導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

基于ACL的校園網(wǎng)安全技術(shù)

文檔作者：覃德澤文檔來源：賀州學(xué)院計算機科學(xué)與信息工程學(xué)院		點擊數(shù)：	更新時間： 2021年07月30日
下載地址：點擊這里	文件大?。?1.97 MB 共4頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.97 MB 共4頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：企業(yè)安全工作的理論探討

上一篇：淺析校園網(wǎng)的安全

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

技術(shù)應(yīng)用
基于ACL的校園網(wǎng)安全技術(shù)
覃德澤
賀州學(xué)院計算機科學(xué)與信息工程學(xué)院廣西542899
摘要:隨著校園網(wǎng)規(guī)模的擴大和應(yīng)用的增加,校園網(wǎng)的安全也逐漸成為重大問題。對校園網(wǎng)的路由器設(shè)置恰當(dāng)?shù)脑L問控
制列表(ACL),對數(shù)據(jù)流進行過濾或控制,可有效提高校園網(wǎng)的安全性。本文以某高校校園網(wǎng)為例,通過幾個應(yīng)用實例,闡
述ACL在校園網(wǎng)絡(luò)安全中的應(yīng)用。
關(guān)鍵詞:校園網(wǎng);訪問控制列表(ACL):網(wǎng)絡(luò)安全
0引言
標(biāo)準ACL是最簡單的一類,只根據(jù)源IP地址允許或拒
目前,各高?；窘⒘诵@網(wǎng),并且規(guī)模和應(yīng)用在不絕流量,它的編號范圍是1到99和1300到199擴展CL
斷擴大高校校園網(wǎng)通常由各機構(gòu)或部門的局域網(wǎng)組成,如是高級的ACL,其編號范圍是100到199和2000到2699,
科研大樓局域網(wǎng)、學(xué)生宿舍局域網(wǎng)、教師宿舍局域網(wǎng)和行政能夠根據(jù)若干屬性過濾IP數(shù)據(jù)包,這些屬性包括:源和目的
大樓局域網(wǎng)等。局域網(wǎng)間的信息傳遞通常通過路由器來實IP地址,源和目的TCP和UDP端口,協(xié)議類型(P、iCMP、
現(xiàn)。校園網(wǎng)安全管理的一個突出問題是:用何種有效方法實UDP、TCP或協(xié)議號)。因為擴展ACL可以根據(jù)更多的屬性
現(xiàn)對數(shù)據(jù)流過濾或控制,即拒絕不希望的訪問鏈接,允許正過濾數(shù)據(jù)包,所以能更加精確地控制流量過濾。
常的訪問鏈接,達到確保網(wǎng)絡(luò)安全運行的目的。對校園網(wǎng)的動態(tài)ACL僅當(dāng)用戶使用 Telnet連接路由器并通過身份
路由器設(shè)置恰當(dāng)?shù)脑L問控制列表(ACL),能夠?qū)崿F(xiàn)對不同的驗證后,其數(shù)據(jù)流才能穿越路由器。動態(tài)ACL在網(wǎng)絡(luò)安全
用戶進行分別管理,限定特定網(wǎng)段和特定流量訪問互聯(lián)網(wǎng),或上具有如下優(yōu)點:
防止未授權(quán)用戶和未允許數(shù)據(jù)流通過互聯(lián)網(wǎng)訪問校園網(wǎng),加強第一,使用詢問機制對每個用戶進行身份驗證
了對校園網(wǎng)的安全管理,有效地提高了校園網(wǎng)的安全性。
第二,降低黑客闖入網(wǎng)絡(luò)的機會
1ACL技術(shù)簡介
第三,通過防火墻動態(tài)創(chuàng)建用戶訪問,而不會影響其它
1.1ACL定義
所配置的安全限制。
訪問控制列表(Access control list, AaCL是一種路由器配自反ACL允許數(shù)據(jù)流離開,但只允許響應(yīng)路由器內(nèi)部
置腳本,它使用分組過濾控制路由器根據(jù)分組報頭中條件決發(fā)起的會話的數(shù)據(jù)流進入。自反ACL在網(wǎng)絡(luò)安全上具有如
定允許還是拒絕分組。ACL還可用于選擇數(shù)據(jù)流類型,以便下優(yōu)點:
對其進行分析轉(zhuǎn)發(fā)或其他處理。AL是 Cisco IOS件中最第一,幫助保護您的網(wǎng)絡(luò)免遭網(wǎng)絡(luò)黑客攻擊,并可內(nèi)嵌
