)濾非
(1)私自架設(shè)非法的DHCP服務(wù)器
法DHCP報(bào)文的功能 DHCP,解決了 Client和 DHCP Server
由于DHCP報(bào)文在客戶(hù)端和服務(wù)器的交互過(guò)程中并沒(méi)有之間DCP報(bào)交互安全問(wèn)題- -Snooping簡(jiǎn)稱(chēng)
認(rèn)證機(jī)制,如果網(wǎng)絡(luò)中存在非法DHCP服務(wù)器,管理員將無(wú)DHCP偵聽(tīng),接入交換動(dòng)DCP P-Snooping-功能后可實(shí)現(xiàn)
法保證客戶(hù)端從管理員指定的DHCP服務(wù)器獲取合法地址,對(duì) DHCP Client和 DHCP Server之間DHCP交互報(bào)文的窺
客戶(hù)機(jī)有可能從非法DHCP服務(wù)器獲得IP地址等配置信息,探。通過(guò)窺探,D- -Snooping記錄合法DHCP用戶(hù)的信
導(dǎo)致網(wǎng)絡(luò)地址分配混亂。
息(IP、MAC、所屬VLAN、端口、租約時(shí)間等),形成
(2)私自指定IP地址
dhcp- -Snooping數(shù)據(jù)庫(kù)借助DHCP偵聽(tīng)功能,通過(guò)只允許
在部署DHCP服務(wù)的子網(wǎng)中,如果出現(xiàn)用戶(hù)私自設(shè)置I來(lái)自面對(duì)不可信用戶(hù)的端口的DHCP請(qǐng)求(而非響應(yīng)),進(jìn)而
地址,將有可能造成網(wǎng)絡(luò)地址沖突,影響IP地址的正常分配阻止DHCP欺騙
作者簡(jiǎn)介:(1983-,男,理工程師,碩,研究方向:多媒體與網(wǎng)絡(luò)技術(shù)李治1977-女,
、碩上,研究方向:計(jì)算機(jī)網(wǎng)絡(luò)管理。雪(19-女,講師碩士研究方向:計(jì)算網(wǎng)絡(luò)管理
2012.9網(wǎng)安全技術(shù)與應(yīng)用29
萬(wàn)方數(shù)據(jù)
2.2防止私設(shè)DHCP
機(jī)或者網(wǎng)絡(luò)設(shè)備發(fā)送虛假的ARP報(bào)文便可達(dá)到ARP欺騙的
()打開(kāi)CP-Snooping-全局開(kāi)關(guān)
目的。
 configure terminal
策全
當(dāng)前校園網(wǎng)大都采用VLAN技術(shù),多臺(tái)主機(jī)同處于一個(gè)
 p dhep snooping
VLAN,致使ARP病毒冒充主機(jī)欺騙網(wǎng)關(guān)或冒充網(wǎng)關(guān)欺騙主
 end
機(jī),造成的危害較大。針對(duì)這一問(wèn)題,采用DHCP P-Snooping-
(2)dhcp服務(wù)器與DHCP客戶(hù)端不在同子網(wǎng)時(shí)需+ar--Check方案可以有效攔截非法的ARP報(bào)文,抵御ARP
要打開(kāi)DHCP中繼功能,并配置DHCP服務(wù)器地址欺騙,保證網(wǎng)絡(luò)的暢通。
 configure terminal
3.2防御APR欺騙
 service dhcp
 ARP-Chec通硬件過(guò)濾rP欺騙報(bào)文,保證送到CpU
 ip helper-address 192.168.1.100
的ARP報(bào)都是合法的,有效降低了CPU的負(fù)荷。DHCP
 end
 Snooping-Snooping能在將dhcp-數(shù)據(jù)庫(kù)用戶(hù)信息添加到
(3)將連接合法DHCP服務(wù)器的端口配置為信任口連IP報(bào)文硬件過(guò)濾表時(shí),同時(shí)添加到ARP報(bào)文硬件過(guò)濾表。
接用戶(hù)的端口默認(rèn)為非信任口
arp- -Check根據(jù)ARP報(bào)硬件過(guò)濾表對(duì)ARP欺騙報(bào)文進(jìn)行
 configure terminal
過(guò)濾。
 interface gig 1/1
dhc- -Snooping+arp -Check方案同樣也部署于接入層
 ip dhep snooping trust
交換機(jī)。
 end
(1)網(wǎng)關(guān)欺騙
2.3防止私設(shè)靜態(tài)IP完人
在各端口上綁定正確的網(wǎng)關(guān),防止針對(duì)網(wǎng)關(guān)的ARP
為了防止私設(shè)IP地址的用戶(hù)使用網(wǎng)絡(luò),需要打開(kāi)接口欺騙。
上的地址綁定開(kāi)關(guān),通過(guò)硬件對(duì)非法IP報(bào)文進(jìn)行過(guò)濾
 configure terminal
 configure terminal
 interface rang fastEthemet 0/1-24
 interface range festethemet 0/1-24
 Anti-ARP-Spoofing ip 192.168.200.1
 ip dhep snooping address-bind
(2)主機(jī)欺騙
end適
arp -Check-應(yīng)用于端口模式下,需要對(duì)該端口上收到的
2.4為用戶(hù)指定固定IP-
Arp欺騙報(bào)進(jìn)行硬件過(guò)濾時(shí),在該端口上啟用ARP -Check-
