常用网络协议及技术.docx
- 文档编号:29864399
- 上传时间:2023-07-27
- 格式:DOCX
- 页数:41
- 大小:180.49KB
常用网络协议及技术.docx
《常用网络协议及技术.docx》由会员分享,可在线阅读,更多相关《常用网络协议及技术.docx(41页珍藏版)》请在冰豆网上搜索。
常用网络协议及技术
第一节、访问控制列表简ACL详解
什么是ACL?
访问控制列表简称为ACL,访问控制列表使用包过滤技术,在路由器上读取第三层及第四层包头中的信息如源地址,目的地址,源端口,目的端口等,根据预先定义好的规则对包进行过滤,从而达到访问控制的目的。
该技术初期仅在路由器上支持,近些年来已经扩展到三层交换机,部分最新的二层交换机也开始提供ACL的支持了。
一、访问控制列表使用原则
由于ACL涉及的配置命令很灵活,功能也很强大,所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。
在介绍例子前为大家将ACL设置原则罗列出来,方便各位读者更好的消化ACL知识。
1、最小特权原则
只给受控对象完成任务所必须的最小的权限。
也就是说被控制的总规则是各个规则的交集,只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则
所有的网络层访问权限控制。
也就是说在检查规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。
3、默认丢弃原则
在CISCO路由交换设备中默认最后一句为ACL中加入了DENYANYANY,也就是丢弃所有不符合条件的数据包。
这一点要特别注意,虽然我们可以修改这个默认,但未改前一定要引起重视。
二、ACL访问控制列表的分类:
标准访问控制列表
扩展访问控制列表
基于名称的访问控制列表
反向访问控制列表
基于时间的访问控制列表
1、标准访问列表:
访问控制列表ACL分很多种,不同场合应用不同种类的ACL。
其中最简单的就是标准访问控制列表,他是通过使用IP包中的源IP地址进行过滤,使用的访问控制列表号1到99来创建相应的ACL。
1)标准访问控制列表的格式:
具体格式如下:
access-listACL号[permit/deny]hostip地址
例如:
access-list10denyhost192.168.1.1这句命令是将所有来自192.168.1.1地址的数据包丢弃。
当然也可以对某个网段进行过滤。
命令如下:
access-list10deny192.168.1.00.0.0.255这句命令是将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。
为什么后头的子网掩码表示的是0.0.0.255呢?
这是因为CISCO规定在ACL中用反向掩玛表示子网掩码,反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。
注:
对于标准访问控制列表来说,默认的命令是HOST,也就是说access-list10deny192.168.1.1表示的是拒绝192.168.1.1这台主机数据包通讯,所以输入命令可以省去host。
2)标准访问控制列表实例一:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供WWW服务,IP地址为172.16.4.13。
实例1:
禁止172.16.4.0/24网段访问172.16.3.0/24的计算机中,但172.16.4.13这台计算机除外。
路由器配置命令
access-list1permithost172.16.4.13设置ACL,容许172.16.4.13的数据包通过。
access-list1denyany设置ACL,阻止其他一切IP地址进行通讯传输。
inte1进入E1端口。
ipaccess-group1in将ACL1宣告。
经过设置后E1端口就只容许来自172.16.4.13这个IP地址的数据包传输出去了。
来自其他IP地址的数据包都无法通过E1传输。
注:
1、由于CISCO默认添加了DENYANY的语句在每个ACL中,所以上面的access-list1denyany这句命令可以省略。
2、在路由器连接网络不多的情况下也可以在E0端口使用ipaccess-group1out命令来宣告,宣告结果和上面最后两句命令效果一样。
3、英文提示:
permit[pə'mit]vi.许可,允许/deny[di'nai]vi.否认,拒绝/group[gru:
p]vi.聚实例2:
禁止172.16.4.13这个计算机对172.16.3.0/24网段的访问,而172.16.4.0/24中的其他计算机可以正常访问。
路由器配置命令:
access-list1denyhost172.16.4.13设置ACL,禁止172.16.4.13的数据包通过
access-list1permitany设置ACL,容许其他地址的计算机进行通讯
inte1进入E1端口
ipaccess-group1in将ACL1宣告,同理可以进入E0端口后使用ipaccess-group1out来完成宣告。
配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯,传输数据包。
总结:
标准ACL占用路由器资源很少,是一种最基本最简单的访问控制列表格式。
应用比较广泛,经常在要求控制级别较低的情况下使用。
如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了,他可以满足我们到端口级的要求。
2、扩展访问控制列表:
上面我们提到的标准访问控制列表是基于IP地址进行过滤的,是最简单的ACL。
那么如果我们希望将过滤细到端口怎么办呢?