常用的功能之一
在防火墻防護中。
1.2ACL分類及特點
第二,提供一定級別的安全性,防御欺騙攻擊和某些
AL分為三種類型:標(biāo)準ACL、擴展ACL和復(fù)雜ACLDoS攻擊。自反ACL方式較難以欺騙,因為允許通過的數(shù)
為了實現(xiàn)更多功能,可在標(biāo)準ACL和擴展ACL的基礎(chǔ)上構(gòu)據(jù)包需要滿足更多的過濾條件
建復(fù)雜ACL,復(fù)雜ACL包括動態(tài)ACL、自反ACL和基于基于時間的ACL支持根據(jù)一周或一天中的時間來控制
時間的ACL。
訪問?；跁r間的ACL在網(wǎng)絡(luò)安全上具有如下優(yōu)點:
基金項目:廣西教育廳資助項目(2016639)
作者簡介:德澤(1962-)男、副教授,研究方向:計算機網(wǎng)絡(luò)安全,計算機網(wǎng)絡(luò)安全風(fēng)險評估
2013.3網(wǎng)略安全技術(shù)與應(yīng)用63
萬方數(shù)據(jù)
網(wǎng)
技術(shù)應(yīng)用
第一,在允許或拒絕資源訪問方面為網(wǎng)絡(luò)管理員提供了
表1P地址分配表
更多的控制權(quán)
設(shè)備接口P地址子網(wǎng)掩碼默認網(wǎng)關(guān)
第二,允許網(wǎng)絡(luò)管理員控制日志消息。ACL條目可在
/0/010.125252不適用
每天定時記錄流量,而不是一直記錄流量。因此,管理員無R
Fa0/0192.168.10.254255255.255.0不適用
需分析高峰時段產(chǎn)生的大量日志就可輕松地拒絕訪問。
Fa0/12.68202542552550不適用
1.3ACL工作原理
s0/010.1.1.2255255.252不適用
10.2.2.225255.255.252不適用
在路由器中配置ACL后,路由器對進或出接口的數(shù)據(jù)22524
24不適用
包進行過濾,過濾規(guī)則是:路由器讀取數(shù)據(jù)包的第三層及第
Fa/192.168.50.1555.0
不適用
四層包頭中的信息,如源IP地址、目的IP地址、源端口號、
o0.221525252不適用
目的端口號以及協(xié)議類型等,首先與訪問控制列表的第一條R3F0/026.30.2425
55255.0不適用
語句的條件進行比對,如匹配,則按該語句中的 permit或dny
Fa0/1192.16402425.25.0不適用
“允許”或“拒絕”數(shù)據(jù)流通過,不再與其它語句比較, ACL PCI網(wǎng)12.6.10.12.5.01216.10.25
PC21網(wǎng)卡12168.2.1055250121620.254
執(zhí)行結(jié)束;若第一條語句不匹配,則依次往下比較第二條、PC31網(wǎng)卡12.16830.1025.52501283025
第三條語句等,直到最后一條語句如與某一語句的條件匹Pc4網(wǎng)卡12.168.40.102555512.1.0.2
配,則執(zhí)行該語句的 permit或deny,ACL執(zhí)行結(jié)束;如果www網(wǎng)卡16..2455.116.50
 server
所有語句都不匹配,則執(zhí)行末尾的隱式deny語句,拒絕數(shù)據(jù)
流通過,ACL也隨之執(zhí)行結(jié)束。
網(wǎng)卡192.68.50.25325555.0192.168.50.1
 se
 erver
2ACL技術(shù)在高校校園網(wǎng)中的應(yīng)用
卡.650252552501926.50.1
正因為ACL具有上述特點或優(yōu)點,因此在校園網(wǎng)中得
到了廣泛應(yīng)用,例如,利用ACL技術(shù)可以限制數(shù)據(jù)流流向,sea.6.5022.25.02.1650
設(shè)置對上網(wǎng)時間的控制,控制對服務(wù)器的訪問,防止病毒和網(wǎng)絡(luò)拓撲圖中的服務(wù)器為服務(wù)器群,包括fTP、DNS
網(wǎng)絡(luò)攻擊,限制對路由器訪問等。下面以某高校校園網(wǎng)為例,和 EMAIL等服務(wù)器,為了簡略,圖中只用一個服務(wù)器圖標(biāo)。交
分析ACL技術(shù)在校園網(wǎng)安全中應(yīng)用。網(wǎng)絡(luò)拓撲圖見圖1,換機S1所在網(wǎng)段(192.168.10.0)為教師宿舍網(wǎng)段,S2所在網(wǎng)段
