模块四 网络安全技术

Module4网络安全技术《网络互联技术》任务4.1

交换机端口安全配置以太网安全隐患端口安全基本概念端口安全工作原理端口安全配置流程端口安全配置命令对于安全性要求较高的网络环境，通常要对用户的接入进行基本的安全管控，以防止非法用户的接入及恶意的网络攻击。通过对交换机配置端口安全功能来增强网络的安全性，可有效避免信息泄露、MAC地址泛洪攻击等安全问题。本次任务介绍交换机端口安全的基本原理和配置方法。任务背景准备知识1.以太网安全隐患MAC地址泛洪攻击攻击者发送大量的虚假源MAC地址数据帧，导致MAC地址表快速填满，使得交换机将无法再学习新的MAC地址。交换机在转发数据帧时失去了“依据”，只能以广播的方式将数据帧从其余接口发送出去。攻击者利用此原理，窃取用户的通信数据。MAC地址泛洪攻击1.以太网安全隐患终端接入隐患用户私自扩充网络，导致终端数量增大，给通信环境带来了不稳定因素；非信任终端的接入，可能导致信息的泄露。终端接入隐患2.端口安全基本概念端口安全作用限制接口学习MAC地址的数量。端口安全的默认安全MAC地址的限制数是1个，即只能学习一个MAC地址表项。限制非信任终端接入网络。任何源MAC地址为非安全MAC地址的报文将会被丢弃。限制信任终端切换连接端口。即信任终端只能在通过指定的端口接入网络。违例通信的保护动作Restrict：丢弃源MAC地址为非安全MAC地址的报文并上报告警，此为默认的处理动作；Protect：只丢弃源MAC地址为非安全MAC地址的报文，不上报告警；Shutdown：接口状态被置为error-down，并上报告警。默认情况下，接口关闭后不会自动恢复，只能由网络管理人员手动恢复。3.端口安全工作原理工作原理交换机开启端口安全功能后，接口学习到的MAC地址会被转换为安全MAC地址。接口学习的MAC数量达到上限后不再学习新的MAC地址。如果交换机收到源MAC地址不属于安全MAC地址的报文，交换机认为有非法用户攻击，就会根据配置的动作对接口做保护处理。3.端口安全工作原理安全MAC地址安全MAC地址分为安全动态MAC地址和StickyMAC地址。当接口使能端口安全功能后，该接口上学习到的MAC地址将变为安全动态MAC地址，此时该接口仅允许源MAC地址匹配安全MAC地址或静态MAC地址的报文通过。若接口使能StickyMAC功能，安全动态MAC地址表项将转化为StickyMAC表项，之后学习到的MAC地址也变为StickyMAC地址。安全动态MAC地址在设备重启后表项会丢失。StickyMAC地址可由安全动态MAC地址转换而来，也可以手动添加。StickyMAC地址在手动保存之后，设备重启不会丢失。安全MAC地址4.端口安全配置流程端口安全配置流程如下：端口开启安全功能；端口配置MAC地址学习的限制数量；配置StickyMAC功能；动态转化手工添加设置接口安全保护动作（可选）。（1）开启端口安全功能命令：port-securityenable说明：缺省情况下，交换机接口未使能端口安全功能；通常对连接终端的接口进行配置视图：接口视图举例：交换机S1的G0/0/1使能接口安全功能。[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]port-securityenable5.端口安全配置命令（2）配置接口安全动态MAC地址学习限制数量命令：port-securitymax-mac-nummax-number

说明：缺省情况下，交换机接口学习MAC地址限制为1视图：接口视图举例：设置交换机S1的G0/0/1限制MAC地址数量为2。[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]port-securitymax-mac-num2

5.端口安全配置命令（3）配置StickyMAC功能命令：port-securitymac-addresssticky[mac-addressvlanvlan-id]说明：sticky后不加参数，表示将动态安全MAC转化为stickyMAC；sticky后加MAC地址及VLAN参数，表示手动添加stickyMAC表项视图：接口视图举例1：设置交换机S1的G0/0/1开启StickyMAC功能，将动态安全MAC转化为stickyMAC。举例2：为交换机S1的VLAN10接口G0/0/1手动添加stickyMAC表项AAAA-BBBB-0001。[S1-GigabitEthernet0/0/1]port-securityenable[S1-GigabitEthernet0/0/1]port-securitymac-addresssticky[S1-GigabitEthernet0/0/1]port-securityenable[S1-GigabitEthernet0/0/1]port-securitymac-addressstickyAAAA-BBBB-0001vlan105.端口安全配置命令（4）设置接口安全保护动作命令：port-securityprotect-action{shutdown|protect|restrict}说明：缺省情况下，交换机接口保护动作为restrict视图：接口视图举例1：设置交换机S1的G0/0/1接口保护动作为shutdown。举例2：设置交换机S1的G0/0/2接口保护动作为protect。设置交换机S1的G0/0/3接口保护动作为restrict。[S1-GigabitEthernet0/0/1]port-securityprotect-actionshutdown[S1-GigabitEthernet0/0/2]port-securityprotect-actionprotect[S1-GigabitEthernet0/0/3]port-securityprotect-actionrestrict5.端口安全配置命令（5）启动静态MAC地址漂移的检测功能命令：port-securitystatic-flappingprotect说明：开启了端口安全的接口才支持静态MAC漂移的检测功能视图：系统视图举例：设置交换机S1静态MAC地址漂移的检测功能。[S1]port-securitystatic-flappingprotect5.端口安全配置命令6.任务实施：交换机端口安全配置（1）掌握交换机端口安全的基本原理；（2）掌握交换机端口安全的配置方法。（一）任务目的

