第8章-网络安全.ppt

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,第八章网络安全,讲师：韩立刚,MSN:onesthan,8.1,网络安全简介,8.2,访问控制列表,8.3,基于时间的访问控制列表,8.4,使用,ACL,降低安全威胁,8.5 ACL,的位置,第八章 网络安全,在讲解在路由器上实现网络层安全之前，先给大家从广义上介绍一下网络安全涉及的范围。,8.1,网络安全简介,大家在工作中可能会听到这样的词“物理层安全”、“数据链路层安全”、“网络层安全”、“应用层安全”，这些都是根据,OSI,参考模型的分层来说的。,下面针对,OSI,参考模型的层举一些安全的例子。,1.,物理层安全,通过网络设备进行攻击：例,Hub,和无线,AP,进行攻击。,物理层安全措施,：使用交换机替代,Hub,，给无线,AP,配置密码实现无线设备的接入保护和实现数据加密通信。,8.1.1,从,OSI,参考模型来看网络安全,2.,数据链路层安全,数据链路层攻击举例：恶意获取数据或,MAC,地址，例如,ARP,欺骗、,ARP,广播等等。,数据链路层安全措施举例,：在交换机的端口上控制连接计算机的数量或绑定,MAC,地址或在交换机上划分,VLAN,也属于数据链路层安全。,ADSL,拨号上网的账号和密码实现的是数据链路层安全。,3.,网络层安全,网络层攻击举例：,IP Spoofing,（,IP,欺骗）、,Fragmentation Attacks,（碎片攻击）、,Reassembly attacks,（重组攻击）、,PING of death,（,Ping,死攻击）。,网络层安全措施举例,：在路由器上设置访问控制列表和,IPSec,、在,Windows,上实现的,Windows,防火墙和,IPSec,8.1.1,从,OSI,参考模型来看网络安全,4.,传输层安全,传输层攻击举例：,Port Scan,（端口扫描）、,TCP reset attack,（,TCP,重置攻击）、,SYN DoS floods,（,SYN,拒绝服务攻击）、,LAND attack,（,LAND,攻击）、,Session hijacking,（会话劫持）,5.,应用层安全,应用层攻击举例：,MS-SQL Slammer worm,缓冲区溢出、,IIS,红色警报、,Email,蠕虫、蠕虫，病毒，木马、垃圾邮件、,IE,漏洞。,安全措施：,安装杀毒软件，更新操作系统。,8.1.1,从,OSI,参考模型来看网络安全,一种典型的网络架构为如图所示的,三向外围网,，防火墙设备连接,Internet,、内网和,DMZ,区。,DMZ,区部署了公司的对外的,Web,和,Mail,服务器，一般是公网,IP,地址。内网是私网,IP,地址，一般不对,Internet,用户提供服务，但是需要访问,Internet,。,8.1.2,典型的安全网络架构,另外一种典型的网络架构就是,背靠背防火墙,，如图所示，两个防火墙之间是,DMZ,区，内网在后端防火墙后端。建议这两个防火墙不是同一家公司的产品，这样入侵者要想入侵内网，就需要突破两个不同厂商的防火墙，增加了难度。,8.1.2,典型的安全网络架构,图,8-2,背靠背防火墙,8.1.2,典型的安全网络架构,防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。,1.,数据包过滤,数据包过滤（,Packet Filtering,）技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表（,Access Control List,）。,数据包过滤又称为网络级别防火墙，网络级别的防火墙很快，但是不能基于数据包的内容过滤数据。,8.1.3,防火墙种类,2.,应用级网关,应用级网关（,Application Level Gateways,）是在网络应用层上建立协议过滤和转发功能，实际中的应用网关通常安装在专用工作站系统上。,数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。,8.1.3,防火墙种类,3.,代理服务,代理服务,(Proxy Service),也称链路级网关或,TCP,通道（,Circuit Level Gateways or TCP Tunnels,。它特点是将所有跨越防火墙的网络通信链路分为两段。防火墙内外计算机系统间应用层的“链接“，由两个终止代理服务器上的“链接”来实现，外部计算机的网络链路只能到达代理服务器，从而起到了隔离防火墙内外计算机系统的作用。此外，代理服务也对过往的数据包进行分析、注册登记，形成报告，同时当发现被攻击迹象时会向网络管理员发出警报，并保留攻击痕迹。,国内代理服务器软件有,CCProxy,，微软的代理服务器软件,ISA2006,防火墙能有效地防止外来的入侵,8.1.3,防火墙种类,IP,大多与生俱来就是不安全的，让我们来分析一些常见的攻击。,1.,应用层攻击,这些攻击通常瞄准运行在服务器上的软件漏洞，比如服务器运行,FTP,、,Mail,、,HTTP,服务都有可能有漏洞。,2.Autorooters,它像一种黑客机器人，恶意者使用它来探测、扫描并从目标机器上捕获数据，装了,rootkit,后的目标机像是在整个系统中装了“眼睛”一样，自动监视着整个系统。