或者希望对数据包的目的地址进行过滤。
这时候就需要使用扩展访问控制列表了。
使用扩展IP访问列表可以容许用户访问物理LAN而并不容许访问某个特定服务(如:
WWW,FTP等)。
扩展访问控制列表使用的ACL号为100到199。
1)扩展访问控制列表的格式:
具体格式如下:
access-listACL号[permit|deny][协议][定义过滤源主机范围][定义过滤源端口][定义过滤目的主机访问][定义过滤目的端口]
例如:
access-list101denytcpanyhost192.168.1.1eqwww
这句命令是不允许所有主机访问192.168.1.1这个地址的网页服务(WWW)。
小提示:
同样在扩展访问控制列表中也可以定义过滤某个网段,当然和标准访问控制列表一样,也需要我们使用反向掩码定义IP地址后的子网掩码。
2)扩展访问控制列表的实例:
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供WWW服务,IP地址为172.16.4.13。
配置任务:
禁止172.16.3.0网段的计算机访问172.16.4.0网段的计算机(包括172.16.4.13服务器),但可以访问172.16.4.13上的WWW服务,而其他服务不能访问。
路由器配置命令:
access-list101permittcpany172.16.4.130.0.0.0eqwww
inte0进入E1端口
ipaccess-group101out将ACL101宣告出去
设置完毕后172.16.3.0的计算机就无法访问172.16.4.0的计算机了,就算是服务器172.16.4.13开启了FTP服务也无法访问,只可以访问的就是172.16.4.13的WWW服务了。
而172.16.4.0的计算机访问172.16.3.0的计算机没有任何问题。
设置ACL101,容许源地址为任意IP,目的地址为172.16.4.13主机的80端口即WWW服务。
由于CISCO默认添加DENYANY的命令,所以ACL只写此access-list101permittcpany172.16.4.130.0.0.0eqwww一句即可。
扩展ACL有一个最大的好处就是可以保护服务器,例如很多服务器为了更好的提供服务都是暴露在公网上的,如果所有端口都对外界开放,很容易招来黑客和病毒的攻击,通过扩展ACL可以将除了服务端口以外的其他端口都封锁掉,降低了被攻击的机率。
如本例就是仅仅将80端口对外界开放。
总结:
扩展ACL功能很强大,他可以控制源IP,目的IP,源端口,目的端口等,能实现相当精细的控制,扩展ACL不仅读取IP包头的源地址/目的地址,还要读取第四层包头中的源端口和目的端口的IP。
不过他存在一个缺点,那就是在没有硬件ACL加速的情况下,扩展ACL会消耗大量的路由器CPU资源。
所以当使用中低档路由器时应尽量减少扩展ACL的条目数,应将其简化为标准ACL或将多条扩展ACL合一。
3、基于名称的访问控制列表
不管是标准访问控制列表还是扩展访问控制列表都有一个弊端,那就是当设置好ACL的规则后发现其中的某条有问题,希望进行修改或删除的话只能将全部ACL信息都删除。
也就是说修改一条或删除一条都会影响到整个ACL列表。
这一个缺点影响了我们的工作,为我们带来了繁重的负担。
不过我们可以用基于名称的访问控制列表来解决这个问题。
1)基于名称的访问控制列表的格式:
ipaccess-list[standard|extended][ACL名称]
例如:
ipaccess-liststandardsofter就建立了一个名为softer的标准访问控制列表。
2)基于名称的访问控制列表的使用方法:
当我们建立了一个基于名称的访问列表后就可以进入到这个ACL中进行配置了。
例如我们添加三条ACL规则
permit1.1.1.10.0.0.0
permit2.2.2.20.0.0.0
permit3.3.3.30.0.0.0
如果我们发现第二条命令应该是2.2.2.1而不是2.2.2.2,如果使用不是基于名称的访问控制列表的话,使用nopermit2.2.2.20.0.0.0后整个ACL信息都会被删除掉。
正是因为使用了基于名称的访问控制列表,我们使用nopermit2.2.2.20.0.0.0后第一条和第三条指令依然存在。
