分享
 
 
 

ACL技术

王朝other·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

一个动态ACL的案例:

所在的单位有一台路由器将两个以太网段连到了internet上,路由器是通过串行端口0连

到internet上的,而以太网分别通过端口E 0和E 1连到路由器上。假设我们希望允许任

何用户都能通过I P访问1 9 8 . 7 8 . 4 6 . 1 2服务器,并允许2 0 5 . 1 3 1 . 1

7 5 . 0网络上的用户通过We b浏览(h t t p)和F T P访问I n t e r n e t。

useranme test password cisco

!

int serial 0

ip add 175.10.1.1 255.255.255.0

ip access-group 100 in

!

access-list 100 permit tcp any host 175.10.1.1 eq telnet

access-list 100 permit udp any eq 53 205.131.175.0 0.0.0.255 gt 1023

established

access-list 100 permit tcp any eq 21 205.131.175.0 0.0.0.255 gt 1023

established

access-list 100 permit tcp any eq 20 205.131.175.0 0.0.0.255 gt 1023

access-list 100 dynamic test timeout 180 permit ip any host 198.76.46.12 log

!

logging buffered 64000

!

line vty 0 2

login local

autocommand access-enable host timeout 10

line vty 3 4

login local

rotary 1

首先,我们注意到访问表被应用到了串行端口上。将扩展访问表应用到离过滤源最近的

地方,这是一种很好的方法。在本例中,我们的目的是要过滤I n t e r n e t上的主机

,所以串行端口是路由器上离被过滤主机最近的端口。访问表应用的方向是向内的,因

为从路由器的角度看来, I n t e r n e t来的报文是流向路由器的。如果我们将访问

表应用成向外的访问,则过滤的报文将是离开串行接口而通往I n t e r n e t的报文,

而这并非我们所希望的。另外,我们还建立了一个用户名“ t e s t”,它可以用来访

问路由器。在实际应用中,我们应该为每个用户建立一对用

户名和口令。现在,让我们再分析访问表的每一个表项。

第一个表项允许从任何源I P地址来的报文到达主机1 7 5 . 1 0 . 1 . 1,如果其目标

端口为t e l n e t(2 3)的话。这样,我们实际上允许了向内的t e l n e t连接到路

由器的串行接口。我们可以允许向内的t e l n e t,连接到路由器的其他I P地址,但

只允许向内访问路由器的串行接口是一种最佳的选择。

第二个表项允许从任何源I P地址来的报文,如果其源端口是域名系统( domain

namesystem, DNS)(UDP 53),且目标网络位于2 0 5 . 1 3 1 . 1 7 5 . 0 / 2 4,

目的端口大于1 0 2 3的话。这将允许D N S应答到达2 0 5 . 1 3 1 . 1 7 5 . 0 / 2

4网络。所有有效D N S请求的源端口应该为1 0 2 4或更大,因此有效D N S的应答就应

发送到此1 0 2 4或更高的端口。如果我们不指定目的端口大于1 0 2 3,则攻击者可以

从源端口5 3发送U D P报文到达我们的网络,从而导致对内部服务器的拒绝服务(denia

l-of-service, DOS)攻击。大量的服务器端口都处于小于1 0 2 4的保留区间内,所以

我们应阻塞目的端口小于1 0 2 4的报文,以关闭潜在的安全漏洞。

第三和第四个表项允许具有如下特征的报文进入:源端口为W W W(TCP 80 )或F T P(

TCP 21),目标位于2 0 5 . 1 3 1 . 1 7 5 . 0 / 2 4网络,目标端口大于1 0 2 3,

且T C P头中设置了A C K和R S T位。这两个表项允许由内部主机发起的W W W和F T P会

话的返回报文。指定源端口和目的端口的原因与第二个表项相同。使用e s t a b l i

s h e d意味着只有设置了应答位( A C K)和复位位(R S T)的报文才能够匹配并允

许通过访问表项。只有那些已经建立了T C P会话的报文才会设置这些位,这样增加了访

问表的安全层次。值得注意的是,攻击者很容易在向内的报文中手工设置这些位,所以

这种检测是十分简单的。但是,如果内部网络采用正确的T C P / I P协议栈,

它们就会忽略这些带A C K和R S T位的向内报文,因为它们不是主机上合法的T C P会话

的一部分,这就是为什么e s t a b l i s h e d关键字仍然十分重要的原因。注意,这

种检验对U D P报文是无用的,这就是为什么在第二个访问表项中没有该关键字的原因。

第五个表项允许那些从源端口为2 0的任何主机向内报文到达网络2 0 5 . 1 3 1 . 1

7 5 . 0 / 2 4的主机,

如果其目的端口大于1 0 2 3的话,允许了那些由内部主机发起的F T P部分数据的报文

连接到内部主机。F T P协议实现的标准实现需要F T P服务器发回一个到源F T P客户机

连接。该连接的初始报文没有设置A C K或R S T位,所以我们在表项中不能使用e s t

a b l i s h e d关键字。有一种版本的F T P称为被动模式( passive mode)的F T P

,或称为PA S C,它不需要服务器发起一个向源F T P客户机的连接。在这种模式的F

T P中,客户机需要发起到F T P服务器非2 0端口的另一个连接。该端口是大于1 0 2 3

的一种随机选择。我们允许所有大于1023 TCP端口的报文通过,是因为我们不能进一步

确定F T P服务器会选择哪一个端口(被动模式F T P服务器的数据端口不为2 0,这与普

通模式F T P是不同的)。尽管我们不能让该表项如我们所希望的那样确切, e s t a

b l i s h e d关键字仍能使该表项比允许外部发起向内部网络的会话要安全一些。

第六个表项(也是最后一个表项)为动态访问表项,它允许来自被认证主机的报文到达

服务器1 9 8 . 7 8 . 4 6 . 1 2。我们定义的绝对超时时间为3小时( 1 8 0分钟),

并对该表项进行了日志记录(我们还开启了路由器缓冲区的日志)。通过将匹配动态表

项的报文进行记录,我们可以跟踪用户的行为,并建立一个普通的基线。这样,我们可

以发现不正常的行为,并由此判断这是否是由攻击者产生的。我们还将动态访问表项的

空闲时间设置成了1 0分钟,这是在v t y线配置中通过a u t o c o m m a n d设置的。

最好是将这两个值都设上,这样我们能减少动态表项处于

活跃状态的时间,因此也减少了攻击者冲破动态表项的可能性。

空闲计时器在每有一个报文匹配动态访问表项时进行复位。而绝对计时器是不复位的。

即使一个会话仍然处于活跃状态,如果绝对超时达到,动态表项就会被删除,从而用户

需要再经过一个认证过程。如果他们有经过路由器的活跃会话,这些会话将被终止。正

因如此,我们建议将绝对超时设置得相对大一些,一般为一个小时或更长一些的时间。

但我们应该将空闲时间设置得小一些,一般为1 0分钟或更短的时间。我们认为,不应将

空闲时间的设置大于3 0钟。

--

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有