單元2網(wǎng)絡(luò)綜合布線系統(tǒng)設(shè)計(jì)單元1網(wǎng)絡(luò)安全系統(tǒng)集成概述目錄單元3網(wǎng)絡(luò)工程設(shè)計(jì)單元5網(wǎng)絡(luò)工程的實(shí)施與測(cè)試驗(yàn)收單元4網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)單元6網(wǎng)絡(luò)系統(tǒng)安全管理

某公司局域網(wǎng)內(nèi)部采用如圖所示的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，假定你是該公司的一名網(wǎng)絡(luò)安全管理員，請(qǐng)你規(guī)劃網(wǎng)絡(luò)安全措施，確保公司局域網(wǎng)內(nèi)部網(wǎng)絡(luò)設(shè)備的安全和網(wǎng)絡(luò)訪問(wèn)安?全。

任務(wù)場(chǎng)景

探究安全訪問(wèn)網(wǎng)絡(luò)設(shè)備的主要技術(shù)措施。

探究增強(qiáng)局域網(wǎng)安全的措?施。

任務(wù)布置

配置健壯的系統(tǒng)密碼（1）配置密碼考慮事項(xiàng)（2）配置安全訪問(wèn)端口密碼4.2.1網(wǎng)絡(luò)設(shè)備安全管理

1．端口安全防護(hù)技術(shù)端口安全特性會(huì)通過(guò)MAC地址表記錄連接到交換機(jī)端口的以太網(wǎng)MAC地址，并只允許某個(gè)MAC地址通過(guò)本端口通信。其他MAC地址發(fā)送的數(shù)據(jù)包通過(guò)此端口時(shí)，端口安全特性會(huì)阻止它。使用端口安全特性可以防止未經(jīng)允許的設(shè)備訪問(wèn)網(wǎng)絡(luò)，并增強(qiáng)安全性。端口安全特性也可用于防止MAC地址泛洪造成MAC地址表填滿。4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

1．端口安全防護(hù)技術(shù)某企業(yè)采用如圖?所示的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，交換機(jī)連接集線器來(lái)擴(kuò)展一個(gè)端口上接入用戶終端的數(shù)量。為了解決這些攻擊帶來(lái)的危害，需要在接入層交換機(jī)上啟用端口安全機(jī)制。4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

1．端口安全防護(hù)技術(shù)（1）將交換機(jī)S1?的Fa0/1-3?端口配置為接入端?口（2）端口安全參數(shù)配置（3）配置安全端口的安全地址（4）配置結(jié)果驗(yàn)?證4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

1．端口安全防護(hù)技術(shù)（1）將交換機(jī)S1?的Fa0/1-3?端口配置為接入端?口（2）端口安全參數(shù)配置（3）配置安全端口的安全地址（4）配置結(jié)果驗(yàn)?證4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

2．DHCPSnooping如圖所示的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，Router?模擬一臺(tái)合法的DHCP服務(wù)器，向用戶PC動(dòng)態(tài)分配IP地址。在交換機(jī)Switch?上規(guī)劃了VLAN5，將端口Fa0/1、Fa0/2?和Fa0/3?劃分至VLAN5?中。網(wǎng)絡(luò)中模擬了一臺(tái)攻擊服務(wù)器接入Switch?的Fa0/3，將造成合法用戶主機(jī)獲取錯(cuò)誤的IP地?址。4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

2．DHCPSnooping（1）網(wǎng)絡(luò)基本配置（2）DHCP服務(wù)配置（3）驗(yàn)證用戶PC獲取的IP地址（4）配置DHCPSnooping

（5）配置結(jié)果驗(yàn)證4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

2．DHCPSnooping（1）網(wǎng)絡(luò)基本配置（2）DHCP服務(wù)配置（3）驗(yàn)證用戶PC獲取的IP地址（4）配置DHCPSnooping

（5）配置結(jié)果驗(yàn)證4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

3．使用?802.1X實(shí)現(xiàn)安全訪問(wèn)控制如圖所示的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，接入層交換機(jī)SW支持?802.1X，RADIUSServer?實(shí)現(xiàn)用戶的集中管理，管理員不必考慮用戶連接到哪個(gè)端口上，因此將與RADIUS服務(wù)器相連的接口配置為非受控端口，以便SW能正常地與RADIUS服務(wù)器進(jìn)行通信，使驗(yàn)證用戶能通過(guò)該端口訪問(wèn)網(wǎng)絡(luò)資源；將與用戶PC相連的端口配置為受控端口，實(shí)現(xiàn)對(duì)用戶的控制，用戶必須通過(guò)驗(yàn)證后才能訪問(wèn)網(wǎng)絡(luò)資?源。4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

3．使用?802.1X實(shí)現(xiàn)安全訪問(wèn)控制（1）配置接口IP地址和主機(jī)IP地址（2）升級(jí)交換機(jī)IOS（3）配置RADIUS服務(wù)器（4）在交換機(jī)上配置?802.1X

（5）驗(yàn)證配置結(jié)果4.2.2內(nèi)部網(wǎng)絡(luò)安全機(jī)制

SW(config)#aaanew-model //啟用AAA功能SW(config)#radius-serverhost1.1.1.1auth-port1645key123456//配置RADIUS服務(wù)器的IP地址、設(shè)置認(rèn)證端口與通信密?鑰SW(config)#aaaauthenticationdot1xdefaultgroupradius //使用默認(rèn)的認(rèn)證方法列表SW(config)#dot1xsystem-auth-control //啟用系統(tǒng)認(rèn)證控制命?令SW(config)#intFa0/2 //選定Fa0/2?端口SW(config-if)#authenticationport-controlauto //啟用?802.1X功能SW(config