中小型网络设计及安全部署案例分析II.ppt

8. Ping of Death 攻击 所谓 Ping of Death，就是利用一些尺寸超大的ICMP 报文对系统进行的一种攻击。 IP 报文的长度字段为16 位，这表明一个IP 报文的最大长度为65535。对于ICMP 回应请求报文，如果数据长度大于65507，就会使ICMP 数据＋IP 头长度(20)＋ICMP头长度（8） 65535。对于有些路由器或系统，在接收到一个这样的报文后，由于处理不当，会造成系统崩溃、死机或重启。 3）L2tp vpn 设置 l2tp enable {使能L2TP } local-user vpnuser@ password simple vpnuser {L2TP用户名和密码 } ip pool 1 0 0 {给L2TP分配的地址池 } PC作为LAC， 直接发起L2TP隧道 interface Virtual-Template0 {使能L2TP的虚接口 } ip address remote address pool 1 {给L2TP客户分配地址池1中的地址 } l2tp-group 1 {创建L2TP组} undo tunnel authentication allow l2tp virtual-template 0 {取消隧道验证。默认启用，这时LAC和LNS必须配置隧道验证字。 } allow l2tp virtual-template 0 {在虚接口0上启用L2TP } 4）出口优化设计 acl number 2100 match-order auto rule 0 permit source 55 rule 1 deny acl number 2600 match-order auto rule 0 permit source 55 route-policy sjxjf permit node 1 if-match acl 2100 apply ip-address next-hop route-policy sjxjf permit node 6 if-match acl 2600 apply ip-address next-hop 218.*.*.1 interface GigabitEthernet3/0 speed 100 ip address ip policy route-policy sjxjf # 5）服务器映射 nat server protocol tcp global 218.*.*.* www inside 54 www nat server protocol tcp global 218.*.*.* ftp inside 54 ftp 谢谢 中小型网络设计与安全部署案例分析 主讲人：路由交换 提纲 1、拓扑图结构分析 2、vlan设计 3、路由设计 4、安全设计（firewall+ vpn） 5、优化设计 Vlan设计 1）把4个机房划分成4个VLAN10--40 2）把服务器群划分成VLAN 50 3）把三层交换机和路由器相连的链路划分成VLAN50当中 4）所有二层交换机和三层交换机相连的端口设置成为TRUNK端口类型 路由设计 1）三层交换机对路由器设置为默认路由 2）路由到内网的用聚合后的静态路由 3）路由器到外网用默认路由 安全设计 1）路由器外网端口开启防攻击设置 2）路由器外网端口DENY掉常受攻击的端口 3）开启L2TP VPN功能，提供在外的员工安全的进入内网中。 网络优化 1）按目的地址路由 如果此案例场景为网吧电信网通双光纤网吧网络就应该使用这种策略。（比较简单） 2）按源地址路由策略 假如按照拓扑结构图规划，2个机房各用一根光纤，服务器群用一个光纤。（路由策略） 三层交换机配置命令 1）VLAN间路由的配置命令 interface Vlan-interface10 ip address interface Vlan-interface20 ip address interface Vlan-interface30 ip address interface Vlan-interface40 ip address interface Vlan-interface50 ip address 2）DHCP配置 dhcp server ip-pool 3 network mask gateway-list dns-list 8 3）服务MAC绑定 arp static 02 0024-