资源描述
单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,第,*,页,/,共 4页,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,中小学网络基础知识,部门,/,作者,中小学常见网络拓扑,局域网常用技术,局域网常见攻击,如何防御局域网攻击,答疑,第,3,页,/,共 4页,校园网络的应用现状,学校信息化应用,早期中小学网络,第,4,页,/,共 4页,家用路由器,“傻瓜”交换机,特点：,1,、低成本,2,、网络无冗余性,3,、交换机不可网管,4,、网络无安全性,网络设备介绍,第,5,页,/,共 4页,二层“可网管”交换机,特点：,1,、接口数量多，常见的接口数量为,24,口或,48,口,2,、接口速率多为,100M/bps,或,1000M/bps,3,、具有,二层数据转发功能,4,、可以划分,VLAN,虚拟局域网,5,、具有防环路机制,6,、有一定的安全防御功能,网络设备介绍,第,6,页,/,共 4页,三层“可网管”交换机,特点：,1,、三层交换机从外观上分为“盒式交换机”和“箱式交换机”,2,、三层交换机具有二层交换机的所有功能,3,、三层交换机增加,三层数据转发功能,4,、接口多为,1000M/bps,速率,网络设备介绍,第,7,页,/,共 4页,“可网管”路由器,特点：,1,、接口数量少,2,、支持各种广域网接口,3,、具有网络地址转换功能,NAT,4,、完成三层数据转发,5,、具有防火墙和流量控制等功能,目前中小学常见网络,第,8,页,/,共 4页,RG-S7610,RSR 50-40,认证管理系统,&,网管,百兆电缆,千兆光线,RG-S2100,教学楼,RG-S2100,综合楼,RG-S2100,艺体楼,RG-S2100,PC,实验楼,服务器群,PC,PC,PC,核心层,接入层,目前中小学常见网络,第,9,页,/,共 4页,RG-S7610,RSR 50-40,认证管理系统,&,网管,百兆电缆,千兆光线,RG-S5750,RG-S2100,教学楼,RG-S5750,RG-S2100,综合楼,RG-S5750,RG-S2100,艺体楼,RG-S2100,PC,实验楼,服务器群,PC,PC,PC,核心层,汇聚层,接入层,“可网管”局域网优势,第,10,页,/,共 4页,层次性,易管理,冗余性,安全性,流控性,“可网管”局域网,局域网技术,第,11,页,/,共 4页,IP,地址及其分类,局域网技术,第,12,页,/,共 4页,第,13,页,/,共 4页,VLAN技术,在交换机组成的校园网络里所有主机都在同一个广播域内,广播域,安全,广播,交换网络中存在的问题,第,14,页,/,共 4页,交换网络中的问题,通过,VLAN,技术可以对网络进行一个安全的隔离、分割广播域,VLAN20,VLAN10,VLAN30,VLAN40,VLAN技术,1,2,3,4,交换机,广播帧,广播域,广播帧,广播域,VLAN,概述（,Virtual Local Area Network,）,VLAN,是划分出来的逻辑网络，是第二层网络。,VLAN,端口不受物理位置的限制。,VLAN,隔离广播域。,VLAN,的类型,:Port VLAN,基于交换机的端口,(,一个端口只属于一个,VLAN,，,Port VLAN,设置在连接主机的端口,),F0/1,F0/2,F0/3,Port-VLAN原理,通过查找,MAC,地址表，交换机对发往不同,VLAN,的数据不转发,F0/1,F0/2,F0/3,A,B,C,Vlan 10,Vlan 20,Vlan 10,A B,A C,X,交换机端口,MAC,地址,VLAN ID,F0/1,A,10,F0/2,B,20,F0/3,C,10,VLAN的类型:Tag VLAN,Switch A,VLAN30,VLAN20,VLAN10,Switch B,VLAN30,VLAN20,VLAN10,Tag VLAN,TagVLAN,特点,传输多个,VLAN,的信息,实现同一,VLAN,跨越不同的交换机,要求,Ttunk,至少要,100M,802.1Q工作原理,802.1Q,工作特点：,802.1Q,数据帧传输对于用户是完全透明的。