,8.1.4,常见的安全威胁,3.,后门程序,通往一个计算机或网络的简洁的路径。经过简单入侵或是经过更精心设计的特洛伊木马代码，恶意者可使用植入攻击进人一台指定的主机或是一个网络，无论何时它们都可进入,除非你发觉并阻止它们，就是这样,!,8.1.4,常见的安全威胁,4.,拒绝服务（,DoS,）和分布式拒绝服务器（,DDoS,）,攻击,TCP SYN,泛洪攻击 发生在一个客户端发起表面上普通的,TCP,连接并且发送,SYN,信息到一台服务器时，这台服务器通过发送,SYN-ACK,信息到客户端进行响应，这样就通过往返,ACK,信息建立连接。当连接仅有一半打开的时候，受害的机器将完全被蜂拥而至的半打开连接所淹没，最终导致瘫痪。,“死亡之,ping,”攻击 这种攻击通过使用大量数据包进行,ping,操作来实行，这些数据包可导致设备不间断地重启、停滞或是完全崩溃。,8.1.4,常见的安全威胁,5.IP,欺骗,恶意者从你的网络内部或外部，以你的内部网络可信地址或者使用可信的外部,IP,地址，来伪装成一台可信的主机。,6,、中间人攻击,是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为“中间人”。然后入侵者把这台计算机模拟一台或两台原始计算机，使“中间人”能够与原始计算机建立活动连接并允许其读取或修改传递的信息，然而两个原始计算机用户却认为他们是在互相通信。,8.1.4,常见的安全威胁,7.,网络侦察,在侵人一个网络之前，黑客经常会收集所有关于这个网络的信息，因为他们对这个网络知道得越多，越容易对它造成危害。他们通过类似端口扫描、,DNS,查询、,ping,扫描等方法实现他们的目标。,8.,包嗅探,网络适配卡开始工作于混杂模式，它发送的所有包都可以被一个特殊的应用程序从网络物理层偷取，并进行查看及分类，包嗅探常偷取一些价值高、敏感的数据，其中包括口令和用户名，在实施身份盗取时能获得超值的信息。,8.1.4,常见的安全威胁,9.,口令攻击,这种攻击有许多方式，可经由多种较成熟类型的攻击实现，这些攻击包括,IP,欺骗、包嗅探以及特洛伊木马，它们唯一的目的就是发现用户的口令，小偷就可以伪装成一个合法的用户，访问用户的特许操作及资源。,10.,强暴攻击,另一种面向软件的攻击，使用运行在目标网络的程序尝试连接到某些类型的共享网络资源。如果访问账户拥有很多特权，这些恶意者就可以开启后门，再次访问就可以完全绕过口令。,11.,端口重定向攻击,这种方法要求黑客已经侵人主机，并经由防火墙得到被改变的流量。,8.1.4,常见的安全威胁,12.,特洛伊木马攻击和病毒,特洛伊木马和病毒都使用恶意代码感染用户机器，使得用户机器遭受不同程度的瘫痪、破坏甚至崩溃。,病毒和特洛伊木马的区别在于，特洛伊木马是一个封装了秘密代码的真正完整的应用程序，这些秘密代码使得它们呈现为完全不同的实体，表面上像是一个正常程序，但具有破坏的本质。,13.,信任利用攻击,这种攻击发生在内网之中，由某些人利用内网中的可信关系来实施。例如，一个公司的非军事网络连接中通常运行着类似,SMTP,、,DNS,以及,HTTP,服务器等重要的东西，一旦和它们处在同一网段时，这些服务器很容易遭受攻击。,8.1.4,常见的安全威胁,路由器不但能够在不同网段转发数据包，而且还能够基于数据包的目标地址、源地址、协议和端口号来过允许特定的数据包通过或拒绝通过。,要实现这样的控制需要在路由器定义访问控制列表（,ACL,），并将这些,ACL,绑定到路由器的接口。,下面介绍两种类型的访问控制列表，即标准访问控制列表和扩展访问控制列表。,8.2,访问控制列表,这种访问列表只基于,IP,数据包的源,IP,地址作为转发还是拒绝的条件。所有决定是基于源,IP,地址的。这意味着标准的访问列表基本上允许或拒绝整个协议组。它们不区分,IP,流量类型，例如,Telnet,、,UDP,等服务。,打开第,8,章练习“,01,标准访问控制列表,.pkt,”，网络拓扑如图所示，网络中的路由器和计算机的,IP,地址已经按照拓扑中的标识地址配置完成，路由器上已经配置了相应的路由。,Router0,是企业内网的路由器，内网有三个网段，,Router1,模拟的是,Internet,上的路由器。,要求：只允许市场部和财务部的计算机访问,Internet,，服务器组的计算机拒绝访问,Internet,。,8.2.1,标准访问控制列表,实验步骤参照课本,8.2.1,标准访问控制列表,router(congfig)#access-list 10 permit 192.168.1.0 0.0.0.255,将,ACL 10,绑定到,router0,的,S3/0,出口：,router(congfig)#inter serial 3/0,router(congfig)#ip access-group 10 out,router(congfig)#exit,在,Router0,创建,ACL,。,Router#conf t router(congfig)#access-list 10 deny host 192.168.2.2router(congfig)#access-list 10 permit 192.168.2.0 0.0.0.255,8.2.1,标准访问控制列表,继续以上的实验。