网络拓扑结构 一、分析: 1-组成:2台二层交换机,1台物理层的HUB,6台PC机 2-构成:在该拓扑中没有划分VLAN信息,所有PC机都在一个VLAN1信息中; 3-配置:规划IP地址,192.168.10.0/24 4-主题:是局域网安全的配置 (1)配置特权密码; (2)配置远程登录密码【①最安全的状态就是不连接外网;②不开启远程登录功能】; (3)存在的问题:就是内部网络的安全; (4)关闭不必要的端口; (5)物理设备的安全; (6)交换机端口的接入安全; 二、要求: 1-网络设备的基本配置——设备名; 2-每台网络设备的用户名和密码; 3-配置特权密码和远程登录密码【本地账号和密码进行登录】 4-配置设备的管理IP地址【一般情况下,在企业中都会存在一个专门用于管理的IP地址;在企业中也会有一个专门的网络管理服务器,负责对网络中的所有设备进行远程管理。】; 5-启用端口安全,配置端口的安全; 三、步骤: 1-配置网络设备的IP地址,子网掩码和网关; 说明:该网络中有存在网关么?【没有,因为我们的网络中没有三层的网络设备,所有可以先规划网关,先配置网关,但是在该网络中网关是没有任何作用的。】 【以PC0为例】 其它的PC机的配置,只是IP地址不同【在网络中不能存在两个完全一样的IP地址】,其他的子网掩码和网关都是不变的。 2-测验网络的连通性; 在没有划分VLAN的情况下【在同一个局域网范围内,所有PC机都能够相互访问】 3-网络设备的基本配置——设备名 说明:HUB属于非智能设备,是不能够对该设备进行配置的。 4-每台网络设备的用户名和密码 【①在网络的配置中,一般情况下,每台网络设备都有自己的设备名和密码,而且是不能够相同的;②在实际工作中,对于网络设备的配置要有相应的文档,在文档中必须要写明网络设备的具体配置和实训的功能;】 sw1(config)#username sw1 secret sw1 Sw2(config)#username sw2 secret sw2 【在实际工作中,设备名在规划的时候,要有一定的意义,要列表,说明每个字母的含义】 5-网络设备在企业中的命名规则 基本格式:公司简称+业务模块+位置+设备型号+编号 (1)公司简称:公司的首字母或特权的字母为主,必须能够代表公司的含义; (2)业务模块:例如分为Data、Voice;或者按部门划分,如IT(网络管理)、HR(人事部)等等。之所以要把“业务模块”放在第二位,主要是为方便网管系统按照业务模块汇总数据, (3)位置:广域网自然用城市缩写,局域网可以用楼层之类的。 (4)设备型号:路由器用R开头,交换机用S开头,如:R3845、S2950等等。 (5)编号:路由器可以用A、B……,交换机一般数量比较多可以用01、02、03…… (6)各模块之间可以用下划线或减号连接。 (7)举几个例子:PA_IDC_BJ_R7304_A;HW_IT_3F_S2950_0; 转载于:https://blog.51cto.com/baiyangwyp/128396 6-设置特权密码 sw1(config)#enable secret sw1 Sw2(config)#enable secret sw2 【secret】是加密的秘钥,加密后的密码在网络设备中的显示为【enable secret 5 $1$mERr$PhR2dVbINCAD0O1hhjwx0. 7-设置远程登录密码 Sw1(config)#lin vty 0 4 Sw1(config-line)#login local //使用本地用户名和密码作为远程登录的方式 Sw2(config)#lin vty 0 4 Sw2(config-line)#login local //使用本地用户名和密码作为远程登录的方式 8-启动网络设备自带的加密命令 说明:在思科的网络设备中,系统自带了一个加密的口令,为未加密的信息进行加密; sw1(config)#service password-encryption Sw2(config)#service password-encryption 9-配置设备的管理IP地址 说明:在该网络中,我们没有规划专门的网络管理IP地址,所有使用网络设备的统一地址作为管理网段; sw1(config)#int vlan 1 sw1(config-if)#ip add 192.168.10.200 255.255.255.0 sw1(config-if)#no shut Sw2(config)#int vlan 1 Sw2(config-if)#ip add 192.168.10.201 255.255.255.0 Sw2(config-if)#no shut 10-关闭不必要的端口 sw1(config)#int range f0/4-24,g0/1-2 sw1(config-if-range)#shutdown Sw2(config)#int range f0/5-24,g0/1-2 Sw2(config-if-range)#shutdown 11-测试:网络管理的可用性 12-端口安全的原理 (1)默认情况下:端口安全的功能是关闭的; sw1(config-if)#switchport port-security ? aging Port-security aging commands mac-address Secure mac address //MAC地址,即要将哪个终端设备的MAC地址绑定在该接口上; maximum Max secure addresses //规定该接口能够连接终端设备的最大数。 violation Security violation mode //规则:当该接口的设置超出或不符合设备的配置时,该设备采取的操作。
(2)switchport port-security aging 该命令为一个接口上的所有安全地址配置老化时间。打开这个功能,就需要设置安全地址的最大个数,这样,就可以让设备自动的增加和删除接口上的安全地址。使用该命令的no选项设置老化时间只应用于自动学习的地址,或者关闭老化功能。 switchport port-security aging {static | time time } no switchport port-security aging {static | time}
