利用访问控制列表提高网络安全及实例.docx

编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：利用访问控制列表提高网络安全及实例禹龙田生伟（新疆大学网络中心，新疆乌鲁木齐830046）摘要：本文以cisco路由器为例，结合实际网络结构，详细介绍了如何利用访问控制列表来提高网络安全性能。关键词：网络安全包过滤access-listStrengtheningthesecurityofnetworkbyusingaccesscontrollistandinstanceYulong(networkofcenterofXinjiangUniversity,XinjiangUrumqr830046)Abstract:Withciscorouterandaccordingthematerialnetworkstructure,howtostrengthenthesecurityofnetworkbyusingaccesscontrollistisdiscussedindetail.Keywords:securityofnetworkpacketfilteringaccess-list引言网络安全问题一般包括网络系统安全和数据安全。网络系统安全是防止网络系统遭到未经授权的非法访问、存取或破坏；数据安全主要是防止重要、敏感数据被窃取等。网络安全的防护手段多种多样，例如，密码技术、安全协议、防火墙、安全WEB服务器等等。但是，单纯依靠防御是不够的，我们必须重视网络的整体安全。实际上，每一种设备对网络的安全管理方面都有一定的作用，完全可以结合整个网络的拓扑结构和网络设备的特性制定多层次、全方位的安全解决方案，通过网络路由过滤、虚拟子网的划分、服务器实时监控、口令和访问权限的限制等多项技术，最大可能的保障网络安全。通过路由器提高网络安全性路由器工作在tcp/ip模型的第三层（即网络层），是Intranet和Internet的连接处，是信息出入的必经之路，对网络的安全具有举足轻重的作用。而现在大多商业路由器都提供了基于协议、IP等标准的包过滤的能力，能有效地防止外部用户对局域网的安全访问，同时可以限制网络流量，也可以限制局域网内的用户或设备使用网络资源。下面我们以Cisco路由器为例，讨论如何利用路由器来提高网络的安全性。2.1数据包过滤简而言之，基于协议特定的标准，路由器在其端口能够区分包和限制包的能力叫作包过滤（packetfiltering）。包过滤路由器可以通过检查数据流中每个数据包的源地址、目的地址、所有的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。当然，利用路由器实现的数据包过滤安全机制不需要增加任何额外的费用。Cisco路由器是通过访问列表access-list命令来完成包过滤规则的设置，故包过滤器又被称为访问控制列表（AccessControlList）。它将访问列表定义为应用于Internet地址的一系列允许和拒绝条件的组合。2.2访问列表的基本概念Cisco访问列表缺省进行静态分组过滤，其提供了标准访问列表和扩展访问列表。标准访问列表的语法如下：access-list[1-99]permit|deny{address}{wildcard-mask}扩展访问列表的语法如下：access-list[100-199]permit|deny{protocol}{source}{source-mask}{destination}{destination-mask}{operator}{port}est(shortforestablishifapplicable)其中，protocol为协议，如TCP、IP、UDP、ICMP等；因为IP封装TCP、UDP和ICMP包，所以它可以用来与其中任一种协议匹配。Operator有效操作符为：It(小于)，gt(大于)，eq(等于)，neq(不等于)。Est参数表示将检测数据包中TCP标志，防止不可信主机对建立TCP会话的要求，而允许已建立TCP会话的数据包通过。TCP标志是用来表示TCP包的类型，如：打开连接包(SYN=1,ACK=0),打开连接确认包(SYN=1,ACK=1),打开连接确认包的确认（SYN=0,ACK=1）。1)SYN=1,ACK=0（打开连接）SERVERCLIENT2)SYN=1,ACK=1（打开连接确认）3)SYN=0,ACK=1（确认打开连接确认）TCP打开连接从上图可以看出，SYN=1,ACK=0这种情况只发生在一个系统要建立与另一个系统的连接时。分组过滤利用这个独特的标志设置控制TCP会话，只要阻止了初始连接请求，就无法建立两个系统之间的对话。2.3利用访问列表实现安全控制实例2.3.1实例网络模型主机n主机1Cisco7206Internet(202.11