某公司出于网络安全的考虑，希望对员工终端的网络接入进行基本的安全管控，要求接入层交换机限制非信任终端的接入，每个端口只能连接一台固定的员工终端。（二）任务描述（1）拓扑图（2）操作流程终端配置网络参数；交换机配置VLAN；S1的G0/0/1-3开启端口安全功能，限制连接数为1，分别只能允许PC1-PC3接入网络；G0/0/1-2：开启StickyMAC功能，自动将动态安全MAC转化为StickyMAC；G0/0/3：手动添加StickyMAC表项；S1的G0/0/1-3配置违例保护模式均为shutdown。（三）实施规划6.任务实施：交换机端口安全配置（四）操作步骤交换机配置VLAN配置网络参数[S1]vlan10[S1-vlan10]intg0/0/1[S1-GigabitEthernet0/0/1]portlink-typeaccess[S1-GigabitEthernet0/0/1]portdefaultvlan10[S1-GigabitEthernet0/0/1]intg0/0/2[S1-GigabitEthernet0/0/2]portlink-typeaccess[S1-GigabitEthernet0/0/2]portdefaultvlan10[S1-GigabitEthernet0/0/2]intg0/0/3[S1-GigabitEthernet0/0/3]portlink-typeaccess[S1-GigabitEthernet0/0/3]portdefaultvlan10[S1-GigabitEthernet0/0/3]intg0/0/24[S1-GigabitEthernet0/0/24]portlink-typetrunk[S1-GigabitEthernet0/0/24]porttrunkallow-passvlan10[S1-GigabitEthernet0/0/24]quitS1配置：S1配置端口安全功能6.任务实施：交换机端口安全配置（四）操作步骤[S2]vlanbatch10100[S2]intg0/0/24[S2-GigabitEthernet0/0/24]portlink-typetrunk[S2-GigabitEthernet0/0/24]porttrunkallow-passvlan10[S2-GigabitEthernet0/0/24]intg0/0/1[S2-GigabitEthernet0/0/1]portlink-typeaccess[S2-GigabitEthernet0/0/1]portdefaultvlan100[S2-GigabitEthernet0/0/1]intvlanif100[S2-Vlanif100]ipadd5424[S2-Vlanif100]intvlanif10[S2-Vlanif10]ipadd5424[S2-Vlanif10]quitS2配置：交换机配置VLAN配置网络参数S1配置端口安全功能6.任务实施：交换机端口安全配置（四）操作步骤[S1]intg0/0/1[S1-GigabitEthernet0/0/1]port-securityenable//开启端口安全功能[S1-GigabitEthernet0/0/1]port-securitymax-mac-num1//默认为1[S1-GigabitEthernet0/0/1]port-securitymac-addresssticky

//将动态安全MAC转换为StickyMAC[S1-GigabitEthernet0/0/1]port-securityprotect-actionshutdown

//设置违例保护模式为shutdown[S1-GigabitEthernet0/0/1]intg0/0/2[S1-GigabitEthernet0/0/2]port-securityenable[S1-GigabitEthernet0/0/2]port-securitymac-addresssticky[S1-GigabitEthernet0/0/2]port-securityprotect-actionshutdown[S1-GigabitEthernet0/0/2]intg0/0/3[S1-GigabitEthernet0/0/3]port-securityenable[S1-GigabitEthernet0/0/3]port-securitymac-addresssticky[S1-GigabitEthernet0/0/3]port-securitymac-addresssticky5489-9809-79B1vlan10//手动添加StickyMAC[S1-GigabitEthernet0/0/3]port-securityprotect-actionshutdownS1配置：交换机配置VLAN配置网络参数S1配置端口安全功能6.任务实施：交换机端口安全配置（五）实验测试

StickyMAC信息查看[S1]dismac-addressstickyMACaddresstableofslot0:-------------------------------------------------------------------------------MACAddressVLAN/PEVLANCEVLANPortTypeLSP/LSR-IDVSI/SIMAC-Tunnel-------------------------------------------------------------------------------5489-9809-79b110--GE0/0/3sticky-5489-98c3-248710--GE0/0/1sticky-5489-987b-548710--GE0/0/2sticky--------------------------------------------------------------------------------Totalmatchingitemsonslot0displayed=3

S1查看StickyMAC信息

连通性测试非信任终端接入G0/0/36.任务实施：交换机端口安全配置（五）实验测试StickyMAC信息查看PC>pingFrom:bytes=32seq=1ttl=127time=62msFrom:bytes=32seq=2ttl=127time=62ms......PC1ping服务器连通性测试PC>pingFrom:bytes=32seq=1ttl=127time=125msFrom:bytes=32seq=2ttl=127time=78ms......PC2ping服务器PC>pingFrom:bytes=32seq=2ttl=127time=78msFrom:bytes=32seq=3ttl=127time=63ms......PC3ping服务器非信任终端接入G0/0/36.任务实施：交换机端口安全配置6.任务实施：交换机端口安全配置（五）实验测试StickyMAC信息查看PC>pingPing:32databytes,PressCtrl_CtobreakRequesttimeout!Requesttimeout!Requesttimeout!Requesttimeout!Requesttimeout!---pingstatistics---5packet(s)transmitted0packet(s)received100.00%packetloss非信任终端ping服务器

连通性测试非信任终端接入G0/0/3（五）实验测试StickyMAC信息查看[S1]disintg0/0/3GigabitEthernet0/0/3currentstate:AdministrativelyDOWNLineprotocolcurrentstate:DOWNDescription:SwitchPort,PVID:10,TPID:8100(Hex),TheMaximumFrameLengthis9216IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddressis4c1f-cc99-5dd5......S1查看G0/0/3接口状态