,Trunk,上默认会转发交换机上存在的所有,VLAN,的数据。,交换机在从,Trunk,口转发数据前会在数据打上个,Tag,标签，在到达另一交换机后，再剥去此标签。,A,交换机,1,交换机,2,B,数据帧,Tag,标签,Trunk,Trunk,数据包在三层网络如何通信,第,20,页,/,共 4页,A,B,PC1,PC2,目的网段,转发接口,192.168.2.0,B,192.168.1.0,目的网段,转发接口,192.168.2.0,192.168.1.0,A,局域网常见攻击,第,21,页,/,共 4页,ARP,攻击,ARP,攻击就是将,ARP,表中,IP,与,MAC,地址的对应关系进行了修改,!,第,22,页,/,共 4页,ARP,欺骗攻击分类,-,主机型,主机型,ARP,欺骗,欺骗者主机冒充网关设备对其他主机进行欺骗,网关,欺骗者,嗨，我是网关,PC 1,第,23,页,/,共 4页,ARP欺骗攻击分类-网关型,网关型,ARP,欺骗,欺骗者主机冒充其他主机对网关设备进行欺骗,23,网关,欺骗者,嗨，我是,PC1,PC 1,局域网常见攻击,第,24,页,/,共 4页,DHCP,攻击,局域网常见攻击,第,25,页,/,共 4页,二层环路,局域网常见攻击,第,26,页,/,共 4页,TCP,半连接攻击,客户端,A,服务器,B,发送,SYN,1,(seq#=100),1,接收,SYN,发送,SYN,1,ACK,1,(seq#=300 ack#=101),2,建立连接，,ACK,1,(ack#=301),3,接收,SYN,ACK,TCP,半连接攻击就是攻击者发送大量的,TCP,链接，当目的主机回应,TCP,后，攻击者不发送确认报文，导致被攻击者系统资源被大量浪费,如何防御ARP攻击,第,27,页,/,共 4页,判断,ARP,欺骗攻击,-,主机,怎样判断是否受到了,ARP,欺骗攻击？,网络时断时续或网速特别慢,在命令行提示符下执行“,arp d,”命令就能好上一会,在命令行提示符下执行“,arp a,”命令查看网关对应的,MAC,地址发生了改变,27,如何防御ARP攻击,第,28,页,/,共 4页,判断,ARP,欺骗攻击,-,网关设备,网关设备怎样判断是否受到了,ARP,欺骗攻击？,ARP,表中同一个,MAC,对应许多,IP,地址,28,如何防御ARP攻击,第,29,页,/,共 4页,29,安全地址获取,丢弃,转发,ARP,报文校验,ARP,报文,S/T,字段是否与安全地址一致,ARP,报文,是,否,安全地址的获取是防,ARP,欺骗的前提，,ARP,报文校验是防,ARP,欺骗的手段,手工指定,port-security,自动获取,DHCP Snooping,Dot1x,认证,ARP-check,检查,ARP,报文中,sender MAC,和,sender IP,是否和安全地址中的,MAC,和,IP,所对应一致,如何防御DHCP攻击,第,30,页,/,共 4页,DHCP Snooping,DHCP,安全特性,过滤非法,DHCP,报文，防范非法的,DHCP Server,和对服务器的攻击,对,DHCP,报文进行窥探，建立,DHCP-Snooping,数据库，为,IP,报文和,ARP,报文过滤提供依据,Clienet,Server,untrust,untrust,trust,如何防止二层环路,第,31,页,/,共 4页,使用生成树协议,Spanning Tree,，将出现环路的接口逻辑上进行阻断,如何防止TCP半连接,第,32,页,/,共 4页,TCP SYN,代理功能,TCP SYN,代理,是先由路由器,/,防火墙代理服务端与客户端完成三次握手，如果连接合法，再与服务端建立连接。,具备,TCP SYN,功能的网络设备充当了安全守卫者,
展开阅读全文