网络信息安全课程设计.ppt

网络信息安全课程设计 项目背景 应某公司要求 拓扑图如下 公司分为两部分 总部在A地 子公司在B地 1 由于专线过于昂贵 现想通过ISP与子公司建立隧道 2 SW1所在部门由于工作需要 所接入的用户比较不确定 为了安全起见需要进行认证 项目背景 3 SW1与SW2之间的通信涉及到工作效率 为了可靠性对通信链路的控制要求使用策略路由 4 为了更好的监控SW2连着E1 0 2接口的主机 要求在SW2上E1 0 2出对进出的流量做镜像 传给E1 0 3所在的服务器 5 企业网内部运行路由协议要求能够互访 设备名称 3020路由器一台2020路由器一台S3610交换两台 项目网络拓扑图 项目需求 1 PC2与SW1之间做认证2 R1与R2之间做IPSECVPN3 在SW1与SW2之间做策略路由4 SW3与PC3的接口处做镜像传给PC45 企业网内部运行RIP协议 项目设计要求与分析 1 正确配置IP地址 2 在总部配置策略路由 根据具体情况采用策略路由选择相应路径 3 使用策略路由技术将数据送往正确的接口 4 使用802 1X实现认证 5 使用本地端口镜像来检测数据6 使用IPsecVPN技术实现总公司和分公司内部网络相互访问和数据加密 IP地址规划 实施项目 1 PC2与SW1之间做认证 在没做认证前首先要保证通信可达 做认证 在SW1上配置 local useruserpasswordsimplepassservice typelan access PC2没做认证时 在PC2上设置 PC2上验证 PC2上验证 认证后 2 R1与R2之间做IPSECVPN R1 port securityenableaclnumber3000rule0permitipsource192 168 10 00 0 0 255destination192 168 1 00 0 0 255ikepeerr1pre shared keycipherUXbCHBX4Rsw remote address12 12 12 1local address12 12 12 2ipsecproposalprop1espauthentication algorithmsha1espencryption algorithmaes128ipsecpolicypolicy110isakmpsecurityacl3000 R1与R2之间做IPSECVPN R2 sysnameR2domaindefaultenablesystemdarp2psignature filecfa0 p2p default mtdport securityenableaclnumber3000rule0permitipsource192 168 1 00 0 0 255destination192 168 10 00 0 0 255ikepeerr2pre shared keycipherUXbCHBX4Rsw remote address12 12 12 2local address12 12 12 1 R1与R2之间做IPSECVPN ipsecproposalprop1espauthentication algorithmsha1espencryption algorithmaes128ipsecpolicypolicy110isakmpsecurityacl3000ike peerr2proposalprop1interfaceEthernet0 1portlink moderouteipaddress12 12 12 1255 255 255 0ipsecpolicypolicy1rip1network192 168 11 0iproute static192 168 10 0255 255 255 012 12 12 2 R1与R2之间做IPSECVPN ike peerr1proposalprop1interfaceGigabitEthernet0 0portlink moderouteipaddress192 168 10 254255 255 255 0interfaceGigabitEthernet0 1portlink moderouteipaddress12 12 12 2255 255 255 0ipsecpolicypolicy1iproute static192 168 1 0255 255 255 0GigabitEthernet0 112 12 12 1user interfacecon0user interfacetty13user interfaceaux0user interfacevty04authentication modescheme displayikesa显示第一阶段的SA R1 disiksatotalphase 1SAs 1connection idpeerflagphasedoi 912 12 12 1RD ST1IPSEC1012 12 12 1RD ST2IPSECflagmeaningRD READYST STAYALIVERL REPLACEDFD FADINGTO TIMEOUT displayipsecsa显示第二阶段 R1 disipsecsa Interface GigabitEthernet0 1pathMTU 1500 IPsecpolicyname policy1 sequencenumber 10mode isakmp connectionid 2encapsulationmode tunnelperfectforwardsecrecy tunnel localaddress 12 12 12 2remoteaddress 12 12 12 1 displayipsecsa显示第二阶段 flow souraddr 192 168 10 0 255 255 255 0port 0protocol IPdestaddr 192 168 1 0 255 255 255 0port 0protocol IP inboundESPSAs spi 1798260280 0 x6b2f4638 proposal ESP ENCRYPT AES 128ESP AUTH SHA1saduration kilobytes sec 1843200 3600saremainingduration kilobytes sec 1843200 1329maxreceivedsequence number 1anti replaycheckenable Yanti replaywindowsize 32udpencapsulationusedfornattraversal N displayipsecsa显示第二阶段 outboundESPSAs spi 154513006 0 x935ae6e proposal ESP ENCRYPT AES 128ESP AUTH SHA1saduration kilobytes sec 1843200 3600saremainingduration kilobytes sec 1843191 1329maxreceivedsequence number 125udpencapsulationusedfornattraversal N从这个现象可以看出发起方源IP地址和响应方目的IP地址相同 由于有了IPSECVPN所以我们没有做NAT 可见总部访问分公司成功 3 镜像SW2与PC3的接口处做镜像传给PC4 SW2 mirroring group1local SW2 mirroring group1mirroring porte1 0 2both SW2 mirroring group1monitor porte1 0 3 在软件上的体现 在软件上的体现 在软件上的体现 在软件上的体现 在软件上的体现 4 在SW1与SW2之间做策略路由 没做策略路由之前 首先认证通过 然后查看PC2下一跳从192 168 5 2转发 在SW1做策略路由 aclnumber3000rule0permitipsource192 168 1 0trafficclassifieraaaoperatoif matchacl3000trafficbehaviorbbbredirectnext hop192 168 4 2qospolicycccclassifieraaabehaviorbbbinterfaceEthernet1 0 2portlink modebridgeportaccessvlan2qosa