設(shè)備IP地址分配等情況見表1
(192.168.20.0)為學(xué)生宿舍網(wǎng)段,S3所在網(wǎng)段(192.168.30.0)為
行政辦公樓網(wǎng)段,S4所在網(wǎng)段(192.168.40.0)為科研機構(gòu)大樓
網(wǎng)段,S5所在網(wǎng)段(12.168.50.0)為信息中心機房網(wǎng)段。R1
100421
R2和R3均為 Cisco路由器。
 sone
2.1限制數(shù)據(jù)流流向
 wwws#
102200
教師宿舍網(wǎng)段(192.168.10.0)的主機上存放教師個人相關(guān)
000
資料和數(shù)據(jù),對學(xué)生來說往往是保密的,因此不能讓學(xué)生宿
舍網(wǎng)段(192.168.20.0)訪問,但是教師宿舍網(wǎng)段可以訪問學(xué)生
宿舍的計算機,以便對學(xué)生課外學(xué)習(xí)、課外作業(yè)等情況進行
監(jiān)控和指導(dǎo)。為了達到此目的,可以在路由器R1上進行如
191610004
14004
下配置:
19120041930
(1)配置標(biāo)準ACL
 R1(config)# access-list 1 deny 192. 168.
20.00.0.255
 R1(config) access- list 1 permit any
 R1(config) int fa0/0
圖1某高校校園網(wǎng)拓撲圖
 R1(config-if)# ip access-group 1 out
64網(wǎng)略安全技術(shù)與應(yīng)用2013.3
萬方數(shù)據(jù)
網(wǎng)絡(luò)
技術(shù)應(yīng)用
經(jīng)過上述配置,路由器R1可以禁止學(xué)生訪問教師,但點訪問對象,同時也是惡意攻擊的首選目標(biāo),因此必須重點
同時也禁止了教師訪問學(xué)生,因為在fa0的out向上禁止保護。為了防止對服務(wù)器的非正常連接與訪問,預(yù)防來自校
了所有學(xué)生通向教師的數(shù)據(jù)流,包括學(xué)生向教師回復(fù)的數(shù)據(jù)園網(wǎng)內(nèi)外的攻擊,可以在路由器上建立ACL,只允許與服務(wù)
流。因此,單純的標(biāo)準ACL不能達到上述目的,必須配置器對應(yīng)的數(shù)據(jù)流通過,阻止其它數(shù)據(jù)流通過。例如,對目的
擴展ACL。
地為WW服務(wù)器的數(shù)據(jù)流,只允許端口號為80的通過,
(2)配置擴展ACL
對目的地為DNS服務(wù)器的數(shù)據(jù)流,只允許端口號為53的通
R1( config) access-l-list10 00 permit tep過,目的地為 Email服務(wù)器的數(shù)據(jù)流,只允許端口號為80
192.168.20.00.0.255192.168.10.0025、110的通過,對目的地為FTP服務(wù)器的數(shù)據(jù)流,只允許
 0.0.255 established
端口號為21的通過。為此,可在路由器R2上進行如下配置:
 R1 config)# access-list 100 permit tep
 R2(config) #access-list 102 permit tep any
 any any
( config)# int fa0/1
host192.168.50.254 eq www
 R1( config-if)# ip access-group 100 in
 R2(config)#access-list 102 permit tcp any
host192.168.50.253 eq ftp
上述擴展ACL中,第一條語句的作用是只允許學(xué)生向教r2 2(config)access-l-list102 permit tep any
師回復(fù)的數(shù)據(jù)流通過,不允許學(xué)生發(fā)向教師的數(shù)據(jù)流通過。host192.168.50.252 eq domain
通過對R配置上述的標(biāo)準ACL和擴展ACL,實現(xiàn)只允host192.168.50.251eww
 R2(config) #access-list 102 permit tep any
許教師訪問學(xué)生,不允許學(xué)生訪問教師的目的。
 R2(config)#access-list 102 permit tcp any