,上面的实验已经在,Router0,配置了标准的访问控制列表,10,，只允许市场部和财务部的计算机能够访问,Internet,，但是拒绝市场部计算机,PC7,访问,Internet,。,8.2.2,修改现有的,ACL,总结：,1.,组织好访问列表，要将更加具体的地址或网段放在访问列表的最前面。,2.,任何时候访问列表添加新条目时，将把新条目放置到列表的末尾。强烈推荐使用文本编辑器编辑访问列表。,3.,不能从访问列表中删除一行。如果试着这样做，将删除整个列表。最好在编辑列表之前将访问列表复制到一个文本编辑器中。只有使用命名访问列表时例外。,8.2.2,修改现有的,ACL,打开第,8,章练习“,02,扩展访问控制列表,.pkt,”，网络拓扑如图,要求：在,Router0,上定义扩展,ACL,实现以下功能,1.,允许市场部计算机能够访问,INTERNET,2.,允许财务部计算机只能访问,Internet,的,10.0.0.0/8,网段的,Web,服务器,3.,服务器组中的计算机能够,ping,通,Internet,的任何计算机,8.2.3,扩展访问控制列表,实验步骤参照课本,router(congfig)#access-list 101 permit icmp 192.168.0.0 0.0.0.255 any,将扩展访问控制列表绑定到,router0,的接口：,Router,（,config,）,#inter serial 3/0,Router(config-if)#ip access-group 101 out,在,router0,上创建扩展访问控制列表,router#conf t router(congfig)#access-list 101 permit ip 192.168.2.0 0.0.0.255 any router(congfig)#access-list 101 permit tcp 192.168.1.0 0.0.0.255 10.0.0.0 0.255.255.255 eq 80,打开第,8,章练习“,03,使用,ACL,保护路由器安全,.pkt,”，网络拓扑如图所示，路由器和计算机的,IP,地址已经按照图示的地址配置，且路由器已经配置,telnet,密码和,enable,密码，分别为,hanlg,和,todd,。现在任何一个计算机都可以,telnet,路由器。,为了安全起见，你需要在,Router0,创建标准的访问控制列表，只允许,ITG,部门的计算机能够,telnet,路由器。,8.2.4,使用访问控制列表保护路由器,步骤,1,、在,PC7,上,TELNET,路由器，你发现只要输对了密码就能,TELNET,成功。,PCtelnet 192.168.2.1,2,、在,Router0,上创建标准的,ACL,Router(config)#access-list 12 permit 192.168.1.0 0.0.0.255-,定义,ACL,Router(config)#line vty 0 15-,进入,VTY,虚接口,Router(config-line)#access-class 12 in-,绑定,ACL,3,、验证只有,ITG,部门的计算机能够,telnet,到路由器,PC7telnet,路由器，,PC2 telnet,路由器。,PCtelnet 192.168.2.1,8.2.4,使用访问控制列表保护路由器,扩展访问控制列表可以和时间段结合来过滤流量上网。比如：我要在路由器上面设置时间段：周一到周五,9:00-12:00,和,14:00-18:00,在这段时间里面员工能访问,Internet,，周六周日只能访问,Internet,的,Web,站点和,DNS,域名解析的流量通过。,基于时间的访问控制列表在,Packet tracer,软件中的路由器不支持。使用,Dynamips,软件进行基于时间的访问控制列表的实验。路由器,RA,、,RB,和,RA,的连接如图所示。按照图示的,IP,地址规划将路由器的接口配置,IP,地址，并且在路由器上添加了路由表，使整个网络是畅通的。,RB,模拟的是连接内网和,Internet,的防火墙路由器。以下所有的操作在路由器,RB,上。,8.3,基于时间的访问控制列表,实验步骤参照课本,你需要查看路由器现在的时间，如果不对，应该先配置路由器的时间，然后创建时间段，给访问控制列表指定时间段。,RB#show clock -,显示路由器上当前时间,10:25:32.955 UTC Mon Nov 15 2010 -,当前时间是,2010,年,11,月,15,日,10,点,25,分,32,秒。,Mon,是,Monday,（星期一）的缩写，,Nov,是,November,（,11,月）的缩写，,UTC,代表,Coordinated Universal Time(,协调世界时,),RB#clock set 10:49:23 15 Nov 2010 -,将时间设置为,2010,年,11,月,15,日，,10,点,49,分,8.3.1,查看和设置路由器时间,8.3.2,定义时间段,如图,8-8,所示：定义一个工作时间段,work-time,，周一到周五的,8:00-12:00,、,14:00-18:00,。