(3)switchport port-security maximum 设置端口最大安全地址个数,使用no选项可恢复缺省个数: switchport port-security maximum value [no] switchport port-security maximum
(4)switchport port-security mac-address 接口模式下手工配置静态安全地址,使用no选项删除配置的地址: [no] switchport port-security mac-address mac-address[vlan vlan-id]
(5)show port-security 显示端口安全的设置信息和安全地址。 show port-security [address] [interfaceinterface-id] [all]
(6)switchport protected 该命令是将接口设为保护接口。使用该命令的no选项关闭保护接口。 switchport protected no switchport protected
13-配置静态端口安全 (1)查看PC0机的MAC地址 (2)配置端口安全 sw1(config)#int f0/2 //进入接口 sw1(config-if)#switchport port-security maximum 1 //设置端口的最大连接数是1 sw1(config-if)#switchport port-security mac-address 0090.0C3A.959E //绑定允许通过该端口的终端网络设备 sw1(config-if)#switchport port-security violation shutdown //规划当该设备的接口不满足配置要求时,采取的措施;关闭并发送标识; sw1(config-if)#switchport port-security //启动端口安全 注意:当在配置网络端口安全时,提示如下信息,如何解决 sw1(config-if)#switchport port-security Command rejected: FastEthernet0/2 is a dynamic port. 提示:该接口是一个动态接口,不能配置用于配置端口安全; 解决办法:将该接口的工作模式设置成【access】模式 sw1(config-if)#switchport mode access (3)查看端口安全的配置 sw1#show running-config (4)查看端口安全的信息 (5)查看端口安全的地址 (6)验证端口安全 现象:PC0无法PING通PC1,且F0/2接口出现了关闭的现象; 原因:F0/2端口启动了端口安全的功能,且该端口允许通过的最大地址数是1,但是在该接口上目前存在两个MAC地址,一个是PC0的MAC地址,另一个是接口F0/2本身的地址; 解决:将接口的最大连接数设置为【2】 第一步:利用命令关闭该接口 sw1(config)#int f0/2 sw1(config-if)#shutdown 第二步:利用命令打开该接口 sw1(config)#int f0/2 sw1(config-if)#no shutdown 第三步:改变该接口的最大连接数 sw1(config)#int f0/2 sw1(config-if)#switchport port-security maximum 2 第四步:测试端口安全情况 C:\>PING 192.168.10.2 Reply from 192.168.10.2: bytes=32 time=1ms TTL=128 Reply from 192.168.10.2: bytes=32 time<1ms TTL=128 Reply from 192.168.10.2: bytes=32 time=1ms TTL=128 Reply from 192.168.10.2: bytes=32 time<1ms TTL=128 第五步:查看端口安全信息 说明: 【0090.0C3A.959E】是设备PC0的MAC地址; 【0006.2AAB.2394】是设备SW1的接口F0/2的地址; 14-配置动态端口安全 (1)配置端口安全 sw1(config)#int f0/3 sw1(config-if)#switchport mode access //设置接口的工作模式 sw1(config-if)#switchport port-security maximum 2 //配置接口最大的连接数 sw1(config-if)#switchport port-security violation shutdown //设置接口错误的处理方法 sw1(config-if)#switchport port-security //启动端口安全 (2)查看端口安全的配置情况 sw1#show running-config ...... interface FastEthernet0/3 switchport mode access switchport port-security switchport port-security maximum 2 ..... (3)测验网络安全配置 C:\>ping 192.168.10.3 Reply from 192.168.10.3: bytes=32 time=2ms TTL=128 Reply from 192.168.10.3: bytes=32 time=1ms TTL=128 Reply from 192.168.10.3: bytes=32 time<1ms TTL=128 Reply from 192.168.10.3: bytes=32 time=1ms TTL=128 (4)查看网络安全信息 (5)查看动态端口安全 (6)查看端口的安全配置情况 15、思考题 在拓扑图中,交换机SW2的F0/4接口上,应该配置的最小连接数是多少,才能够满足设置的要求? |
|
来自: Teacher_Lin > 《网络安全技术》