计算机网络安全课件(沈鑫剡)第4章
合集下载
计算机网络安全课件
计算机网络安全课件计算机网络安全一、概述计算机网络安全是指对计算机网络系统的各种威胁和攻击进行防范和保护的措施。
随着互联网的普及和发展，计算机网络安全问题变得越来越重要。
本课程旨在帮助学员了解计算机网络安全的基础知识、常见的威胁和攻击方式以及相应的防范措施。
二、网络安全的基本概念1. 信息安全与网络安全的关系- 信息安全是指对信息的保密性、完整性和可用性进行保护的一系列措施和技术。
- 网络安全是指对计算机网络系统和数据进行保护的措施和技术，是信息安全的重要组成部分。
2. 威胁和攻击- 威胁是指可能造成计算机网络系统和数据损害的风险和危害。
- 攻击是指对计算机网络系统进行非法访问和操作的行为。
三、常见网络安全威胁和攻击方式1. 病毒和恶意软件- 病毒是一种能够自我复制并在其他计算机上感染的恶意程序。
- 恶意软件包括病毒、蠕虫、木马、广告软件等，用于破坏系统、窃取敏感信息和控制计算机等。
2. 黑客攻击- 黑客利用各种手段获取非法访问计算机网络系统的权限，进行非法操作和窃取敏感信息。
- 常见的黑客攻击方式包括密码破解、拒绝服务攻击、网络钓鱼等。
3. 数据泄露和窃取- 数据泄露指未经授权的数据泄露或不当的数据处理而泄露敏感信息。
- 数据窃取是指黑客从目标计算机上窃取敏感信息，如个人身份信息、银行账户信息等。
四、网络安全的防范措施1. 强密码的使用- 密码应使用复杂的组合，包括大小写字母、数字和特殊符号，以提高密码的安全性。
- 密码定期更换，避免使用相同密码或弱密码。
2. 防火墙的设置- 防火墙可以限制网络中的访问和传输，可以阻止潜在的攻击。
- 防火墙设置需要考虑网络安全需求和应用需求。
3. 更新和安装安全补丁- 及时更新操作系统和软件的安全补丁，以修复已知的漏洞和安全问题。
- 定期检查安全补丁的更新情况，确保系统的安全性。
4. 加密技术的应用- 采用加密技术对敏感数据进行加密和解密，以确保数据的机密性和完整性。
沈鑫剡编著(网络安全)教材配套课件第10章
虚拟专用网络
三、 VPN分类
Web 服务器 HTTP HTTPS 终端 SSL VPN 网关 SMTP+POP3 FTP FTP 服务器 邮件服务器
SSL VPN
远程终端通过HTTPS访问SSL VPN网关。以此实现远程终端与SSL VPN网关之间 的双向身份鉴别，保证远程终端与SSL VPN网关之间传输的数据的保密性和完整性。 SSL VPN网关作为中继设备，可以将远程终端访问内部网络资源的请求消息转 发给内部网络中的服务器，也将内部网络服务器发送的响应消息，转发给远程终端。
缺点：互连子网的专用点 对点物理链路的低效率、 高费用和不方便。
计算机网络安全
虚拟专用网络
一、企业网和远程接入
Modem PSTN 终端
实现远程接入的网络结构
可以随时随地连接到PSTN ； 可以按需建立与路由器R之间的语音信 道。
R
内部网络
缺点：需要支付昂贵的长 途费用；语音信道利用率 不高；语音信道的数据传 输速率受到严格限制。
第一次交互过程双方约定安全传输通道使用的加密算法3DES和报文摘 要算法MD5，同时完成用于生成密钥种子KS的随机数YA和YB的交换过程。
第二次交互过程双方约定安全关联使用的安全协议ESP，ESP使用的加 密算法AES和MAC算法HMAC-MD5-96。同时通过证书和数字签名完成双方身 份鉴别过程。第二次交互过程双方传输的信息是用3DES加密算法和通过密 钥种子KS推导出的密钥K加密后的密文。
虚拟专用网络
三、 VPN分类
内部网络 Web 服务器
Internet 终端 SSL VPN 网关
邮件服务器
FTP 服务器
SSL VPN
SSLVPN也是一种实现远程终端访问内部网络资源的技术，SSL VPN的 核心设备是SSL VPN网关，SSL VPN网关一端连接互联网，另一端连接内 部网络。
沈鑫剡编著(网络安全)教材配套课件第14章
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