定义一个,weekend-time,，周六周日全天。,图,8-8,定义时间段,8.3.2,定义时间段,如图,8-9,所示，,Weekdays,代表周一到周五。,图,8-10,查看定义的时间段,Weekend,代表周六周日两天。,以下命令查看定义的时间段，如图,8-10,所示。,图,8-9,定义时间段,8.3.3,在,ACL,中使用时间,在创建扩展访问控制列表可以指定时间创建的时间段，在你指定的时间周期内所涉及的任务功能将会执行，这个时间周期依据路由器的时钟，如图,8-11,所示。,图,8-12,查看定义的,ACL,查看刚才定义的扩展,ACL.,，如图,8-12,所示。,图,8-11,在,ACL,中使用时间,将,ACL,绑定到接口，如图,8-13,所示。,图,8-13,将,ACL,绑定到接口,以下实验使用,Dynamips,软件实现，打开虚拟机中第,8,章 网络安全文件夹，运行,RA.bat,、,RB.bat,和,RC.bat,。路由器的连接拓扑如下图所示，内网有三个网段,192.168.0.0/24,、,192.168.1.0/24,和,192.168.2.0/24,，,Internet,用,131.107.0.0/24,和,131.107.1.0/24,两个网段来模拟，路由器,RB,连接,Internet,和内网。网络中的路由器的,IP,地址和路由表已经配置完成。运行,Dynamips,软件的虚拟机和,RA,相连，就是图中的,PC0,。,将在,RB,路由器配置,ACL,用以消除以下威胁。,IP,地址欺骗入站；,IP,地址欺骗出站；,DoS TCP SYN,攻击阻塞外部攻击；,DoS TCP SYN,攻击使用,TCP,拦截；,DoS Smurf,攻击；,过滤,ICMP,消息入站；,过滤,ICMP,消息出站；,过滤路由跟踪。,8.4,使用,ACL,降低安全威胁,8.4,使用,ACL,降低安全威胁,以下将会针对每一种网络攻击创建一个,ACL,，网络拓扑如图所示，如果你打算在一个,ACL,中针对多种网络攻击进行防范，就需要将下面的,ACL,进行合并，并且需要考虑在,ACL,的顺序。,攻击者经常用来获取网络信息的一种方法是冒充成一个网络中可信的成员。攻击者欺骗数据包中的源,IP,地址，然后发往内部网络。攻击者只需要将数据包中的源,IP,地址改成一个属于内部子网的地址即可。,1.,入站,规则：决不允许任何源地址是内部主机地址或网络地址的数据包进入一个私有的网络。,RB(config)#access-list 150 deny ip 127.0.0.0 0.255.255.255 any log,RB(config)#access-list 150 deny ip 0.0.0.0 255.255.255.255 any log,RB(config)#access-list 150 deny ip 10.0.0.0 0.255.255.255 any log,RB(config)#access-list 150 deny ip 172.16.0.0 0.15.255.255 any log,RB(config)#access-list 150 deny ip 192.168.0.0 0.0.255.255 any log,RB(config)#access-list 150 deny ip 224.0.0.0 15.255.255.255 any log,RB(config)#access-list 150 deny ip host 255.255.255.255 any log,RB(config)#access-list 150 permit ip any any,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 150 in,后面的,log,的作用就是，当数据包应用该策略被拒绝将会在控制台显示。,这个,ACL,拒绝任何来自以下源地址的数据包：,任何本地主机地址（,127.0.0.0/8,）；,任何保留的私有地址；,任何组播,IP,地址（,224.0.0.0/4,）。,8.4.1 IP,地址欺骗对策,2.,出站,规则：决不应该允许任何含有非内部网络有效地址的,IP,数据包出站。,RB(config)#access-list 105 permit ip 192.168.0.0 0.0.255.255 any,RB(config)#access-list 105 deny ip any any log,RB(config)#interface serial 2/0,RB(conofig-if)#ip access-group 105 out,。,8.4.1IP,地址欺骗对策,应对,DoS TCP SYN,攻击有两种方法：阻塞外部访问，或者使用,TCP,拦截。,1.,阻塞外部访问,DoS TCP SYN,攻击会向内部网络发送大量数据包，企图淹没接收节点的连接队列。,RB(config)#access-list 109 permit tcp any 192.168.0.0 0.0.255.255 established,RB(config)#access-list 109 deny ip any any log,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 109 in,这个,ACL,允许来自外部网络的对源自内部网络的请求的响应，拒绝任何从外部网络发起的,TCP,连接。