网络安全与工程1).docVIP

计算机网络计算机网络安全与工程专题实验报告 概述 实验时间：2013年12月——2014年1月 实验地点：西一楼二楼网络安全与工程专题实验室 课程目标：基于计算机网络和安全两门理论课程，是培养网络及安全系统能力的综合实践环节。 主要实验内容：组网与接入认证、VLAN的配置与协议分析、防火墙与SSLVPAN实验、ARP协议分析与欺骗防范、TCP协议分析与传输安全、RIP协议分析、OSPF邻居建立及报文交换过程分析。 实验内容 组网与接入认证 实验目的 掌握路由器、交换机进行简单组网的方法，理解其工作原理。 网路接入安全方案设计与实现。 使用设备及软件 路由器1台，交换机2台 实验关键步骤简述 按照实验指导书连接好设备并配置各pc的地址及网关。 配置路由接口地址 实验结果及分析 同一网段之间可以ping通，不同网段之间也可以ping通 同一网段间通过交换机即可通讯，不同网段间通过路由表可以通讯。 遇到的问题及处理 第一次做实验主要更多的问题是对仪器并不熟悉，第一次直观的接触到路由器等设备，慢慢的探索和尝试后基本上都有了解决。 VLAN的配置与协议分析 实验目的 了解VLAN的作用，掌握在一台交换机上划分VLAN的方法和跨交换机的VLAN的配置方法。掌握Trunk端口的配置方法，了解VLAN数据帧的格式、VLAN标记添加和删除过程。 使用设备及软件 DCRS-5650交换机2台。 Ethereal 实验关键步骤简述 A、VLAN的基本配置：连接好设备然后划分VLAN B、Trunk端口配置：在交换机上配置trunk端口 C、设置镜像并截取报文 实验结果及分析 配置vlan2 步骤3 Ping 0 vlan2 ping 不上vlan3 Show running-config 步骤6 Ping 1 PC1 ping PC 3 同一vlan Ping 0 PC1 ping PC 2 不同vlan 步骤10 show running-config 同一VLAN可以通讯，不同VLAN不可通讯。配置trunk端口后都可以通信。VLAN标记值在离开trunk端口时被观察到。配置交换机不同VLAN的接口地址之后不同VLAN间也可以ping通。 分析：根据VLAN技术规定，交换机转发时需确认报文来源，同一VLAN才可以通信，所以不同VLAN不能ping通。加入trunk端口后，具有部分路由器功能，可以实现不同VLAN间通信，同时会添加tag域数据进而被观察到。设置VLAN地址后可以通信是因为交换机不同端口虽然处于不同VLAN但是在同一个设备上所以可以通信。 5、遇到的问题及处理 在端口镜像时注意选择合适的pc捕获报文，为了方便查看特定内容报文可以比对不同pc上的捕获结果来便于筛选结果。 防火墙与SSLVPAN实验 实验目的 本实验利用CISCO ASA5505防火墙设备的SSL VPN技术构建一个虚拟专用网VPN解决企业内部资源的安全访问问题。 使用设备及软件 CISCO ASA5505防火墙1台 HFS 实验关键步骤简述 为CISCO ASA5505划分VLAN和接口 为VLAN分配接口并开启 启用HTTP服务及内网DHCP服务器 在外网口上启动WEBVPN，并同时启动SSL VPN功能 创建SSL VPN用户地址池ssl-user WEB VPN隧道组与策略组的配置 创建SSL VPN用户g5-vpnuser1，赋予访问策略 在内部某个PC上创建测试用的WEB资源服务 在外网PC用SSL VPN接入并下载内部Web资源。 捕获报文并分析 实验结果及分析 查看SSLVPN状态 网内用户可以直接在浏览器中输入提供资源服务的pc机的ip地址进行访问，外网用户通过VPN验证连接也可以访问到该资源。同时资源提供者可以设置各种级别的权限来限制访问者的浏览。 5、遇到的问题及处理 分析报文没有头绪，可以将不同电脑上的报文进行比对，即可迅速找到所有查看的报文。比如讲外网电脑的报文和内网的比较，多出来的部分就包含了准备数据的加密过程。 ARP协议分析与欺骗防范 实验目的 分析ARP协议报文首部格式，分析ARP协议在同一网段内和不同网段间的解析过程。分析ARP欺骗的基础和防范手段。 使用设备及软件 交换机CISCO 3650 Ethereal 实验关键步骤简述 同一网段的ARP协议分析 连接设备配置地址 b、查看arp缓存，并清空 c、使用ping命令，用ethereal截获报文 不同网段的ARP协议分析 为交换机划分VLAN，配置网关和IP地址 清空缓存，使用ping命令，截获报文 C、MAC与IP绑定实验 实验结果及分析