对于UDP会话，传输第一个UDP报文时创建UDP 会话，并用该UDP报文的两端插口唯一标识该UDP会 话，所有两端插口与标识该UDP会话的两端插口相 同的UDP报文都是属于该会话的UDP报文。如果规定 时间内，一直没有传输两端插口与标识该UDP会话 的两端插口相同的UDP报文，删除该UDP会话。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
一、入站规则和出站规则
对于TCP连接，会话分为三个阶段，一是TCP连 接建立阶段，二是数据传输阶段，三是TCP连接释 放阶段。通过TCP连接建立过程创建会话，并用两 端插口唯一标识创建的会话，插口由标识终端的32 位IP地址和标识进程的16位端口号组成。创建会话 后，所有两端插口与标识该会话的两端插口相同的 TCP报文都是属于该会话的TCP报文。通过TCP连接 释放过程删除会话。
计算机网络安全
计算机安全技术 病毒防御技术 入侵防御系统
三、审计
日志记录器以二进制或可读的形式记录事件或统计数据。 日志通常记录与以下活动有关的事件。 用于检测已知攻击模式； 用于检测异常行为和异常信息流。 对于每一个事件，日志记录以下信息：事件发生的日期和 时间，引发事件的用户，事件源的位置，事件类型，事件成败 等。
一、基本术语
主体（Subject）是指主动的实体，该实体造成了信息 的流动和系统状态的改变。 客体（Object）是指包含或接受信息的被动实体。对客 体的访问意味着对其中所包含的信息的访问。 访问是使信息在主体和客体间流动的一种交互方式。 访问控制是一种具有以下功能的安全机制，一是能保障 授权用户获取所需资源，二是能拒绝非授权用户非法获取资 源。 身份鉴别一是需要对主体分配唯一标识符，二是主体能 够提供证明身份的标识信息，授权是为每一个用户设置访问 权限，某个用户的访问权限是指该用户允许访问的客体和允 许对客体进行的操作。
计算机网络安全课件(沈鑫剡)第3章
明文 P E K
密文 Y
D K
明文 P
Y=EK（P）; P=DK（Y）； P=DK（ EK（P） ）=EK（ DK（P） ）。
计算机网络安全
网络安全基础
对称密钥加密算法
加密、解密算法是公开的； 安全性完全取决于密钥K的安全性。
保证密钥安全性的两种机制： 一次一密，密钥之间没有任何相关性； 在公开加密、解密算法，获取多对明文/ 密文对的前提下，无法推导出密钥K。
计算机网络安全
网络安全基础
对称密钥加密算法
流密码体制
发送端 P
接收端
P
Ki ｛K1 K2 K3，…，KN｝ 密钥集
Ki
无穷大的密钥集，密钥不可能重复，密钥之间没有任何相关性。 密文Y=P⊕Ki，因此，很容易根据明文和密文得出密钥， Ki = P⊕Y。 密钥的安全性在于不重复、不可预测。 计算机网络安全
根据上述规则，一旦满足条件MD（P）=EPKA（数字签名），得出数字签名 ＝DSKA（MD（P）），可以断定报文P由知道私钥SKA的用户发送，知道私 钥SKA的用户是和公钥PKA绑定的用户。
计算机网络安全
网络安全基础
3.4 认证协议
Kerberos； TLS； EAP和802.1X； RADIUS。
明文 明文 ） P P P‖DSKA（MD（P） 数字 签名 数字 签名
MD E PKA
相等，明文 P 认定是用户 A 所发
不相等，明文 P 无效
规则一：EPKA（DSKA（P））=P，通过公钥PKA加密还原的一定是通过私 钥SKA解密运算的结果；
规则二：无法根据报文摘要h，求出报文X，且使得MD（X）＝h；
密文 Y
D K
明文 P
Y=EK（P）; P=DK（Y）； P=DK（ EK（P） ）=EK（ DK（P） ）。
计算机网络安全
网络安全基础
对称密钥加密算法
加密、解密算法是公开的； 安全性完全取决于密钥K的安全性。
保证密钥安全性的两种机制： 一次一密，密钥之间没有任何相关性； 在公开加密、解密算法，获取多对明文/ 密文对的前提下，无法推导出密钥K。
计算机网络安全
网络安全基础
对称密钥加密算法
流密码体制
发送端 P
接收端
P