连通性测试非信任终端接入G0/0/36.任务实施：交换机端口安全配置PC1-PC3为信任终端，可以通过对应接口接入到网络访问服务器；非信任终端接入网络时，产生违例数据，系统执行shutdown保护动作，关闭接口。（六）结果分析eNSP模拟器交换机中不支持静态MAC漂移检测功能（port-securitystatic-flappingprotect）；接口收到违例数据Error-down后，可在该接口视图下执行undoshutdown进行恢复。eNSP模拟器不支持自动恢复（error-downauto-recoverycauseport-securityinterval<延时>）。（七）注意事项6.任务实施：交换机端口安全配置Module4网络安全技术《网络互联技术》任务4.2

交换机DHCPSnooping

配置DHCP基本概念DHCP攻击介绍DHCPSnooping原理DHCP及DHCPSnooping配置流程DHCP及DHCPSnooping配置命令DHCP在应用的过程中存在安全方面的问题，如在遭受DHCPServer仿冒者攻击、DHCPServer拒绝服务攻击等都会影响网络的正常通信。DHCPSnooping可以有效防御DHCP各类攻击，保障DHCP环境的安全稳定。本次任务介绍DHCPSnooping的基本原理和配置方法。任务背景准备知识1.DHCP基本概念DHCP环境下的角色DHCP服务器：负责为DHCP客户端分配网络参数。DHCP可以是专用服务器，也可以是支持DHCP服务的网络设备。DHCP客户端：自动获取IP地址等网络参数的设备。如用户终端（计算机、IP电话）、AP等。DHCP中继。负责转发DHCP服务器和DHCP客户端之间的DHCP报文，协助DHCP服务器向DHCP客户端动态分配网络参数的设备。DHCP服务器和DHCP客户端不在同一网段，就需要DHCP中继设备转发协议报文。DHCP角色1.DHCP基本概念DHCP地址池DHCP服务器可以为客户端分配的所有IP地址的集合。包括IP地址范围、网关、DNS等网络参数。基于接口方式的地址池：地址池为DHCP服务器接口所属网段的IP地址，且地址池中地址只能分配给此接口下的客户端。适用于DHCP服务器与客户端在同一个网段的场景。基于全局方式的地址池：在系统视图下创建的全局地址池，同一DHCP服务器可以配置多个地址池。服务器接口调用全局地址池为其所连接的客户端分配地址。无DHCP中继场景1.DHCP基本概念DHCP地址池DHCP服务器可以为客户端分配的所有IP地址的集合。包括IP地址范围、网关、DNS等网络参数。基于接口方式的地址池：地址池为DHCP服务器接口所属网段的IP地址，且地址池中地址只能分配给此接口下的客户端。适用于DHCP服务器与客户端在同一个网段的场景。基于全局方式的地址池：在系统视图下创建的全局地址池，同一DHCP服务器可以配置多个地址池。服务器接口调用全局地址池为其所连接的客户端分配地址。有DHCP中继场景1.DHCP基本概念DHCP工作原理在没有部署DHCP中继的场景下，DHCP客户端与DHCP服务器的报文交互过程分为以下四个阶段：发现阶段：DHCP客户端广播发送Discover报文来寻找DHCP服务器；提供阶段：DHCP服务器单播回应Offer报文，内含可供分配的IP地址；选择阶段：如果有多个DHCP服务器向DHCP客户端回应DHCPOFFER报文，则DHCP客户端一般只接收第一个收到的DHCPOFFER报文。然后DHCP客户端广播发送REQUEST报文，并通知所有DHCP服务器自己选用的地址；确认阶段：DHCP服务器单播回应DHCPACK报文，确认分配。DHCP报文交互过程（无中继）1.DHCP基本概念DHCP工作原理在部署DHCP中继的场景下，DHCP客户端与DHCP服务器的报文交互过程也分为四个阶段。主要差异是DHCP中继在DHCP服务器和DHCP客户端之间转发DHCP报文，以保证DHCP服务器和DHCP客户端可以正常交互。DHCP报文交互过程（无中继）2.DHCP攻击介绍DHCP仿冒者攻击DHCP客户端和服务器之间无认证机制，会导致非法DHCP服务器分配错误地址，导致用户无法使用网络。DHCP仿冒者攻击2.DHCP攻击介绍DHCP拒绝服务攻击攻击者伪造虚假客户端，恶意申请IP地址，导致DHCP服务器地址池中IP地址快速耗尽而不能为合法用户提供服务。DHCP拒绝服务攻击2.DHCP攻击介绍仿冒DHCP报文攻击攻击者冒充合法用户不断向DHCP服务器发送DHCPRequest报文来续租IP地址，会导致这些到期的IP地址无法正常回收，以致一些合法用户不能获得IP地址。攻击者仿冒合法用户的DHCPRelease报文发往DHCP服务器，将会导致用户异常下线。仿冒DHCP报文攻击2.DHCP攻击介绍DHCP报文泛洪攻击攻击者短时间内向设备发送大量的DHCP报文，将会对设备的性能造成巨大的冲击以致可能会导致设备无法正常工作。DHCP报文泛洪攻击3.DHCPSnooping原理原理DHCPSnooping是DHCP的一种安全特性，用于保证DHCP客户端从合法的DHCP服务器获取IP地址，并记录DHCP客户端IP地址与MAC地址等参数的对应关系，防止网络上针对DHCP攻击。预防DHCP仿冒者攻击配置信任接口。只有信任接口允许接收服务器发送的DHCPOffer、DHCPACK等报文，非信任接口收到DHCP报文后丢弃处理。预防DHCP仿冒者攻击3.DHCPSnooping原理预防DHCP服务拒绝攻击配置允许接入的最大用户数以及检测DHCPRequest报文帧头源MAC与DHCP数据区中CHADDR字段（客户端MAC地址）是否一致功能。当接口下DHCPSnooping绑定表项数达到最大值时，后续用户将无法接入。当帧头源MAC与CHADDR字段不一致时，代表该客户端为伪造客户端，丢弃其发送的报文。预防DHCP拒绝服务攻击3.DHCPSnooping原理预防仿冒DHCP报文攻击配置DHCPSnooping绑定表功能。将DHCPRequest和DHCPRelease报文与绑定表进行匹配，检查报文中的VLAN、IP、MAC、接口信息，以判别报文是否合法。预防仿冒DHCP报文攻击3.DHCPSnooping原理预防DHCP报文泛洪攻击配置对DHCP报文上送速率检测功能。允许在规定速率内上送DHCP报文，超过规定速率的报文将会被丢弃。预防DHCP报文泛洪攻击4.DHCP及DHCPSnooping配置流程DHCP配置流程如下：开启DHCP功能；配置全局地址池：地址池范围、网关地址、DNS等参数设置；接口开启DHCP服务器功能：采用全局地址池或接口地址池；配置DHCP中继服务：依据实际网络环境确定是否需要配置DHCP中继服务。DHCPSnooping配置流程如下：开启DHCPSnooping功能，包括全局开启，以及VLAN或接口下开启；配置DHCPSnooping各项安全功能。（1）开启DHCP功能命令：dhcpenable说明：此命令同时也是配置DHCP中继、安全等相关功能的总开关视图：系统视图举例：交换机S1开启DHCP功能。[S1]dhcpenable5.DHCP及DHCPSnooping配置命令（2）创建全局地址池命令：ippoolip-pool-name

