第八章访问控制列表与端口安全

2019/9/19第1页第八章访问控制列表与端口安全2019/9/19第2页本章课题•8.1访问控制列表简介•8.2编号访问控制列表配置•8.3命名访问控制列表•8.4基于时间访问的控制列表•8.5端口安全2019/9/19第3页网络安全隐患•（1）非人为的或自然力造成的故障、事故等。•（2）人为但属于操作人员无意的失误造成的数据丢失或损坏。•（3）来自园区网外部和内部人员的恶意攻击和破坏。2019/9/19第4页现有网络安全防御体制IDS68%杀毒软件99%防火墙98%ACL71%现有网络安全体制2019/9/19第5页VPN虚拟专用网防火墙包过滤防病毒入侵检测2019/9/19第6页什么是访问列表ISP√•IPAccess-list：IP访问列表或访问控制列表，简称IPACL•IPACL就是对经过网络设备的数据包根据一定的规则进行数据包的过滤。2019/9/19第7页访问列表的作用•访问控制列表可以限制网络流量、提高网络性能、控制网络通信流量等，同时ACL也是网络访问控制的基本安全手段。在路由器或交换机的接口上配置访问控制列表后，可以对进出接口及通过接口中继的数据包进行安全检测。配置访问控制列表的目的主要基于以下两点。•（1）限制路由更新。•（2）限制网络访问。2019/9/19第8页访问控制列表类型•标准IP访问控制列表–编号的标准IP访问控制列表–命名的标准IP访问控制列表•扩展IP访问控制列表–编号的扩展IP访问控制列表–命名的扩展IP访问控制列表2019/9/19第9页ACL的一些相关特性•（1）每一个接口可以在进入（Inbound）和离开（Outbound）两个方向上分别应用一个ACL，且每个方向上只能应用一个ACL。•（2）ACL语句包括两个动作，一个是拒绝（Deny），一个是允许（Permit）。•（3）在路由器或交换机接口接收到报文时，应用在接口进入方向的ACL（内向ACL）起作用。•（4）在路由选择决定以后，数据准备从某一个接口输出报文时，应用在接口离开方向的ACL（外向ACL）起作用。•（5）每个ACL的结尾有一个隐含的denyall（拒绝的所有数据包）语句。因此，如果包不匹配ACL中的任何语句，将被拒绝。2019/9/19第10页ACL的内向匹配过程路由器取出内向ACL的数据包进入路由器数据包进入路由器路由器取出内向ACL的第一条语句允许还是拒绝？匹配项与数据包中的各项进行比较是否匹配匹配项与数据包是否匹配？允许还是拒绝？取出内向ACL下一条语句最后一条？允许进行路由选择拒绝决定转发接口丢弃结束2019/9/19第11页ACL的外向匹配过程路由器取出外向ACL的第一条语句选择离开接口是否匹配？匹配项与数据包中的各项进行比较取出外向ACL下一条语句最后一条？允许还是拒绝？允许数据包从离开接口送出结束丢弃拒绝2019/9/19第12页通配符掩码通配符掩码掩码的二进制形式描述0.0.0.000000000.00000000.00000000.00000000整个lP地址必须匹配0.0.0.25500000000.00000000.00000000.11111111只有前24位需要匹配0.0.255.25500000000.00000000.11111111.11111111只有前16位需要匹配0.255.255.25500000000.11111111.11111111.11111111只有前8位需要匹配255.255.255.25511111111.11111111.11111111.11111111全部不需要匹配0.0.15.25500000000.00000000.00001111.11111111只有前20位需要匹配0.0.3.25500000000.00000000.00000011.11111111只有前22位需要匹配2019/9/19第13页IP地址与通配符掩码的作用规则•IP地址与通配符掩码的作用规则是：32位的IP地址与32位的通配符掩码逐位进行比较，通配符掩码为0的位要求IP地址的对应位必须匹配，通配符掩码为1的位所对应的IP地址位不必匹配，例如，•IP地址192.168.1.0（相应的二进制为11000000101010000000000100000000）•通配符掩码0.0.0.255（相应的二进制为00000000000000000000000011111111）•该通配符掩码的前24位为0，对应的IP地址位必须匹配，即必须保持原数不变，该通配符掩码的后8位为1，对应的IP地址位不必匹配，即IP地址的后8位可以为任意值。也就是说IP地址192.168.1.0和通配符掩码0.0.0.255匹配的结果是192.168.1.0这个网段内的所有主机。2019/9/19第14页两个特殊的关键字•Host：表示一种精确匹配，是通配符掩码0.0.0.0的简写形式。例如，只检查IP地址为192.168.1.10的数据包，可使用以下两种ACL语句。–access-list10permit192.168.1.100.0.0.0或–access-list10permithost192.168.1.10•Any：表示全部不进行匹配，是通配符掩码255.255.255.255的简写形式。例如，允许所有的IP地址的数据都通过，可使用以下两种ACL语句。–access-list10permit192.168.1.10255.255.255.255或–access-list10permitany2019/9/19第15页配置访问控制列表的步骤•第一步是配置访问控制列表语句•第二步是把配置好的访问控制列表应用到某个端口上。2019/9/19第16页访问控制列表配置的注意事项•（1）注意访问控制列表中语句的次序，尽量把作用范围小的语句放在前面。•（2）新的表项只能被添加到访问表的末尾，这意味着不可能改变已有访问表的功能。如果必须要改变，只有先删除已存在的访问控制列表，然后创建一个新访问控制列表，将新访问控制列表用到相应的接口上。