Ki ｛K1 K2 K3，…，KN｝ 密钥集
Ki
无穷大的密钥集，密钥不可能重复，密钥之间没有任何相关性。 密文Y=P⊕Ki，因此，很容易根据明文和密文得出密钥， Ki = P⊕Y。 密钥的安全性在于不重复、不可预测。 计算机网络安全
根据上述规则，一旦满足条件MD（P）=EPKA（数字签名），得出数字签名 ＝DSKA（MD（P）），可以断定报文P由知道私钥SKA的用户发送，知道私 钥SKA的用户是和公钥PKA绑定的用户。
计算机网络安全
网络安全基础
3.4 认证协议
Kerberos； TLS； EAP和802.1X； RADIUS。
明文 明文 ） P P P‖DSKA（MD（P） 数字 签名 数字 签名
MD E PKA
相等，明文 P 认定是用户 A 所发
不相等，明文 P 无效
规则一：EPKA（DSKA（P））=P，通过公钥PKA加密还原的一定是通过私 钥SKA解密运算的结果；
规则二：无法根据报文摘要h，求出报文X，且使得MD（X）＝h；
计算机网络安全课件(沈鑫剡)第11章
选择商品，得 到商家发送的 定货信息；
向商家提供定 货信息和支付 信息；
商家认证支付 信息；
商家提供商品。
计算机网络安全
应用层安全协议
安全电子交易（SET）
购买请求消息在获得商家提供的购物 PI
发给
清单后发送； OIMD
根据购物清单构件定货信息和支付信 双重
不相等，保密 和认证失败
数字
封面
D
商家认证发送者身份和解密数据过程
SKA
指定商家才能用私钥解密出密钥KEY，并因此获得明文、数字签名和证 书；
对明文P进行报文摘要运算，对数字签名用证书给出的公钥进行加密运 算，然后对两者进行比较，如果相等：一是证明由证书指定的发送者发 送，二是明文确实是发送者发送的明文。这样，完成了发送者身份认证、 数字签名认证和完整性检测。
这里，TLS主要实现对服务器的身份认证， 约定安全传输过程用到的加密解密算法、 密钥、消息认证算法等安全参数；
将用户和服务器之间交换的HTTP报文封 装成TLS记录协议报文。
计算机网络安全
终端
阶段 1 阶段 2 阶段 3 阶段 4
阶段 5
HTTP over TLS
应用层安全协议
Web 服务器
证书
计算机网络安全
应用层安全协议
安全电子交易（SET）
明文
明文
数字 3DESE
H
D
签名
密文
证书
KEY
SKC
持卡人封装过程
E
数字 封面
PKA
持卡人封装处理过程一是需要认证发送者身份，二是保证只有指定接收者才能获 得信息，三是持卡人不能否定发送过的购物请求；
认证发送者身份和无法否认发送过的购物请求通过数字签名实现，数字签名＝ DSKC(H(P))；SKC是发送者私钥，H是报文摘要算法。
向商家提供定 货信息和支付 信息；
商家认证支付 信息；
商家提供商品。
计算机网络安全
应用层安全协议
安全电子交易（SET）
购买请求消息在获得商家提供的购物 PI
发给
清单后发送； OIMD
根据购物清单构件定货信息和支付信 双重
不相等，保密 和认证失败
数字
封面
D
商家认证发送者身份和解密数据过程
SKA
指定商家才能用私钥解密出密钥KEY，并因此获得明文、数字签名和证 书；
对明文P进行报文摘要运算，对数字签名用证书给出的公钥进行加密运 算，然后对两者进行比较，如果相等：一是证明由证书指定的发送者发 送，二是明文确实是发送者发送的明文。这样，完成了发送者身份认证、 数字签名认证和完整性检测。
这里，TLS主要实现对服务器的身份认证， 约定安全传输过程用到的加密解密算法、 密钥、消息认证算法等安全参数；
将用户和服务器之间交换的HTTP报文封 装成TLS记录协议报文。
计算机网络安全
终端
阶段 1 阶段 2 阶段 3 阶段 4
阶段 5
HTTP over TLS
应用层安全协议
Web 服务器
证书
计算机网络安全
应用层安全协议
安全电子交易（SET）
明文
明文
数字 3DESE
H
D
签名
密文
证书
KEY
SKC
持卡人封装过程
E
数字 封面
PKA
持卡人封装处理过程一是需要认证发送者身份，二是保证只有指定接收者才能获 得信息，三是持卡人不能否定发送过的购物请求；