说明：一台DHCP服务器可以创建多个全局地址池视图：系统视图举例：交换机S1创建名为vlan10_pool的地址池。[S1]ippoolvlan10_pool5.DHCP及DHCPSnooping配置命令（3）配置全局地址池下可分配的网段地址命令：networkip-address[mask{mask|mask-length}]说明：每个地址池只能配置一个网段视图：IP地址池视图举例：交换机S1配置地址池vlan10_pool的分配网段为/24。[S1]ippoolvlan10_pool[S1-ip-pool-vlan10_pool]networkmask245.DHCP及DHCPSnooping配置命令（4）配置IP地址池中不参与自动分配的IP地址范围命令：excluded-ip-addressstart-ip-address[end-ip-address]说明：可以排除单个IP地址或多个连续IP地址视图：IP地址池视图举例：S1地址池vlan10_pool不分配地址范围01-50及00。[S1]ippoolvlan10_pool[S1-ip-pool-vlan10_pool]excluded-ip-address0150[S1-ip-pool-vlan10_pool]excluded-ip-address005.DHCP及DHCPSnooping配置命令（5）配置为DHCP客户端分配的网关地址命令：gateway-listip-address

说明：网关地址隶属于地址池范围视图：IP地址池视图举例：S1地址池vlan10_pool为客户端分配网关地址为54。[S1]ippoolvlan10_pool[S1-ip-pool-vlan10_pool]gateway-list545.DHCP及DHCPSnooping配置命令（6）配置为DHCP客户端分配的DNS地址命令：dns-listip-address

说明：可配置多个DNS地址，第一个为主DNS视图：IP地址池视图举例：S1地址池vlan10_pool为客户端分配DNS地址为和14。[S1]ippoolvlan10_pool[S1-ip-pool-vlan10_pool]dns-list[S1-ip-pool-vlan10_pool]dns-list145.DHCP及DHCPSnooping配置命令（7）接口开启DHCPServer功能命令：dhcpselect{global|interface}说明：global表示接口选择对应的全局地址池为客户端分配地址；interface表示采用接口地址池为客户端分配地址视图：接口视图举例1：S1的VLANIF

10接口开启采用全局地址池的DHCPServer功能。举例2：S1的VLANIF

10接口开启采用接口地址池的DHCPServer功能。[S1]intvlanif10[S1-Vlanif10]dhcpselectglobal[S1]intvlanif10[S1-Vlanif10]dhcpselectinterface5.DHCP及DHCPSnooping配置命令（8）开启DHCP中继功能命令：dhcpselectrelay说明：DHCP客户端的网关设备配置视图：接口视图举例：S1的VLANIF

10接口下开启DHCP中继功能。[S1]intvlanif10[S1-Vlanif10]dhcpselectrelay5.DHCP及DHCPSnooping配置命令（9）配置DHCP中继所代理的DHCP服务器的IP地址命令：dhcprelayserver-ipip-address说明：DHCP客户端的网关设备配置视图：接口视图举例：S1的VLANIF

10接口指定DHCP中继代理的服务器地址为54。[S1-Vlanif10]dhcprelayserver-ip545.DHCP及DHCPSnooping配置命令（10）开启DHCPSnooping功能命令：dhcpsnoopingenable说明：VLAN、接口下配置此功能，需要先全局开启DHCPSnooping功能视图：系统视图、VLAN视图、接口视图举例1：交换机S1中VLAN10开启DHCPSnooping。举例2：交换机S1中G0/0/1开启DHCPSnooping。[S1]dhcpsnoopingenable[S1]vlan10[S1-vlan10]dhcpsnoopingenable[S1]dhcpsnoopingenable[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]dhcpsnoopingenable5.DHCP及DHCPSnooping配置命令（11）设置可信任接口命令：dhcpsnoopingtrusted说明：缺省情况下，所有接口均为不可信任接口视图：接口视图举例：交换机S1中G0/0/1设置为信任接口。[S1]dhcpsnoopingenable[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]dhcpsnoopingtrusted5.DHCP及DHCPSnooping配置命令（12）开启检测DHCPRequest报文帧头源MAC地址与CHADDR字段是否一致功能命令：dhcpsnoopingcheckdhcp-chaddrenable说明：避免攻击者修改CHADDR字段反复申请IP地址，导致地址池被耗尽视图：VLAN视图、接口视图举例1：交换机S1中VLAN10下所有成员接口开启源MAC、CHADDR一致性检测功能。举例2：交换机S1的接口G0/0/1开启源MAC、CHADDR一致性检测功能。[S1]vlan10[S1-vlan10]dhcpsnoopingenable[S1-vlan10]dhcpsnoopingcheckdhcp-chaddrenable[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]dhcpsnoopingenable[S1-GigabitEthernet0/0/1]dhcpsnoopingcheckdhcp-chaddrenable5.DHCP及DHCPSnooping配置命令（13）限制最大DHCP用户接入数命令：dhcpsnoopingmax-user-numbernumber说明：防止DHCP服务拒绝攻击视图：系统视图、VLAN视图、接口视图举例1：交换机S1限制最多存在50个DHCP客户端。举例2：交换机S1限制vlan10中最多存在30个DHCP客户端。[S1]dhcpsnoopingenable[S1]dhcpsnoopingmax-user-number50[S1-vlan10]dhcpsnoopingenable[S1-vlan10]dhcpsnoopingmax-user-number305.DHCP及DHCPSnooping配置命令（14）开启对DHCP报文进行绑定表匹配检查的功能命令：dhcpsnoopingcheckdhcp-requestenable说明：对DHCPRequest或DHCPRelease报文进行匹配检查视图：系统视图、VLAN视图、接口视图举例1：交换机S1的G0/0/1口使能DHCP报文绑定表匹配检查功能。举例2：交换机S1的VLAN