总结:
如果设置ACL的规则比较多的话,应该使用基于名称的访问控制列表进行管理,这样可以减轻很多后期维护的工作,方便我们随时进行调整ACL规则。
4、反向访问控制列表:
我们使用访问控制列表除了合理管理网络访问以外还有一个更重要的方面,那就是防范病毒,我们可以将平时常见病毒传播使用的端口进行过滤,将使用这些端口的数据包丢弃。
这样就可以有效的防范病毒的攻击。
不过即使再科学的访问控制列表规则也可能会因为未知病毒的传播而无效,毕竟未知病毒使用的端口是我们无法估计的,而且随着防范病毒数量的增多会造成访问控制列表规则过多,在一定程度上影响了网络访问的速度。
这时我们可以使用反向控制列表来解决以上的问题。
1)反向访问控制列表的用途
反向访问控制列表属于ACL的一种高级应用。
他可以有效的防范病毒。
通过配置反向ACL可以保证AB两个网段的计算机互相PING,A可以PING通B而B不能PING通A。
说得通俗些的话就是传输数据可以分为两个过程,首先是源主机向目的主机发送连接请求和数据,然后是目的主机在双方建立好连接后发送数据给源主机。
反向ACL控制的就是上面提到的连接请求。
2)反向访问控制列表的格式
反向访问控制列表格式非常简单,只要在配置好的扩展访问列表最后加上established即可。
我们还是通过实例为大家讲解。
反向访问控制列表配置实例
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中的计算机都是服务器,我们通过反向ACL设置保护这些服务器免受来自172.16.3.0这个网段的病毒攻击。
配置实例:
禁止病毒从172.16.3.0/24这个网段传播到172.16.4.0/24这个服务器网段。
路由器配置命令:
access-list101permittcp172.16.3.00.0.0.255172.16.4.00.0.0.255established定义ACL101,容许所有来自172.16.3.0网段的计算机访问172.16.4.0网段中的计算机,前提是TCP连接已经建立了的。
当TCP连接没有建立的话是不容许172.16.3.0访问172.16.4.0的。
inte1进入E1端口
ipaccess-group101out将ACL101宣告出去
设置完毕后病毒就不会轻易的从172.16.3.0传播到172.16.4.0的服务器区了。
因为病毒要想传播都是主动进行TCP连接的,由于路由器上采用反向ACL禁止了172.16.3.0网段的TCP主动连接,因此病毒无法顺利传播。
小提示:
检验反向ACL是否顺利配置的一个简单方法就是拿172.16.4.0里的一台服务器PING在172.16.3.0中的计算机,如果可以PING通的话再用172.16.3.0那台计算机PING172.16.4.0的服务器,PING不通则说明ACL配置成功。
通过上文配置的反向ACL会出现一个问题,那就是172.16.3.0的计算机不能访问服务器的服务了,假如图中172.16.4.13提供了WWW服务的话也不能正常访问。
解决的方法是在ESTABLISHED那句前头再添加一个扩展ACL规则,例如:
access-list101permittcp172.16.3.00.0.0.255172.16.4.130.0.0.0eqwww
这样根据“最靠近受控对象原则”即在检查ACL规则时是采用自上而下在ACL中一条条检测的,只要发现符合条件了就立刻转发,而不继续检测下面的ACL语句。
172.16.3.0的计算机就可以正常访问该服务器的WWW服务了,而下面的ESTABLISHED防病毒命令还可以正常生效。
5、基于时间的访问控制列表:
上面我们介绍了标准ACL与扩展ACL,实际上我们只要掌握了这两种访问控制列表就可以应付大部分过滤网络数据包的要求了。
不过实际工作中总会有人提出这样或那样的苛刻要求,这时我们还需要掌握一些关于ACL的高级技巧。
基于时间的访问控制列表就属于高级技巧之一。
1)基于时间的访问控制列表用途:
可能公司会遇到这样的情况,要求上班时间不能上QQ,下班可以上或者平时不能访问某网站只有到了周末可以。
对于这种情况仅仅通过发布通知规定是不能彻底杜绝员工非法使用的问题的,这时基于时间的访问控制列表应运而生。