因為不同廠商的設(shè)備ACL配置方法有所不同,非思科
 host 192.168.50.251 eq smtp
路由器的具體配置方法可參考有關(guān)資料。
 R2(config)#access-list 102 permit tep a
2.2控制上網(wǎng)時間
host192.168.50.251 eq pop3
基于時間的訪問控制列表的一個重要應(yīng)用是設(shè)置訪向R2(config) int fa00/0
 Internet的時間。如限定一天的某個時間、一周的某天或一月
 R2(config-if)# ip access-group 102 out
中的某天等。建立基于時間的ACL的基本步驟分三步:第2.4防止病毒和網(wǎng)絡(luò)攻擊
一步,定義要在ACL中使用的時間范圍,并給其指定一個病毒和網(wǎng)絡(luò)攻擊是校園網(wǎng)面臨的兩個重大安全問題,通
名稱;第二步,建立ACL,并在ACL中使用時間范圍第常的預(yù)防措施是安裝防火墻和殺毒軟件。此外,為了進一步
三,將ACL應(yīng)用于接口。例如,只允許學(xué)生宿舍的所有用增強校園網(wǎng)絡(luò)安全性,還可以在路由器上建立ACL來過濾
戶在每天的7:00到23:00可以Internet訪向,可在R2上進行病毒。我們已經(jīng)知道病毒程序和網(wǎng)絡(luò)攻擊程序常利用的端口
如下配置:
有69、135,138、139、445、539、593、4444等,通過建
R2(config)time -range- stu_ limit//指定時立ACL,禁止與這些目的端口匹配的數(shù)據(jù)包通過路由器,把
間范圍名稱為stu_1imit
病毒阻止在設(shè)備之外,達到保護網(wǎng)絡(luò)安全的目的。例如,為
2(config--range-time-) periodic daily了保護科研機構(gòu)大樓網(wǎng)段(192.168.40.0)免受任何來自外界病
7:00to23:00//定義時間范圍
R2(config) access-l-ist101 permit ip毒和網(wǎng)絡(luò)攻擊,可對路由器R3進行如下配置:
 192.168.20.0 0.0.0.255 any time-range stu
 R3(config)#access-list 103 deny udp any
1imit//創(chuàng)建ACL并使用時間范圍
 any eq 69
 R2(config)# int s0/1/0
 R3r(config)#access-list 103 deny tcp any
 R2(config-if)# ip access-group 101 out
/將ACL應(yīng)用于接口
 any eq 135
 R3(config)#access-list 103 deny udp any
2.3控制對服務(wù)器的訪問
 any eq 135
服務(wù)器的作用是向用戶提供共享資源和服務(wù),是用戶重
 R3(config)#access-list 103 deny tcp any
2013.3網(wǎng)安全技術(shù)與應(yīng)用65
萬方數(shù)據(jù)
網(wǎng)
安呈
技術(shù)應(yīng)
 any eq 138
192.16.4.10)訪問路由器R3,可在R3上建立ACL,具體配
R3(config)#access-l-1ist103 deny udp any置如下:
 any eq 138
 R3(config) #access-list 2. permit
 R3(config)#access-list 103 deny tcp any 192.168.40.10 0.0.0.255
 any eq 139
 R3(config) #access-list 2 deny any
 R3(config)#access-list 103 deny udp any
 R3(config) #line vty 4
 any eq 139
 R3(config-line)#login
 R3(config)#access-list 103 deny tcp any
 R3(config-line)password secret
 any eq 445
 R3(config-line) #access-class 2 in
 R3r(config)faccess-list 103 deny udp any
 any eq 445
3結(jié)束語