,8.4.2 DoS TCP SYN,攻击对策,2.,使用,TCP,拦截,TCP,拦截（,TCP Intercept,）是一种防止内部网络主机遭受外部,TCP SYN,攻击的工具。如下的,ACL,只允许可达的外部主机发起对内部主机的,TCP,连接，阻塞来自不可达主机的数据包。,RB(config)#ip tcp intercept list 110-,在访问控制列表,110,上启用,TCP,拦截,RB(config)#access-list 110 permit tcp any 192.168.0.0 0.0.255.255,RB(config)#access-list 110 deny ip any any log,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 110 in,TCP,拦截（,TCP intercept,）监视,TCP,分组，判断在被请求的连接是否没有完成。如果,TCP,的连接请求来自一个不可达或者欺骗性的源地址，那么就可能出现拒绝服务（,Denial-of-Service,，,DOS,）攻击，目标服务器留下了大量打开一半的连接，最终会用光内存。,8.4.2 DoS TCP SYN,攻击对策,拦截配制,(1),使用扩展的访问列表识别,TCP,连接请求,(2),使用访问列表触发,TCP,拦截,(global)ip tcp intercept list acc-list-number,(3),设定,TCP,拦截模式，,intercept,为主动，,watch,为被动,(global)ip tcp intercept mode intercept|watch,(4),调节,TCP,拦截行为,设定丢弃模式,oldest,丢弃超时时间最长的（默认），,random,随机丢弃。,(global)ip tcp intercept drop-mode oldest|random,8.4.2 DoS TCP SYN,攻击对策,Smurf,攻击是向一个路由器子网广播地址发送大量的,ICMP,包，,IP,地址伪装成属于这个子网。以下例子目的是防止转发广播，杜绝,Smurf,攻击。,RB(config)#access-list 111 deny ip any host 192.168.0.255 log,RB(config)#access-list 111 deny ip any host 192.168.1.255 log,RB(config)#access-list 111 deny ip any host 192.168.2.255 log,RB(config)#access-list 111 deny ip any host 192.168.0.0 log,RB(config)#access-list 111 deny ip any host 192.168.1.0 log,RB(config)#access-list 111 deny ip any host 192.168.2.0 log,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 111 in,这个,ACL,过滤了所有发往特定广播地址的,IP,数据包。,8.4.3 DoS Smurf,攻击对策,1.,入站,ICMP Echo,数据包可用来发现子网和受保护网络中的主机，也能用来实施,DoS,攻击。,ICMP,重定向消息可用来更改主机路由选择表。无论是,ICMP Echo,还是重定向消息，都应该被路由器做入站阻塞。,RB(config)#access-list 112 deny icmp any any echo log,RB(config)#access-list 112 deny icmp any any redirect log,RB(config)#access-list 112 deny icmp any any mask-request log,RB(config)#access-list 112 permit icmp any 192.168.0.0 0.0.255.255,RB(config)#interface serial 2/0,RB(config)#ip access-group 112 in,8.4.4,过滤,ICMP,消息,2.,出站,下列,ICMP,消息用作网管，应该允许出站：,回声（,Echo,）允许用户,ping,外部主机；,参数问题（,Parameter problem,）通知主机数据包头问题；,数据包太大（,Packet too big,）需要,MTU,发现；,源队列（,Source quench,）必要时遏制流量。,应该阻止其他,ICMP,消息出站。