對(duì)于需要使用靜態(tài)P地址的用戶(hù),可以通過(guò)添加靜態(tài)功能,進(jìn)行端口的ARP校驗(yàn),比如需要在端口1和端口2上
綁定實(shí)現(xiàn)(假設(shè)一臺(tái)服務(wù)器需要使用靜態(tài)P地址,其MAC啟用該功能。
0d,van號(hào)為:liP為:192.16.113 configure termin
端口為:2)
 interface range fastethernet 0/1-24
 port-security arp-check
 ity arp-check cpu
192.168
4ACL一病毒防護(hù)
3ARP欺騙
4.1來(lái)自接入層的網(wǎng)絡(luò)威脅
3.1ARP欺騙原理
與其它園區(qū)網(wǎng)相比,校園網(wǎng)由于其客戶(hù)群體的特殊性,
Arp協(xié)議(addr
 Protocol)的基本功能就是安全問(wèn)題也存在顯著特點(diǎn)。校園網(wǎng)中學(xué)生群體占絕大比重,
通過(guò)目標(biāo)設(shè)備的IP地址,查詢(xún)目標(biāo)設(shè)備的MAC地址,以保學(xué)生好奇心強(qiáng),電腦水平高,應(yīng)用也比較復(fù)雜,所以來(lái)自校
證通信的進(jìn)行。ARP協(xié)議是簡(jiǎn)單的報(bào)文交互面沒(méi)有認(rèn)證機(jī)園網(wǎng)內(nèi)部的威脅比較多。例如:有些學(xué)生由于好奇心的驅(qū)動(dòng)
制的,基于ARP協(xié)議的這一工作特性,任何人通過(guò)向計(jì)算會(huì)主動(dòng)的在校園網(wǎng)內(nèi)部試驗(yàn)各種掃描軟件、攻擊軟件、木馬
30網(wǎng)絡(luò)安全技術(shù)與應(yīng)2012.9
萬(wàn)方數(shù)據(jù)
或病毒由于其應(yīng)用復(fù)雜,被動(dòng)感染木馬和病毒的比例也
 deny udp any any eq 135
相當(dāng)高。這些都給校園網(wǎng)帶來(lái)了巨大的安全隱患。為了防止
 deny udp any any eq 136
這種攻擊和病毒蔓延到整個(gè)校園網(wǎng),最好的解決方法就是
 deny udp any any eq 389
利用ACL將來(lái)自攻擊者的端口掃描和惡意數(shù)據(jù)流阻擋在接
 deny udp any any eq 445
入層。
 deny udp anyany eq 593
4.2ACL部署
 deny udp any any eq 1433
木馬、病毒等網(wǎng)絡(luò)攻擊都是利用一些特殊的端口進(jìn)行
 deny udp any any eq 1434
的。所以,利用ACL限制這些特殊口訪問(wèn),可以很大程度
 deny udp any any eq 4444
上保證安全性。
 deny udp any any eq 5554
ACl查找是在硬件中完成的,所以,當(dāng)實(shí)現(xiàn)基于 CL deny udp any any eq995
的安全性時(shí),轉(zhuǎn)發(fā)性能不會(huì)受到影響。針對(duì)第二層接口的基
 deny udp anyany eq 9996
于端口的ACL,允許在每個(gè)交換機(jī)端口上應(yīng)用安全性策略。
 deny udp any any eq 15584
()創(chuàng)建ACL
 deny udp any any eq 29851
 ip access-list extended virus
 deny tep any any eq exec
 deny tep anyany eq135/沖擊波、震蕩波
 deny udp any any eq tftp
 deny tep any any eq 137 m137. 138. 139 netbios deny udp any eq bootps any eq bootpe
端口
 permit ip any any
 deny tep any any eq 138
(2)在端口應(yīng)用ACL
 deny tep any any eq 389
 configure terminal
 deny tep any any eq445//沖擊波、震蕩波、魔波
 interface rang fastEthernet 0/1-24
 deny tcp any any eq593
 ip access-group virus in
 deny tep anyany eq 1433
 end
 deny tep any any eq 1434
5總結(jié)
 deny tep any any eq4/用于控制 Blaster的傳播本文根據(jù)校園網(wǎng)的實(shí)際情況,針對(duì)iP地址的管理dCP
 deny tep anyany eq 5554
防護(hù)、ARP欺騙以及病毒與攻擊等主要問(wèn)題,提出了在接入
 deny tcp anyany eq 7626
層的安全解決方案。通過(guò)實(shí)際測(cè)試表明,部署在接入層的安
全策略可以有效的解決以上主要問(wèn)題,從而為校園網(wǎng)絡(luò)提供
了一個(gè)安全有效的網(wǎng)絡(luò)管理模式。

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

03-05