•（3）标准的IP访问控制列表只匹配源地址，一般都使用扩展的IP访问控制列表以达到精确的要求。•（4）标准的访问控制列表尽量靠近目的，扩展的访问控制列表尽量靠近过滤源的位置，以免访问控制列表影响其他接口上的数据流。•（5）在应用访问控制列表时，要特别注意过滤的方向。•（6）在编号ACL中所有未被允许的都是被拒绝的，所以允许的内容一定要写全面。2019/9/19第17页配置标准IP访问控制列表•access-listaccess-list-numberdenylpermitsource-addresssource-wildcard-mask•access-list-number的范围是1~99•访问控制列表的动作：denylpermit2019/9/19第18页应用访问控制列表到接口•Ipaccess-groupaccess-list-numberin|out•访问控制列表只有被应用到某个接口才能达到报文过滤的目的。•接口上通过的报文有两个方向，一个是通过接口进入路由器的报文，即in方向的报文，一个是通过接口离开路由器的报文，即out方向的报文，out也是访问控制列表的默认方向。2019/9/19第19页显示访问控制列表配置•Showaccess-list[access-list-number]•其中，access-list-number是可选参数，如果指定则显示指定编号的访问控制列表配置细节，如果不指定则显示所有访问控制列表的配置细节。2019/9/19第20页例8-1•请在如图8-3所示的路由器上配置ACL，实现PC1不能访问172.16.10.0网段，而PC2能访问（假设各路由器各接口已配置好，并全网已连通）。2019/9/19第21页扩展IP访问控制列表的配置•access-listaccess-list-numberpermit|denyprotocolsource-addresssource-wildcard-masksource-portdestination-addressdestination-wildcard-maskdestination-portlogoptions•扩展IP访问控制列表的编号范围为100～199•访问控制列表的动作：permit或deny•协议：IP、TCP、UDP、ICMP、EIGRP、GRE等。•源端口号：端口号的范围是0~655352019/9/19第22页端口范围运算符运算符及其语法描述例eqportnumber等于，用于指定单个的端口eq21或eqftpgtportnumber大于，用于指定大于某个端口的一个端口范围gt1024ltportnumber小于，用于指定小于某个端口的一个端口范围lt1024neqportnumber不等于，用于指定除了某个端口以外的所有端口neq21rangeportnumber1portnumber2指位于两个端口号间的一个端口范围range1351452019/9/19第23页命名访问控制列表的引入•不管是标准IP访问控制列表，还是扩展的IP访问控制列表，其编号的范围都不超过100个，这样，就可能出现编号不够用的情况；还有就是仅用编号区分的访问控制列表不便于网络管理员对访问控制列表作用的识别。•命名IP访问控制列表是通过一个名称而不是一个编号来引用的。命名的访问控制列表可用于标准的和扩展的访问表中。名称的使用是区分大小写的，并且必须以字母开头。在名称的中间可以包含任何字母数字混合使用的字符，名称的最大长度为100个字符。2019/9/19第24页编号IP访问控制列表和命名IP访问控制列表的主要区别•（1）名字能更直观地反映出访问控制列表完成的功能。•（2）命名访问控制列表突破了99个标准访问控制列表和100个扩展访问控制列表的数目限制，能够定义更多的访问控制列表。•（3）单个路由器上命名访问控制列表的名称在所有协议和类型的命名访问控制列表中必须是唯一的，而不同路由器上的命名访问控制列表名称可以相同。•（4）命名访问控制列表是一个全局命令，它将使用者进入到命名IP列表的子模式，在该子模式下建立匹配和允许／拒绝动作的相关语句。•（5）命名IP访问控制列表允许删除个别语句，当一个命名访问控制列表中的语句要被删除时，只需将该语句删除即可，而编号访问控制列表中则需要将访问控制列表中的所有语句删除后再重新输入。•（6）命名访问控制列表的命令为ipaccess-list，在命令中用standard和extended来区别标准访问控制列表和扩展访问控制列表，而编号访问控制列表的配置命令为access-list，并用编号来区别标准和扩展。2019/9/19第25页创建标准命名IPACL的步骤•（1）configureterminal进入全局配置模式。•（2）ipaccess-liststandard{name}用数字或名字来定义一条StandardIPACL并进入access-list配置模式。•（3）deny{sourcesource-wildcard|hostsource|any}或permit{sourcesource-wildcard|hostsource|any}在access-list配置模式声明一个或多个的允许通过（permit）或丢弃（deny）的条件以用于决定报文是转发或还是丢弃。hostsource代表一台源主机，any代表任意主机。•（4）end退回到特权模式。•（5）showaccess-lists[name]显示该接入控制列表，如果不指定access-list及name参数，则显示所有接入控制列表。2019/9/19第26页例8-3•在三层交换机上进行ACL设置，以实现VLAN10的主机不能与VLAN30内的主机进行通信，能与VLAN20内的主机进行通信，而VLAN20可以和VLAN30的主机进行通信。2019/9/19第27页命名扩展IP访问控制列表配置•（1）configurete