1、项目6 保护网络设备安全(1),项目背景,丰乐公司是家电子商务公司，公司网络核心使用一台三层路由设备，连接几个办公区域子网：一方面实现公司办公网互联互通，另一方面把公司办公网接入Internet网。为了防止公司内部销售数据安全，需要实施内网安全防范措施。为防范内部销售数据泄密，避免每一名销售员工业务数据被其他人共享，禁止销售部所有计算机之间互访，但都可以和一台安装有销售数据库计算机通信，可以正常接入Internet网，以保护销售部终端设备的安全，避免信息泄密安全，隐患发生。,任务一：保障交换机控制台安全任务二：保护交换机端口安全任务三：监控交换机端口通信流量任务四：实施办公网络安全访问控制,项
2、目组成,项目分解,任务一：保障交换机控制台安全,任务描述,张明是丰乐公司电子商务公司的网络管理员，承担公司办公网络的维护和管理工作，避免办公网中所有网络设备故障发生，优化办公网的传输效率。张明上班后，发现网络中心管理的网络设备离办公地点很远，就决定给网络中心的设备配置远程登录功能，这样在办公室中就可以远程管理办公网中设备。通过对本任务的学习、实施，学会配置交换机的登录密码，保护交换机设备安全。,任务分析,网络管理人员如果需要配置、管理办公网中的交换机或路由器设备，可以使用计算机，通过专用的配置线缆，连接网络设备Console口，在本地进行配置。但如果在出差途中时或在远程办公室中，也需要对办公网
3、中设备进行管理和维护，就需要在网络设备上开启远程登录功能。这样网络管理员就可以使用Telnet方式，远程登录设备，实现网络互联设备的远程管理和访问。,知识准备,6.1.1 配置交换机控制台登陆密码,安装在网络中的交换机设备，在默认情况下是没有口令密码保护。如果网络中有用户非法连接到交换机控制口(Console)，就可以像网络管理员一样，任意修改交换机的配置信息，从而给办公网带来安全隐患。从保护网络安全的角度考虑，所有安装在办公网中的交换机，都应当根据管理需要，配置登录保护密码，避免网络安全隐患事件发生。,知识准备,6.1.1 配置交换机控制台登陆密码,知识准备,6.1.2 配置交换机远程登陆密
4、码,远程登录(Telnet)是指一台网络中的计算机根据TCP/IP协议，通过传输线路远程登陆到网络中到另外一台计算机上去，远程控制计算机操作，实行交互性的信息资源共享。配置网络设备的远程登录功能,知识准备,6.1.2 配置交换机远程登陆密码,配置网络设备的远程登录功能,任务实施,【实施过程】步骤一、组建网络场景如图6-1-7所示场景，为张明办公地点和远程交换机设备连接场景，需要登录交换机设备配置交换机远程登录功能。按照拓扑结构连接办公中的网络设备，注意接口连接的标识。,任务实施,步骤二、配置交换机的远程登录功能1)、配置交换机的管理地址信息Switch#configure terminal S
5、witch(config)#interface vlan 1Switch(config-if)#ip address 192.168.1.1 255.255.255.0Switch(config-if)#no shutdown2)、配置交换机的远程登录密码Switch(config)#enable secret level 1 0 Ruijie3)、配置交换机设备的管理密码Switch(config)#enable secret level 15 0 Ruijie4)、配置交换机的远程登录线程密码Switch(config)#line vty 0 4Switch(config-line)#pa
6、ssword RuijieSwitch(config-line)#login,项目分解,任务2：保护交换机端口安全,任务描述,为了防止公司内部用户IP地址冲突，防止内部员工随意修改办公网IP地址，接入外来主机。从网络安全管理角度出发，张明为每一位员工分配固定的IP地址，并且限制只允许公司允许的计算机才可以接入公司内部网络，不得随意连接其他主机。如为某位员工办公计算机分配的IP地址是172.16.1.5/24，对应其机器MAC地址是0090.210E.55A0。张明从公司内部网络管理的安全性考虑，捆绑该员工办公用计算机IP地址以及MAC地址，到接入交换机的对应的端口上，保护公司内部网络的安全。,
7、任务分析,默认情况下，交换机所有端口都是完全开放，不提供任何安全检查措施，允许所有数据流通过。因此为保护网络内用户安全，对交换机的端口增加安全访问功能，可以有效保护网络安全。捆绑计算机IP地址及MAC地址到交换机端口上，需要实施交接端口安全，只允许特定MAC地址设备接入到网络中，防止非法或未授权设备接入网络。,知识准备,6.2.1 什么是交换机端口安全,大部分网络攻击行为都采用欺骗源IP或源MAC地址方法，对网络核心设备进行连续数据包的攻击，从而耗尽网络核心设备系统资源，如典型的ARP攻击、MAC攻击、DHCP攻击等。这些针对交换机端口产生的攻击行为，可以启用交换机的端口安全功能来防范。配置端
8、口安全地址在交换机某个端口配置限制访问MAC地址以及IP（可选），可以控制该端口上数据安全输入。当交换机端口配置端口安全功能后，设置包含有某些源地址数据是合法，除了源地址为安全地址的数据包外，这个端口将不转发其他任何包，如图6-2-1所示。,知识准备,6.2.2 配置端口最大连接数,常见交换机端口安全是根据交换机端口连接设备MAC地址，实施对网络流量的控制和管理：如限制端口上MAC地址最多连接数，限制终端用户非法使用集线器设备，随意扩展接入内部网络的连接数量，造成网络中流量的不可控制，增大网络的负载。要使交换机端口成为一个安全端口，需要在端口模式下，启用端口安全特性：switchport po
9、rt-security启用端口安全特性后，使用如下命令为端口配置允许最多安全地址数：switchport port-security maximum number默认情况下，端口的最多安全地址个数为128个。,知识准备,6.2.3 配置端口安全地址,当需要手工指定静态安全地址时，使用如下命令配置：switchport port-security mac-address mac-address默认情况下，手工配置安全地址将永久存在安全地址表中。预先知道接入设备的MAC地址，可以手工配置安全地址，以防非法或未授权的设备接入到网络中。当主机的MAC地址与交换机连接端口绑定后，交换机发现主机MAC地址
10、与交换机上配置MAC地址不同时，交换机相应的端口将执行违例措施：如连接端口Down掉。在交换机上配置端口安全地址的绑定操作，通过以下命令和步骤手工配置。Switchport port-security mac-address mac-address ip-address ip-address!手工配置接口上的安全地址。Switch(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1!配置端口的安全MAC地址。Switchport port-security maximum 1!限制端口允许通过MAC地址数为1。,任务实施,如图6-2-5所示的网络拓扑，是丰乐公司办公网络场景。为了防止公司内部员工的IP地址冲突，避免网络安全事时间发生，实施接入计算机IP地址、MAC地址和交换机端口绑定安全，保护公司内部网络接入安全。,任务实施,工作过程：步骤1：安装网络工作环境步骤2：IP地址规划步骤3：测试网络连通性步骤4：配置交换机端口安全步骤5：查看验证,Thank You!,