认证发送者身份和无法否认发送过的购物请求通过数字签名实现，数字签名＝ DSKC(H(P))；SKC是发送者私钥，H是报文摘要算法。
沈鑫剡编著(网络安全)教材配套课件第11章
计算机网络安全
防火墙
五、防火墙的局限性
无法防御网络内部终端发起的攻击； 无法阻止病毒传播； 无法防御利用防火墙安全策略允许的信息传输过 程实施的攻击行为。
计算机网络安全
防火墙
11.2 分组过滤器
本讲主要内容 无状态分组过滤器； 有状态分组过滤器。
计算机网络安全
防火墙
一、无状态分组过滤器
防火墙的作用是控制网络1与网络2之间传输的信息流， 所谓控制是指允许网络1与网络2之间传输某种类型的信息流， 阻断另一种类型的信息流网络1与网络2之间的传输过程。允 许和阻断操作的依据是为防火墙配置的安全策略。
计算机网络安全
防火墙
三、防火墙分类
防火墙
个人防火墙
网络防火墙
分组过滤器
分组过滤器电路层代理Biblioteka 计算机网络安全防火墙
一、引出防火墙的原因
数据交换过程 Internet 路由器 数据交 换过程 用户终端 黑客终端
内部网络
安全的网络系统既要能够保障正常的数据交换过程，又 要能够阻止用于实施攻击的数据交换过程。 防火墙一是能够检测出用于实施攻击的信息流，并阻断 这样的信息流。二是能够允许正常信息流通过。
计算机网络安全
防火墙
一、无状态分组过滤器
路由器R1接口1输入方向的过滤规则集如下。 ①协议类型＝TCP，源IP地址＝192.1.1.1/32，源端口号＝*， 目的IP地址＝192.1.2.7/32，目的端口号＝80；正常转发。 ②协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝21， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ③协议类型＝TCP，源IP地址＝192.1.1.7/32，源端口号＝20， 目的IP地址＝192.1.2.1/32，目的端口号＝*；正常转发。 ④协议类型＝*，源IP地址＝any，目的IP地址＝any；丢弃。
计算机网络安全课件(沈鑫剡)第4章
计算机网络安全
安全网络技术
4.1 以太网安全技术
以太网接入控制 访问控制列表； 访问控制列表； 安全端口； 安全端口； 802.1X接入控制过程 802.1X接入控制过程。 接入控制过程。 以太网其他安全功能 防站表溢出攻击功能； 防站表溢出攻击功能； 防DHCP欺骗； 欺骗； 欺骗 欺骗攻击。 防ARP欺骗攻击。 欺骗攻击
信任端口
交换机 B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC C IP C F0/7 MAC A IP A F0/7 MAC B IP B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC A IP A F0/4 MAC B IP B F0/7 MAC C IP C
计算机网络安全
安全网络技术
以太网接入控制
黑客攻击内部网络的第一步是接入内部网络， 黑客攻击内部网络的第一步是接入内部网络， 而以太网是最常见的直接用于接入用户终端 的网络， 的网络，只允许授权用户终端接入以太网是 抵御黑客攻击的关键步骤； 抵御黑客攻击的关键步骤； 交换机端口是用户终端的物理连接处， 交换机端口是用户终端的物理连接处，防止 黑客终端接入以太网的关键技术是授权用户 终端具有难以伪造的标识符，交换机端口具 终端具有难以伪造的标识符， 有识别授权用户终端标识符的能力。 有识别授权用户终端标识符的能力。
计算机网络安全
第四章
© 2006工程兵工程学院 计算机教研室
安全网络技术
第4章 安全网络技术