2)基于时间的访问控制列表的格式:
基于时间的访问控制列表由两部分组成,第一部分是定义时间段,第二部分是用扩展访问控制列表定义规则。
这里我们主要讲解下定义时间段,具体格式如下:
time-range时间段名称
absolutestart[小时:
分钟][日月年][end][小时:
分钟][日月年]
例如:
time-rangesofter
absolutestart0:
001may2005end12:
001june2005
意思是定义了一个时间段,名称为softer,并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。
我们通过这个时间段和扩展ACL的规则结合就可以指定出针对自己公司时间段开放的基于时间的访问控制列表了。
当然我们也可以定义工作日和周末,具体要使用periodic命令。
我们将在下面的配置实例中为大家详细介绍。
配置实例:
要想使基于时间的ACL生效需要我们配置两方面的命令:
1、定义时间段及时间范围。
2、ACL自身的配置,即将详细的规则添加到ACL中。
3、宣告ACL,将设置好的ACL添加到相应的端口中。
网络环境介绍:
我们采用如图所示的网络结构。
路由器连接了二个网段,分别为172.16.4.0/24,172.16.3.0/24。
在172.16.4.0/24网段中有一台服务器提供FTP服务,IP地址为172.16.4.13。
配置任务:
只容许172.16.3.0网段的用户在周末访问172.16.4.13上的FTP资源,工作时间不能下载该FTP资源。
路由器配置命令:
time-rangesofter定义时间段名称为softer
periodicweekend00:
00to23:
59定义具体时间范围,为每周周末(6,日)的0点到23点59分。
当然可以使用periodicweekdays定义工作日或跟星期几定义具体的周几。
access-list101denytcpany172.16.4.130.0.0.0eqftptime-rangesofter设置ACL,禁止在时间段softer范围内访问172.16.4.13的FTP服务。
access-list101permitipanyany设置ACL,容许其他时间段和其他条件下的正常访问。
inte1进入E1端口。
ipaccess-group101out宣告ACL101。
基于时间的ACL比较适合于时间段的管理,通过上面的设置172.16.3.0的用户就只能在周末访问服务器提供的FTP资源了,平时无法访问。
三、访问控制列表流量记录
网络管理员就是要能够合理的管理公司的网络,俗话说知己知彼方能百战百胜,所以有效的记录ACL流量信息可以第一时间的了解网络流量和病毒的传播方式。
下面这篇文章就为大家简单介绍下如何保存访问控制列表的流量信息,方法就是在扩展ACL规则最后加上LOG命令。
实现方法:
log192.168.1.1为路由器指定一个日志服务器地址,该地址为192.168.1.1
access-list101permittcpany172.16.4.130.0.0.0eqwwwlog在希望监测的扩展ACL最后加上LOG命令,这样就会把满足该条件的信息保存到指定的日志服务器192.168.1.1中。
小提示:
如果在扩展ACL最后加上log-input,则不仅会保存流量信息,还会将数据包通过的端口信息也进行保存。
使用LOG记录了满足访问控制列表规则的数据流量就可以完整的查询公司网络哪个地方流量大,哪个地方有病毒了。
简单的一句命令就完成了很多专业工具才能完成的工作。
第二节、VTP详述
VTP(VLANTrunkingProtocol):
是VLAN中继协议,也被称为虚拟局域网干道协议。
它是Cisco思科私有协议。
作用是十几台交换机在企业网中,配置VLAN工作量大,可以使用VTP协议,把一台交换机配置成VTPServer,其余交换机配置成VTPClient,这样他们可以自动学习到server上的VLAN信息。
一、VTP原理概述
它是一个OSI参考模型第二层的通信协议,主要用于管理在同一个域的网络范围内VLANs的建立、删除和重命名。
在一台VTPServer上配置一个新的VLAN时,该VLAN的配置信息将自动传播到本域内的其他所有交换机。
