導航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

校園網(wǎng)接入層安全策略研究

文檔作者：申繼年李毅治邢雪梅文檔來源：中國藥科大學現(xiàn)代教育技術中心		點擊數(shù)：	更新時間： 2021年07月30日
下載地址：點擊這里	文件大?。?1.00 MB 共3頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：1.00 MB 共3頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：長輸熱網(wǎng)中繼泵站安全運行保障措施

上一篇：電力調(diào)度數(shù)據(jù)網(wǎng)的安全防護技術

文本預覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

回
校園網(wǎng)接入層安全策略研究
申繼年李毅治邢雪梅
中國藥科大學現(xiàn)代教育技術中心江蘇210009
摘要:本文在對問題發(fā)生原因深入分析之后,提出了在校園網(wǎng)的接入層部署相關策略,包括屏蔽非法服務器、防止用戶
私設IP、防止ARP欺騙和病毒防護等,從根本上解決校園網(wǎng)的安全與管理問題。
關鍵詞:接入層安全:P地址沖突;ARP欺騙:DHCP- -Snooping
0前言
(3)為特定主機分配固定IP
本文將介紹校園網(wǎng)的接入層的相關技術策略,從而構(gòu)建校園網(wǎng)中有些主機由于要提供服務,需要固定IP地址,
一個安全高效的網(wǎng)絡,不但要讓用戶方便易用,還要讓校園比如服務器,這就需在DHCP服務器和接入交換機上構(gòu)建
網(wǎng)管理者能夠有效管理,從接入層解決校園網(wǎng)的安全隱患。一個ip和AC綁定的跨網(wǎng)DHCP強制分配機制
1IP地址的分配與管理
通過以上分析,必須采取有效措施來應對上述三個問
1.1全網(wǎng)DHCP動態(tài)分配IP
題我們利用接入交換機DHCP P-Snooping-功能屏蔽非法
在計算機數(shù)量眾多并且劃分多個子網(wǎng)的網(wǎng)絡中, DHCPDHCP服務器、過濾非法DHCP報文、防止用戶私設IP,還
服務的優(yōu)勢更加明顯,其優(yōu)點如下
可以為用戶指定固定的IP地址,可以有效解決非法DHCP
(1)減小輸入錯誤的可能
服務器擾亂用戶網(wǎng)絡和防止私設IP用戶使用網(wǎng)絡。
(2)避免IP沖突
2DHCP防護
(3)減小管理員的工作量;
2.1dhcp- -Snooping技術簡介
(4)當網(wǎng)絡更改IP地址段時,不需要重新配置每臺計算
dhcp- -Snooping技術就像是在非信任端口的主機和
機的IP;
(5)計算機移動到其它子網(wǎng)不必重新配置IP
DHCP服務器之間安裝了 DHCP一道防火墻,通過 Snooping
1.2DHCP服務所帶來新問題
來區(qū)分連接到終端客戶的非信任端口和連接到DHCP服務
器或者其他交換機的信任端口。
隨著DHCP服務的廣泛應用,也給網(wǎng)絡管理帶來一些新
的問題,具體表現(xiàn)在:
dhcp P-Snooping-具有屏蔽非法DHCP服務器和過濾非
(1)私自架設非法的DHCP服務器
法DHCP報文的功能 DHCP,解決了 Client和 DHCP Server
由于DHCP報文在客戶端和服務器的交互過程中并沒有之間DCP報交互安全問題- -Snooping簡稱
認證機制,如果網(wǎng)絡中存在非法DHCP服務器,管理員將無DHCP偵聽,接入交換動DCP P-Snooping-功能后可實現(xiàn)
法保證客戶端從管理員指定的DHCP服務器獲取合法地址,對 DHCP Client和 DHCP Server之間DHCP交互報文的窺
客戶機有可能從非法DHCP服務器獲得IP地址等配置信息,探。通過窺探,D- -Snooping記錄合法DHCP用戶的信
導致網(wǎng)絡地址分配混亂。
息(IP、MAC、所屬VLAN、端口、租約時間等),形成
(2)私自指定IP地址
dhcp- -Snooping數(shù)據(jù)庫借助DHCP偵聽功能,通過只允許
在部署DHCP服務的子網(wǎng)中,如果出現(xiàn)用戶私自設置I來自面對不可信用戶的端口的DHCP請求(而非響應),進而
地址,將有可能造成網(wǎng)絡地址沖突,影響IP地址的正常分配阻止DHCP欺騙
作者簡介:(1983-,男,理工程師,碩,研究方向:多媒體與網(wǎng)絡技術李治1977-女,
、碩上,研究方向:計算機網(wǎng)絡管理。雪(19-女,講師碩士研究方向:計算網(wǎng)絡管理
2012.9網(wǎng)安全技術與應用29
萬方數(shù)據(jù)
2.2防止私設DHCP
機或者網(wǎng)絡設備發(fā)送虛假的ARP報文便可達到ARP欺騙的
()打開CP-Snooping-全局開關
目的。
 configure terminal
策全
當前校園網(wǎng)大都采用VLAN技術,多臺主機同處于一個
 p dhep snooping
VLAN,致使ARP病毒冒充主機欺騙網(wǎng)關或冒充網(wǎng)關欺騙主
 end
機,造成的危害較大。針對這一問題,采用DHCP P-Snooping-
(2)dhcp服務器與DHCP客戶端不在同子網(wǎng)時需+ar--Check方案可以有效攔截非法的ARP報文,抵御ARP
要打開DHCP中繼功能,并配置DHCP服務器地址欺騙,保證網(wǎng)絡的暢通。
 configure terminal
3.2防御APR欺騙
 service dhcp
 ARP-Chec通硬件過濾rP欺騙報文,保證送到CpU
 ip helper-address 192.168.1.100
的ARP報都是合法的,有效降低了CPU的負荷。DHCP
 end
 Snooping-Snooping能在將dhcp-數(shù)據(jù)庫用戶信息添加到