以太网安全技术； 以太网安全技术； 安全路由； 安全路由； 虚拟网络； 虚拟网络； 信息流管制； 信息流管制； 网络地址转换； 网络地址转换； 容错网络结构。 容错网络结构。 解决网络安全问题的方法主要有三： 解决网络安全问题的方法主要有三：一是提出解决安全问 题的新的机制和算法，如数字签名算法和认证机制。 题的新的机制和算法，如数字签名算法和认证机制。二是 增加解决安全问题的新设备，如防火墙和入侵防御系统。 增加解决安全问题的新设备，如防火墙和入侵防御系统。 三是在传统网络设备和网络设计方法中增加抵御黑客攻击 的手段和能力， 的手段和能力，安全网络技术就是在传统网络设备和网络 设计方法中增加的用于抵御黑客攻击和保障网络适用性的 技术。 技术。
安全网络技术
4.1 以太网安全技术
以太网接入控制 访问控制列表； 访问控制列表； 安全端口； 安全端口； 802.1X接入控制过程 802.1X接入控制过程。 接入控制过程。 以太网其他安全功能 防站表溢出攻击功能； 防站表溢出攻击功能； 防DHCP欺骗； 欺骗； 欺骗 欺骗攻击。 防ARP欺骗攻击。 欺骗攻击
信任端口
交换机 B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC C IP C F0/7 MAC A IP A F0/7 MAC B IP B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC A IP A F0/4 MAC B IP B F0/7 MAC C IP C
计算机网络安全
安全网络技术
以太网接入控制
黑客攻击内部网络的第一步是接入内部网络， 黑客攻击内部网络的第一步是接入内部网络， 而以太网是最常见的直接用于接入用户终端 的网络， 的网络，只允许授权用户终端接入以太网是 抵御黑客攻击的关键步骤； 抵御黑客攻击的关键步骤； 交换机端口是用户终端的物理连接处， 交换机端口是用户终端的物理连接处，防止 黑客终端接入以太网的关键技术是授权用户 终端具有难以伪造的标识符，交换机端口具 终端具有难以伪造的标识符， 有识别授权用户终端标识符的能力。 有识别授权用户终端标识符的能力。
计算机网络安全
第四章
© 2006工程兵工程学院 计算机教研室
安全网络技术
第4章 安全网络技术
以太网安全技术； 以太网安全技术； 安全路由； 安全路由； 虚拟网络； 虚拟网络； 信息流管制； 信息流管制； 网络地址转换； 网络地址转换； 容错网络结构。 容错网络结构。 解决网络安全问题的方法主要有三： 解决网络安全问题的方法主要有三：一是提出解决安全问 题的新的机制和算法，如数字签名算法和认证机制。 题的新的机制和算法，如数字签名算法和认证机制。二是 增加解决安全问题的新设备，如防火墙和入侵防御系统。 增加解决安全问题的新设备，如防火墙和入侵防御系统。 三是在传统网络设备和网络设计方法中增加抵御黑客攻击 的手段和能力， 的手段和能力，安全网络技术就是在传统网络设备和网络 设计方法中增加的用于抵御黑客攻击和保障网络适用性的 技术。 技术。
计算机网络安全课件(沈鑫剡)第5章PPT课件
第五章 无线局域网安全技术
•无线局域网的开放性； •WEP加密认证机制； •WEP的安全缺陷； •802.11i。 无线局域网的开放性对移动通信带来了便利，但 也产生了严重的安全问题，WEP加密和认证机 制就用于解决因为开放性带来的安全问题，但 WEP技术本身存在严重的安全缺陷，802.11i是 目前解决无线局域网安全问题的理想技术。
• 明文由源和目的MAC地址、优先级、净荷和MIC组成（如果明文是这些内容 分段后的某个段，需要将所有段重新拼装成原始格式），然后根据源和目的 MAC地址、优先级、净荷与MIC密钥计算MIC，将计算结果和MAC帧携带 的MIC比较，如果相同，表示源和目的MAC地址、优先级、净荷在传输过程 中未被篡改；
第12页/共37页
5.3 WEP的安全缺陷
•共享密钥认证机制的安全缺陷； •一次性密钥字典； •完整性检测缺陷。 WEP安全缺陷起因于以下几点：一是一次性密 钥和初始向量一一对应，发送端通过明文传输 初始向量，且密文和明文的异或操作结果即是 一次性密钥；二是一次性密钥的空间只有224， 且伪随机数生成器根据伪随机数种子生成一次 性密钥机制使得各个一次性密钥之间存在相关 性；三是用循环冗余检验码作为完整性检测码， 容易实现同时篡改密文和加密后的ICV。