,RB(config)#access-list 114 permit icmp 192.168.0.0 0.0.255.255 any echo,RB(config)#access-list 114 permit icmp 192.168.0.0 0.0.255.255 any parameter-problem,RB(config)#access-list 114 permit icmp 192.168.0.0 0.0.255.255 any packet-too-big,RB(config)#access-list 114 permit icmp 192.168.0.0 0.0.255.255 any source-quench,RB(config)#access-list 114 deny icmp any any log,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 114 out,8.4.4,过滤,ICMP,消息,3.,路由跟踪,路由跟踪（,traceroute,）特性是通过一些,ICMP,消息类型去实现的。路由跟踪会显示数据包从源到目的地所经过的路由器节点的,IP,地址。攻击者可以利用对路由跟踪,ICMP,消息的响应来刺探子网和受保护网络的主机。,应该阻止所有入站和出站的路由跟踪,UDP,消息。,RB(config)#access-list 120 deny udp any any range 33400 34400 log,RB(config)#interface serial 2/1,RB(config-if)#ip access-group 120 in,RB(config)#access-list 121 permit udp 192.168.0.0 0.0.255.255 any range 33400 34400 log,RB(config)#interface serial 2/0,RB(config-if)#ip access-group 121 in,8.4.4,过滤,ICMP,消息,1.TRIN00,下面例子演示了如何阻塞,TRIN00 DDoS,攻击，需要阻塞的端口流量有：,TCP,1524,（,Ingress Lock,）；,TCP,27665,（未分配）；,UDP,31335,（未分配）；,UDP,27444,（未分配）。,RB(config)#access-list 190 deny tcp any any eq 1524 log,RB(config)#access-list 190 deny tcp any any eq 27665 log,RB(config)#access-list 190 deny udp any any eq 31335 log,RB(config)#access-list 190 deny udp any any eq 27444 log,8.4.5 DDoS,对策,2.Stacheldraht,下面例子演示了如何阻塞,Stacheldraht DDoS,攻击，需要阻塞的端口流量有：,TCP,16660,（未分配）；,TCP,65000,（未分配）。,RB(config)#access-list 190 deny tcp any any eq 16660 log,RB(config)#access-list 190 deny tcp any any eq 65000 log,8.4.5 DDoS,对策,3.Trinity V3,下面演示了如何阻塞,Trinity V3 DDoS,攻击，需要阻塞的端口流量有：,TCP,33270,（未分配）；,TCP,39168,（未分配）。,RB(config)#access-list 190 deny tcp any any eq 33270 log,RB(config)#access-list 190 deny tcp any any eq 39168 log,4.Subseven,下面演示了如何阻塞,Subseven DDoS,攻击，需要阻塞的端口流量有：,TCP,范围从,6711,到,6712,（未分配）；,TCP,6776,（未分配）；,TCP,6669,（,IRCU,）；,TCP,2222,（,Rockwell CSP1,）；,TCP,7000,（,AFS2 Fileserver,）。,RB(config)#access-list 190 deny tcp any any range 6711 6712 log,RB(config)#access-list 190 deny tcp any any eq 6776 log,RB(config)#access-list 190 deny tcp any any eq 6669 log,RB(config)#access-list 190 deny tcp any any eq 2222 log,RB(config)#access-list 190 deny tcp any any eq 7000 log,8.4.5 DDoS,对策,将,IP,标准的访问控制列表尽可能放置在靠近目的地址的位置。这是因为我们并不真的要在自己的网络内使用表中的访问控制控制列表。不能将标准的访问控制列表放置在靠近源主机或源网络的位置，因为这样会过滤基于源地址的流量，而造成不能转发任何流量。,将扩展的访问控制列表尽可能放置在靠近源地址的位置。既然扩展的访问控制列表可以过滤每个特定的地址和协议，那么你不希望你的流量穿过整个网络后再被拒绝。通过将这样的列表放置在尽量靠近源地址的位置，可以在它使用宝贵的带宽之前过滤掉此流量。,8.5 ACL,的位置,