10使能DHCP报文绑定表匹配检查功能。[S1]interfaceGigabitEthernet0/0/1[S1-GigabitEthernet0/0/1]dhcpsnoopingenable[S1-GigabitEthernet0/0/1]dhcpsnoopingcheckdhcp-requestenable[S1]vlan10[S1-vlan10]dhcpsnoopingenable[S1-vlan10]dhcpsnoopingcheckdhcp-requestenable5.DHCP及DHCPSnooping配置命令（15）开启对DHCP报文上送DHCP报文处理单元的速率检测功能命令：dhcpsnoopingcheckdhcp-rateenable[rate]说明：rate为DHCP报文上送至DHCP报文处理单元的最大允许速率，取值范围为1~100，单位pps，默认值为100。超过rate指定速率的报文将被丢弃视图：系统视图、VLAN视图、接口视图举例1：交换机S1使能对DHCP报文上送DHCP报文处理单元的速率检测功能。举例2：交换机S1VLAN

10使能对DHCP报文上送DHCP报文处理单元的速率检测功能。[S1]dhcpsnoopingcheckdhcp-rateenable[S1]vlan10[S1-vlan10]dhcpsnoopingenable[S1-vlan10]dhcpsnoopingcheckdhcp-rateenable5.DHCP及DHCPSnooping配置命令6.任务实施：交换机DHCPSnooping配置（1）掌握DHCPSnooping的基本原理；（2）掌握DHCPSnooping安全功能的配置方法。（一）任务目的

某公司网络通过DHCP协议为VLAN10用户终端动态分配网络参数，以满足用户的网络访问需求。为保证DHCP环境的安全稳定运行，管理员计划对DHCP协议进行必要的安全配置，以避免DHCP仿冒攻击、DHCP服务拒绝攻击及DHCP报文攻击等安全问题。（二）任务描述（1）拓扑图（2）操作流程交换机配置VLAN；S2配置DHCP服务，为VLAN10用户分配地址参数；S1基于VLAN10，配置DHCPSnooping安全功能：设置G0/0/24为信任接口，只允许该接口接收DHCP服务器响应报文；开启帧头源MAC和CHADDR字段检测功能，并限制用户接入数，预防IP地址恶意申请；开启绑定表检测功能，预防DHCP伪造报文；开启DHCP报文上送至DHCP报文处理单元的速率检测功能，预防泛洪攻击。（三）实施规划6.任务实施：交换机DHCPSnooping配置（四）操作步骤S2配置DHCP服务交换机配置VLAN[S1]vlan10[S1-vlan10]intg0/0/1[S1-GigabitEthernet0/0/1]portlink-typeaccess[S1-GigabitEthernet0/0/1]portdefaultvlan10[S1-GigabitEthernet0/0/1]intg0/0/2[S1-GigabitEthernet0/0/2]portlink-typeaccess[S1-GigabitEthernet0/0/2]portdefaultvlan10[S1-GigabitEthernet0/0/2]intg0/0/24[S1-GigabitEthernet0/0/24]portlink-typetrunk[S1-GigabitEthernet0/0/24]porttrunkallow-passvlan10[S1-GigabitEthernet0/0/24]quitS1配置：S1配置DHCP安全功能6.任务实施：交换机DHCPSnooping配置（四）操作步骤S2配置DHCP服务交换机配置VLAN[S2]vlan10[S2-vlan10]intvlanif10[S2-Vlanif10]ipadd5424[S2-Vlanif10]intg0/0/24[S2-GigabitEthernet0/0/24]portlink-typetrunk[S2-GigabitEthernet0/0/24]porttrunkallow-passvlan10[S2-GigabitEthernet0/0/24]quitS2配置：S1配置DHCP安全功能6.任务实施：交换机DHCPSnooping配置（四）操作步骤S2配置DHCP服务交换机配置VLAN[S2]dhcpenable[S2]ippoolvlan10_pool[S2-ip-pool-vlan10_pool]networkmask24[S2-ip-pool-vlan10_pool]gateway-list54[S2-ip-pool-vlan10_pool]dns-list[S2-ip-pool-vlan10_pool]intvlanif10[S2-Vlanif10]dhcpselectglobalS2配置：S1配置DHCP安全功能6.任务实施：交换机DHCPSnooping配置（四）操作步骤S2配置DHCP服务交换机配置VLAN[S1]dhcpenable[S1]dhcpsnoopingenable//全局开启DHCPSnooping功能[S1]intg0/0/24[S1-GigabitEthernet0/0/24]dhcpsnoopingtrusted//设置为信任接口[S1-GigabitEthernet0/0/24]vlan10[S1-vlan10]dhcpsnoopingenable//VLAN10开启DHCPSnooping功能[S1-vlan10]dhcpsnoopingmax-user-number20//限制连接用户为20[S1-vlan10]dhcpsnoopingcheckdhcp-chaddrenable