(3)將連接合法DHCP服務器的端口配置為信任口連IP報文硬件過濾表時,同時添加到ARP報文硬件過濾表。
接用戶的端口默認為非信任口
arp- -Check根據(jù)ARP報硬件過濾表對ARP欺騙報文進行
 configure terminal
過濾。
 interface gig 1/1
dhc- -Snooping+arp -Check方案同樣也部署于接入層
 ip dhep snooping trust
交換機。
 end
(1)網(wǎng)關欺騙
2.3防止私設靜態(tài)IP完人
在各端口上綁定正確的網(wǎng)關,防止針對網(wǎng)關的ARP
為了防止私設IP地址的用戶使用網(wǎng)絡,需要打開接口欺騙。
上的地址綁定開關,通過硬件對非法IP報文進行過濾
 configure terminal
 configure terminal
 interface rang fastEthemet 0/1-24
 interface range festethemet 0/1-24
 Anti-ARP-Spoofing ip 192.168.200.1
 ip dhep snooping address-bind
(2)主機欺騙
end適
arp -Check-應用于端口模式下,需要對該端口上收到的
2.4為用戶指定固定IP-
Arp欺騙報進行硬件過濾時,在該端口上啟用ARP -Check-
對于需要使用靜態(tài)P地址的用戶,可以通過添加靜態(tài)功能,進行端口的ARP校驗,比如需要在端口1和端口2上
綁定實現(xiàn)(假設一臺服務器需要使用靜態(tài)P地址,其MAC啟用該功能。
0d,van號為:liP為:192.16.113 configure termin
端口為:2)
 interface range fastethernet 0/1-24
 port-security arp-check
 ity arp-check cpu
192.168
4ACL一病毒防護
3ARP欺騙
4.1來自接入層的網(wǎng)絡威脅
3.1ARP欺騙原理
與其它園區(qū)網(wǎng)相比,校園網(wǎng)由于其客戶群體的特殊性,
Arp協(xié)議(addr
 Protocol)的基本功能就是安全問題也存在顯著特點。校園網(wǎng)中學生群體占絕大比重,
通過目標設備的IP地址,查詢目標設備的MAC地址,以保學生好奇心強,電腦水平高,應用也比較復雜,所以來自校
證通信的進行。ARP協(xié)議是簡單的報文交互面沒有認證機園網(wǎng)內(nèi)部的威脅比較多。例如:有些學生由于好奇心的驅(qū)動
制的,基于ARP協(xié)議的這一工作特性,任何人通過向計算會主動的在校園網(wǎng)內(nèi)部試驗各種掃描軟件、攻擊軟件、木馬
30網(wǎng)絡安全技術與應2012.9
萬方數(shù)據(jù)
或病毒由于其應用復雜,被動感染木馬和病毒的比例也
 deny udp any any eq 135
相當高。這些都給校園網(wǎng)帶來了巨大的安全隱患。為了防止
 deny udp any any eq 136
這種攻擊和病毒蔓延到整個校園網(wǎng),最好的解決方法就是
 deny udp any any eq 389
利用ACL將來自攻擊者的端口掃描和惡意數(shù)據(jù)流阻擋在接
 deny udp any any eq 445
入層。
 deny udp anyany eq 593
4.2ACL部署
 deny udp any any eq 1433
木馬、病毒等網(wǎng)絡攻擊都是利用一些特殊的端口進行
 deny udp any any eq 1434
的。所以,利用ACL限制這些特殊口訪問,可以很大程度
 deny udp any any eq 4444
上保證安全性。
 deny udp any any eq 5554
ACl查找是在硬件中完成的,所以,當實現(xiàn)基于 CL deny udp any any eq995
的安全性時,轉(zhuǎn)發(fā)性能不會受到影響。針對第二層接口的基
 deny udp anyany eq 9996
于端口的ACL,允許在每個交換機端口上應用安全性策略。
 deny udp any any eq 15584
()創(chuàng)建ACL
 deny udp any any eq 29851
 ip access-list extended virus
 deny tep any any eq exec
 deny tep anyany eq135/沖擊波、震蕩波
 deny udp any any eq tftp
 deny tep any any eq 137 m137. 138. 139 netbios deny udp any eq bootps any eq bootpe
端口
 permit ip any any
 deny tep any any eq 138
(2)在端口應用ACL
 deny tep any any eq 389
 configure terminal
 deny tep any any eq445//沖擊波、震蕩波、魔波
 interface rang fastEthernet 0/1-24
 deny tcp any any eq593
 ip access-group virus in
 deny tep anyany eq 1433
 end
 deny tep any any eq 1434
5總結(jié)
 deny tep any any eq4/用于控制 Blaster的傳播本文根據(jù)校園網(wǎng)的實際情況,針對iP地址的管理dCP
 deny tep anyany eq 5554
防護、ARP欺騙以及病毒與攻擊等主要問題,提出了在接入
 deny tcp anyany eq 7626
層的安全解決方案。通過實際測試表明,部署在接入層的安
全策略可以有效的解決以上主要問題,從而為校園網(wǎng)絡提供
了一個安全有效的網(wǎng)絡管理模式。

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05