3r(config)faccess--ist103 deny tep any ACL對網(wǎng)絡(luò)安全的作用還有很多,上面只是列舉了幾個
 any eq 539
 R3(config)#access-list 103 deny tcp any
n較典型的應(yīng)用實例,用戶可以根據(jù)不同場合和不同要求恰當(dāng)
 any eq 539
地利用ACL。由于它的配置簡單易行且不用增加硬件設(shè)備,
 R3r(config)#access-list 103 deny tcp any
an與防火墻配合使用不但提升網(wǎng)絡(luò)的安全性能,而且還可減輕
 any eq 593
網(wǎng)絡(luò)防火墻的負擔(dān)。因此,隨著ACL技術(shù)的進一步研究和
R3(config)access-l-ist103 deny udp any發(fā)展,其在網(wǎng)絡(luò)安全中將發(fā)揮越來越大作用。
 any eq 593
 R3(config)#access-list 103 deny tcp any
any參考文獻
 any eq 4444
 [] Bob Vachon, Rick Graziani.CCNA Exploration:Accessing the
 R3r(config)#access-list 103 permit ip any
wam.思科系統(tǒng)公司譯北京人民郵電出版社2009
 any
2]莫林利使用ACL技術(shù)的網(wǎng)絡(luò)安全策略研究及應(yīng)用華東
 R3(config)# int fa0/1
交通大學(xué)學(xué)報2009
r3(config--if) ip access-group-103out[]陶宇清訪問控制列表在校園網(wǎng)絡(luò)安全中的應(yīng)用電腦知
2.5限制對路由器訪問
識與技術(shù)2011.
為了確保網(wǎng)絡(luò)設(shè)備免受非法訪問,擅自修改配置信息,[4]沈忠誠ACL技術(shù)在校園網(wǎng)中的應(yīng)用電腦知識與技術(shù)
甚至進行惡意攻擊,我們可以限定只有網(wǎng)管員并且通過特定2010.
主機才能訪問網(wǎng)絡(luò)設(shè)備。例如,信息科設(shè)在行政大樓,如果[5]任志剛ACL技術(shù)在網(wǎng)絡(luò)控制及網(wǎng)絡(luò)安全中的應(yīng)用福建
限定網(wǎng)管員(唯一知道VTY密碼人)只能使用P41(IP地址為電腦2010
 The Campus network security technology based on ACL
 Qin Deze
 Hezhou University Computer Science and information Engineering college,Guangxi, 542899,China
 Abstract: Along with campus network applied thorough and extending, net of safe management the problem is also
 increasingly outstanding. In order to filter and control data stream as it passes through a router, we can set up a
 proper Access Control List (ACL)for connecting to the router, which would effectively may effectively enhance the
 campus network security. Finally,an example from a university's campus network was given to introduce the
 Application of ACL technologies in campus network security by several application examples.
 Keywords: campus network; Access Control List (ACL); network security
66網(wǎng)略安全技術(shù)與應(yīng)用2013.3

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04