//开启检测DHCPRequest报文帧头源MAC地址与CHADDR字段功能[S1-vlan10]dhcpsnoopingcheckdhcp-requestenable

//开启对DHCP报文进行绑定表匹配检查的功能[S1-vlan10]dhcpsnoopingcheckdhcp-rateenable//开启对DHCP报文上送DHCP报文处理单元的速率进行检测功能[S1-vlan10]dhcpsnoopingcheckdhcp-rate50//速率最大值为50S1配置：S1配置DHCP安全功能6.任务实施：交换机DHCPSnooping配置（五）实验测试查看DHCP绑定表信息[S1]disdhcpsnoopinguser-bindvlan10DHCPDynamicBind-table:Flags:O-outervlan,I-innervlan,P-mapvlanIPAddressMACAddressVSI/VLAN(O/I/P)InterfaceLease--------------------------------------------------------------------------------535489-9839-02c110/--/--GE0/0/12021.05.03-09:35525489-987f-1dbf10/--/--GE0/0/22021.05.03-09:35--------------------------------------------------------------------------------printcount:2totalcount:2S1查看VLAN10的DHCP绑定表信息

查看DHCP安全配置信息6.任务实施：交换机DHCPSnooping配置（五）实验测试查看DHCP绑定表信息[S1]disdhcpsnoopingconfiguration#dhcpsnoopingenable#vlan10dhcpsnoopingenabledhcpsnoopingcheckdhcp-requestenabledhcpsnoopingcheckdhcp-chaddrenabledhcpsnoopingcheckdhcp-rateenabledhcpsnoopingcheckdhcp-rate50dhcpsnoopingmax-user-number20#interfaceGigabitEthernet0/0/24dhcpsnoopingtrusted#S1查看DHCP安全配置信息查看DHCP安全配置信息6.任务实施：交换机DHCPSnooping配置PC1、PC2正常获得网络参数，对应生成了DHCPSnooping绑定表信息，各项DHCPSnooping安全功能已经开启，可有效防御DHCP各项攻击。（六）结果分析系统视图下，dhcpsnoopingenable命令是DHCPSnooping相关功能的总开关；执行dhcpsnoopingenable命令后，交换机接口默认均为非信任接口，需对连接服务器的接口设置为信任接口。VLAN视图下开启DHCPSnooping相关安全功能，则对该VLAN下所有接口接收到的DHCP报文生效。（七）注意事项6.任务实施：交换机DHCPSnooping配置Module4网络安全技术《网络互联技术》任务4.3

