模块问题维护排障安全特性.pdfVIP

性

在构建一个安全的网络时，必须考虑所有层和设备的安全性。

•路由器和交换机的必须进行安全加固：

–若网络基础架构(指构成网络的基本组件—路由器和交换机等)本身

是不安全的，那么将危及整个的安全性。

•路由器和交换机能够提供安全服务：

–报文过滤和等功能

–防御系统(IPS，IntrusionPreventionSystem)

–虚拟网(，VirtualPrivateNetwork)

•路由器和交换机可以作为分布式安全系统的一个组成部分。

网络设备安全性

•路由器和交换机在不同平面(管理平面、控制平面、数据平面)都提供

安全特性。

管理平面的安全性

•管理性常用的方法和协议包括：

–命令行

•Console口

•Telnet

•SSH

–基于Web的

•HTTP

•HTTPS

–SNMP

管理平面的安全性(续)

•提高管理平面安全性的常用特性包括：

–使用ACL进行报文和会话过滤

•通用的报文过滤

•特定协议的ACL

–AAA

•简单验证

•TACACS+

•RADIUS

•令牌卡服务

控制平面的安全性

•许多控制平面的协议(例如路由协议、第一跳冗余协议等)都可以使用

验证机制提高安全性。

•生成树协议可以使用诸如RootGuard和BPDUGuard等特性提高安

全性。

•交换机能检测ARP和DHCP流量并的报文。

•在路由器和交换机上可以配置控制平面和控制平面保护特性，保

护设备受到DoS。

数据平面的安全性

•路由器和交换机可以检测并过滤报文

–Accesslist

–VLANaccessmaps

–uRPF(UnicastReversePathForwarding，单播逆向路径转发)

–CiscoIOSFirewall

–IPS

•路由器可以加密并验证流量

–

•路由器和交换机可以控制网络

–NAC(NetworkAdmissionControl，网络准入控制)

–802.1X

性排障的指导

•了解网络的安全策略

•了解网络中配置哪些安全特性来实现这个安全策略

•临时禁用安全特性或允许有助于进行网络故障的诊断，但是你必

须考虑它带来的风险

•进行任何更改前检查安全策略

总结

•回顾路由器和交换机上通常部署的安全特性，并了解它们对网络排

障过程的影响。