这些交换机会自动地接收这些配置信息,使其VLAN的配置与VTPServer保持一致,从而减少在多台设备上配置同一个VLAN信息的工作量,而且保持了VLAN配置的统一性。
VTP通过网络(ISL帧或cisco私有DTP帧)保持VLAN配置统一性。
VTP在系统级管理增加,删除,调整的VLAN,自动地将信息向网络中其它的交换机广播。
此外,VTP减小了那些可能导致安全问题的配置。
便于管理,只要在vtpserver做相应设置,vtpclient会自动学习vtpserver上的vlan信息
二、VTP模式分类
VTP有三种工作模式:
VTPServer服务器模式、VTPClient客户机模式和VTPTransparent透明模式。
新交换机出厂时的默认配置是预配置为VLAN1。
VTP模式为服务器,一般一个VTP域内的整个网络只设一个VTPServer。
1、VTPServer服务器模式
VTPServer维护该VTP域中所有VLAN信息列表。
VTPServer可以建立、删除或修改VLAN。
2、VTPClient客户机模式
VTPClient虽然也维护所有VLAN信息列表,但其VLAN的配置信息是从VTPServer学到的。
VTPClient不能建立、删除或修改VLAN。
3、VTPTransparent透明模式
VTPTransparent相当于是一上独立的交换机,它不参与VTP工作,不从VTPServer学习VLAN的配置信息,而只拥有本设备上自己维护的VLAN信息。
VTPTransparent可以建立、删除和修改本机上的VLAN信息。
小提示:
当交换机设为VTPServer或透明的模式,能在交换机配置VLAN,以及使用CLI、控制台菜单、MIB来修改VLAN配置。
当交换机设为VTPClient模式,不能在交换机配置VLAN,以及使用CLI、控制台菜单、MIB来修改VLAN配置。
三、在VTP域中有两个重要的概念:
1、VTP域:
也称VLAN管理域,由一个以上共享VTP域名的相互连接的交换机组成的。
也就是说VTP域是一组域名相同并通过中继链路相互连接的交换机
2、VTP通告:
在交换机之间用来传递VLAN信息的数据包被成为VTP数据包。
VTP通告包括:
汇总通告,子集通告,通告请求。
四、VTP配置方法
switch(config)#vtpdomainname
建立VTP域
Switch(vlan)#vtp{client|server|transparent}
配置交换机的VTP模式
switch(config)#vtppasswordPASSWORD
配置VTP口令
switch#showvtpstatus
查看VTP运行状态
Switch#showvtpcounters
查看交换机收到和发出广告的数目
小提示:
若给VTP配置密码,那么本域内的所有交换机的VTP密码必须保持一致。
第3节、端口聚合技术
端口聚合提供冗余备份链路,端口聚合又称链路聚合,是指两台交换机之间在物理上将多个端口连接起来,将多条链路聚合成一条逻辑链路。
从而增大链路带宽,解决交换网络中因带宽引起的网络瓶颈问题。
多条物理链路之间能够相互冗余备份,其中任意一条链路断开,不会影响其他链路的正常转发数据。
第4节、路由协议
在大型局域网络的建设中熟练掌握路由和交换技术是不可缺少的,采取什么样的路由算法,要根据网络的拓扑结构而定,路由协议工作在OSI参考模型的第3层,因此它的作用主要是在通信子网间路由数据包。
路由器具有在网络中传递数据时选择最佳路径的能力。
常见的路由协议有以下几种:
一、RIP协议
RIP(RoutinginformationProtocol)是应用较早、使用较普遍的内部网关协议(InteriorGatewayProtocol,简称IGP),适用于小型同类网络,是典型的距离向量(distance-vector)协议。
RIP通过广播UDP报文来交换路由信息,每30秒发送一次路由信息更新。
RIP提供跳跃计数(hopcount)作为尺度来衡量路由距离,跳跃计数是一个包到达目标所必须经过的路由器的数目。
如果到相同目标有二个不等速或不同带宽的路由器,但跳跃计数相同,则
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 常用 网络 协议 技术