基本ACL配置ACL基本概念ACL基本原理ACL配置流程ACL配置命令随着网络的飞速发展，网络安全和网络服务质量的问题日益突出。网络环境的安全性和网络服务质量的可靠性是网络性能评价的重要指标。通过ACL可以实现对网络中报文流的精确识别和控制，达到控制网络访问行为、防止网络攻击和提高网络带宽利用率的目的。本次任务介绍ACL的基本原理及基本ACL的配置。任务背景准备知识1.ACL基本概念ACL（访问控制列表）是由一条或多条规则组成的集合。ACL相当于一个过滤器，而规则相当于滤芯。设备可以根据这些规则，抓取特定的报文，并对这些报文进行控制。示例中，公司网络的财务管理系统只希望被财务部门的主机访问，可以通过定义ACL规则并部署在相关设备上来保证通信的安全。1.ACL基本概念ACL组成ACL由一系列规则组成。具体包括：编号：ACL标识，不同类型ACL的编号有特定的取值范围；规则：用于描述报文的匹配条件及处理动作。包括一下要素：规则编号：标识ACL规则，可以自行配置规则编号，也可以由系统自动分配；处理动作：允许（Permit）/拒绝（Deny）；匹配条件：定义报文的匹配项。ACL组成示例1.ACL基本概念ACL部署应用ACL定义之后，必须在业务模块中应用才能生效。ACL应用的业务模块包括：对转发的报文进行过滤：基于全局和接口，对转发的报文进行过滤，从而使设备能够进一步对过滤出的报文进行丢弃、修改优先级、重定向等处理。对上送CPU处理的报文进行过滤：对上送CPU的报文进行必要的限制，可以避免CPU处理过多的协议报文造成占用率过高、性能下降。登录控制：对设备的登录权限进行控制，允许合法用户登录，拒绝非法用户登录，从而有效防止未经授权用户的非法接入，保证网络安全性。路由过滤：应用在各种动态路由协议中，对路由协议发布、接收的路由信息以及组播流量进行过滤。最基本的ACL应用方式，是在简化流策略/流策略中应用ACL，使设备能够基于全局或接口下发ACL，实现对转发报文的过滤。1.ACL基本概念ACL匹配机制报文与ACL进行匹配时，遵循“一旦命中即停止”的机制。ACL匹配结果分为匹配或不匹配，不论匹配的动作是“permit”还是“deny”，都称为“匹配”；不匹配是指不存在ACL，或ACL中无规则，再或者在ACL中遍历了所有规则都没有找到符合匹配条件的规则。简化流策略是依据规则中的permit或deny来对报文执行相应的动作。ACL匹配机制1.ACL基本概念ACL分类基于ACL规则定义方式，可将ACL分为基本ACL、高级ACL、二层ACL和用户ACL。基于ACL标识的方式，可将ACL分为数字型ACL和命名型ACL。数字型ACL：通过编号来标识ACL。创建ACL时，指定一个唯一的数字标识该ACL。命名型ACL：通过名称代替编号来标识ACL。命名ACL在创建时可以同时指定ACL编号，若不指定，系统将自动分配。基于ACL规则定义的分类ACL分类规则定义描述编号范围基本ACL仅使用报文的源IP地址、分片信息和生效时间段信息来定义规则2000～2999高级ACL可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源/目的端口、UDP源/目的端口号、生效时间段等来定义规则3000～3999二层ACL使用报文的以太网帧头信息来定义规则，如根据源MAC地址、目的MAC地址、二层协议类型等。4000～4999用户ACL可使用IPv4报文的源IP地址、目的IP地址、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则6000～60312.ACL基本原理ACL步长一个ACL中可以有多条规则，每一条规则都会有一个编号。步长指ACL规则编号之间的差值。ACL中首条规则若不指定编号则使用步长值作为该规则的编号。如步长为5，首条规则的编号未手工指定时，系统会自动设置为5。后续规则若不指定编号，则使用大于当前最大编号，且是步长最小整倍数作为该规则编号。ACL按照规则的编号由小到大进行的排序，步长的引入可以便于在旧的规则之前插入新的规则。2.ACL基本原理通配符掩码通配符掩码长度为32位比特，用来与源/目的IP地址字段共同确定一个地址范围。通配符掩码与IP地址的反向子网掩码类似。不同的是子网掩码中“0”和“1”必须是连续的，而通配符掩码中“0”和“1”可以是不连续的。“0”表示需要匹配，“1”表示无需匹配。通配符掩码用单个“0”表示，代表主机地址。示例中，“55”表示前24位为“192.168.10”的IP地址，即/24网段的主机地址。示例中，“54”表示前24位为“192.168.10”且最后1比特为1的IP地址，即/24网段中最后字节为奇数的IP地址。2.ACL基本原理ACL常用匹配项源IP地址；源IP地址+目的IP地址；TCP/UDP+源IP地址+源端口+目的IP地址+目的端口；IP承载的协议（ICMP、gre等）+源IP地址+目的IP地址。ACL匹配项示例2.ACL基本原理ACL编写规则通常将地址范围小、流量定义精细的规则写在前面。避免报文因命中宽松条件的规则而停止往下匹配，从而无法命中严格条件的规则。示例拓扑，R1部署ACL,要求只允许总经理和财务部主机访问财务管理系统。按上述规则顺序，总经理主机访问财务管理系统的流量匹配了条件更宽松的第一条规则，执行拒绝动作，所以总经理无法访问财务管理系统。合理的顺序如下：2.ACL基本原理ACL部署原则在部署基本ACL时，尽量靠近目的，避免正常的流量被过滤。在部署高级ACL时，因为能对流量进行精确定义，所以应尽量靠近源，以尽早过滤掉相关流量，避免该流量在网络中继续传输，耗用通信资源，增加路由器负担。示例中，使用基本ACL禁止PC1和PC2通信。若部署在R1，会导致PC1访问PC3的正常流量也被过滤，所以应部署在靠近目的主机的R2。示例中，使用高级ACL禁止PC1和PC2通信。若部署在R2，会导致PC1访问PC2的流量到达R2后才被过滤，所以应部署在靠近源主机的R1。3.ACL配置流程ACL配置流程如下：创建ACL：根据需求创建基本ACL或高级ACL；定义ACL规则；接口应用ACL。（1）创建ACL命令：acl[number]acl-number说明：编号范围2000~2999为基本ACL，3000~3999为高级ACL视图：系统视图举例1：路由器R1上创建基本ACL2000。或举例2：路由器R1上创建高级ACL3000。[R1]aclnumber20004.ACL配置命令[R1]acl2000[R1]aclnumber3000（2）创建命名ACL命令：aclnameacl-name[acl-number]说明：若不指定ACL编号，系统会指定一个可用的最大的高级ACL编号视图：系统视图举例1：路由器R1上创建名为test1的基本ACL，编号为2100。举例2：路由器R1上创建名为test2的高级ACL，编号为3100。[R1]aclnametest12100[R1]aclnametest231004.ACL配置命令（3）配置基本ACL规则命令：rule[rule-id]{deny|permit}[source{source-address

source-wildcard|any}]说明：若不配置source，表示报文的任何源地址都匹配视图：ACL视图举例：路由器R1配置ACL

2000，拒绝/24通过，其余网段允许通过。[R1]acl2000[R1-acl-basic-2000]rule5denysource55[R1-acl-basic-2000]rule10permitsourceany4.ACL配置命令（4）ACL应用命令：traffic-filter{inbound|outbound}acl{bas-acl|adv-acl|nameacl-name}

说明：inbound表示对接收的报文进行过滤，outbound表示对发送的报文进行过滤。bas-acl为基本ACL编号，adv-acl为高级ACL编号视图：接口视图举例1：路由器R1在Gi0/0/0入方向应用ACL

2001。举例2：路由器R1在Gi0/0/1出方向应用ACL

3001。[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]traffic-filterinboundacl2001[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]traffic-filteroutboundacl30014.ACL配置命令5.任务实施：基本ACL配置（1）掌握基本ACL的工作原理；（2）掌握基本ACL的配置方法。（一）任务目的

某公司安装部署了财务管理系统，出于安全考虑，只允许财务部和总经理主机可以访问，其它部门不能访问。（二）任务描述（1）拓扑图（2）操作流程终端及财务管理系统配置网络参数；交换机S1配置VLAN、VLANIF及网络参数，规划如下：R1、S1配置静态路由，实现全网连通；R1配置基本ACL，要求只允许VLAN10（财务部）和VLAN30（总经理）的主机可以访问财务管理系统。（三）实施规划VLANVLANIF_IP地址Vlan1054Vlan2054Vlan30545.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[S1]vlanbatch102030[S1]intg1/0/1[S1-GE1/0/1]portlink-typeaccess[S1-GE1/0/1]portdefaultvlan10[S1-GE1/0/1]undoshutdown//eNSPCE6800接口默认shutdown[S1-GE1/0/1]intg1/0/2[S1-GE1/0/2]portlink-typeaccess[S1-GE1/0/2]portdefaultvlan20[S1-GE1/0/2]undoshutdown[S1-GE1/0/2]intg1/0/3[S1-GE1/0/3]portlink-typeaccess[S1-GE1/0/3]portdefaultvlan30[S1-GE1/0/3]undoshutdownS1配置VLAN：

配置静态路由

配置基本ACL5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[S1]intvlanif10[S1-Vlanif10]ipadd5424[S1-Vlanif10]intvlanif20[S1-Vlanif20]ipadd5424[S1-Vlanif20]intvlanif30[S1-Vlanif30]ipadd5424[S1-Vlanif30]intg1/0/0[S1-GE1/0/0]undoshutdown[S1-GE1/0/0]undoportswitch//二层接口转三层模式[S1-GE1/0/0]ipadd24[S1-GE1/0/0]quitS1配置VLANIF及IP地址：

配置静态路由

配置基本ACL5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[R1]intg0/0/0[R1-GigabitEthernet0/0/0]ipadd24[R1-GigabitEthernet0/0/0]intg0/0/1[R1-GigabitEthernet0/0/1]ipadd5424[R1-GigabitEthernet0/0/1]quit[R1]iproute-static//静态汇总路由R1配置网络参数及静态路由：配置静态路由R1配置基本ACL[S1]iproute-static55//静态主机路由S1配置静态路由：此时，各部门主机均能访问财务管理系统。5.任务实施：基本ACL配置（四）操作步骤S1配置VLAN及VLANIF终端配置网络参数[R1]acl2000[R1-acl-basic-2000]rulepermitsource55

//允许来自/24网段的报文通过[R1-acl-basic-2000]rulepermitsource0

//允许来自的报文通过[R1-acl-basic-2000]ruledenysourceany//拒绝所有[R1-GigabitEthernet0/0/1]traffic-filteroutboundacl2000

//R1的G0/0/1出方向应用R1配置基本ACL：配置静态路由R1配置基本ACL5.任务实施：基本ACL配置（五）实验测试查看ACL配置信息[R1]disacl2000BasicACL2000,3rulesAcl'sstepis5rule5permitsource55(3matches)rule10permitsource0(5matches)rule15deny(5matches)R1查看ACL配置信息

连通性测试5.任务实施：基本ACL配置（五）实验测试查看ACL配置信息连通性测试PC>ping10.2.0.1From:bytes=32seq=1ttl=126time=16msFrom:bytes=32seq=2ttl=126time=16ms......PC1ping财务管理系统PC>ping10.2.0.1Requesttimeout!Requesttimeout!......PC2ping财务管理系统PC>ping10.2.0.1From:bytes=32seq=1ttl=126time=16msFrom:bytes=32seq=2ttl=126time=16ms......PC3ping财务管理系统5.任务实施：基本ACL配置R1在连接财务管理系统的接口G0/0/1的出方向部署基本ACL，只放行财务部网段和总经理主机地址，实现了除财务部和总经理主机外，其他部门无法访问财务管理系统的需求。（六）结果分析基本ACL只能基于源IP进行规则制定，可控性差，通常和其它技术如NAT配合使用；基于简化流策略的ACL在应用时，要注意应用方向；简化流策略默认动作允许所有，所以在规则制定时应有deny语句，否则相当于无策略。（七）注意事项5.任务实施：基本ACL配置Module4网络安全技术《网络互联技术》任务4.4

高级ACL配置高级ACL高级ACL配置命令基本ACL只能基于源IP地址进行规则的定义，通过基本ACL抓取的流量范围过大或不够具体，使其在流量过滤的应用中存在诸多局限，基本ACL通常不单独部署应用，而是结合其它技术如NAT、登录认证等使用。高级ACL可以对流量进行精准定义，是网络中进行流量控制的首选。本次任务主要介绍高级ACL配置方法。任务背景准备知识1.高级ACL高级ACL可根据源IP地址、目的IP地址、IP协议类型、TCP源/目的端口、UDP源/目的端口号、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。高级ACL比基本ACL提供了更准确、丰富、灵活的规则定义方法。常见的规则定义类型：源/目的IP地址：抓取从某个源IP地址/地址段到某个目的IP地址/地址段的报文流量，流量的抓取基于IP数据包，不考虑流量的具体业务类型，因此抓取的流量相对宽泛。TCP/UDP端口号：当协议类型指定为TCP或UDP时，可以基于TCP/UDP的源/目的端口号定义规则。以便更加具体地针对服务应用来抓取的流量。在端口号的指定上有以下4种方式：eqport：等于源/目的端口；gtport：大于源/目的端口；ltport：小于源/目的端口；rangeport-startport-end：指定源/目的端口的范围。port-start是端口范围的起始，port-end是端口范围的结束。IP承载的协议类型：基于IP报文承载的协议类型进行过滤。常用的协议类型包括：ICMP（协议号1）、TCP（协议号6）、UDP（协议号17）、GRE（协议号47）、IGMP（协议号2）、OSPF（协议号89）等。（1）配置高级ACL规则（ICMP|IP）命令：rule[rule-id]{deny|permit}{icmp

|

ip}[source{source-addresssource-wildcard

|any}|destination{destination-addressdestination-wildcard|any}

]视图：ACL视图举例：路由器R1配置ACL

3000，不允许/24网段主机ping/24网段主机，允许其它所有流量通过。2.高级ACL配置命令[R1]acl3000[R1-acl-adv-3000]rule5denyicmpsource55destination55[R1-acl-adv-3000]rule10permitipsourceanydestinationany（2）配置高级ACL规则（TCP|UDP）命令：rule[rule-id]{deny|permit}{tcp

|

udp}[source{source-addresssource-wildcard

|any}|source-porteqport