TA TK
MAC 帧中 SA、DA 优先级和 净荷字段
MIC 密钥
TSC 32 16
第1级 密钥混 TTAK 合函数
WEP 密钥
第2级 密钥混 合函数 IV
WEP 加密
michael
MIC 分段 数据 TSC
密钥混合函数是伪 随机数生成器， Michael是简化的报 文摘要算法，但完 整性检测能力远远 超过循环冗余检验 码；
AP
关联请求
•无线局域网的开放性； •WEP加密认证机制； •WEP的安全缺陷； •802.11i。 无线局域网的开放性对移动通信带来了便利，但 也产生了严重的安全问题，WEP加密和认证机 制就用于解决因为开放性带来的安全问题，但 WEP技术本身存在严重的安全缺陷，802.11i是 目前解决无线局域网安全问题的理想技术。
• 明文由源和目的MAC地址、优先级、净荷和MIC组成（如果明文是这些内容 分段后的某个段，需要将所有段重新拼装成原始格式），然后根据源和目的 MAC地址、优先级、净荷与MIC密钥计算MIC，将计算结果和MAC帧携带 的MIC比较，如果相同，表示源和目的MAC地址、优先级、净荷在传输过程 中未被篡改；
第12页/共37页
5.3 WEP的安全缺陷
•共享密钥认证机制的安全缺陷； •一次性密钥字典； •完整性检测缺陷。 WEP安全缺陷起因于以下几点：一是一次性密 钥和初始向量一一对应，发送端通过明文传输 初始向量，且密文和明文的异或操作结果即是 一次性密钥；二是一次性密钥的空间只有224， 且伪随机数生成器根据伪随机数种子生成一次 性密钥机制使得各个一次性密钥之间存在相关 性；三是用循环冗余检验码作为完整性检测码， 容易实现同时篡改密文和加密后的ICV。
TA TK
MAC 帧中 SA、DA 优先级和 净荷字段
MIC 密钥
TSC 32 16
第1级 密钥混 TTAK 合函数
WEP 密钥
第2级 密钥混 合函数 IV
WEP 加密
michael
MIC 分段 数据 TSC
密钥混合函数是伪 随机数生成器， Michael是简化的报 文摘要算法，但完 整性检测能力远远 超过循环冗余检验 码；
AP
关联请求
计算机网络安全(课件)
1. 平安策略总那么
– 〔1〕均衡性原那么 – 网络平安策略需要在平安需求、易用性、效能和平安本钱之间保持相
对平衡，科学制定均衡的网络平安策略是提高投资回报和充分发挥网络效 能的关键。 – 〔2〕时效性原那么 – 由于影响网络平安的因素随时间有所变化，导致网络平安问题具有显 著的时效性。 – 〔3〕最小化原那么 – 网络系统提供的效劳越多，平安漏洞和威胁也就越多。因此，应当关 闭网络平安策略中没有规定的网络效劳；以最小限度原那么配置满足平安 策略定义的用户权限；及时删除无用账号和主机信任关系，将威胁网络平 安的风险降至最低。
品测评方法与工具、网络信息采集以及网络攻击技术。
•
网络管理或网络平安管理人员通常更关心网络平安管理策略、身份
认证、访问控制、入侵检测、网络平安审计、网络平安应急响应和计算
机病毒防治等平安技术。
• 国家平安保密部门来说，必须了解网络信息泄露、窃听和过滤的各 种技术手段，防止涉及国家政治、军事、经济等重要机密信息的无意或
2. 平安策略内容
– 〔1〕网络硬件物理平安 – 〔2〕网络连接平安 – 〔3〕操作系统平安 – 〔4〕网络效劳平安 – 〔5〕数据平安 – 〔6〕平安管理责任 – 〔7〕网络用户平安责任
1.2 网络平安漏洞与威胁 软件漏洞
•
软件漏洞〔flaw〕是指在设计与编制软件时没有考
虑对非正常输入进行处理或错误代码而造成的平安隐患，
信息平安评价标准简介
• 表1.1 信息平安评价标准开展历程
信息安全标准名称 美国可信计算机系统评价标准TCSEC 美国TCSEC修订版 德国计算机安全评价标准 英国计算机安全评价标准 信息技术安全评价标准ITSEC 加拿大可信计算机产品评价标准CTCPEC 信息技术安全评价联邦标准草案FC 信息技术安全评价公共标准CC 国家军用标准军用计算机安全评估准则 国际标准ISO/IEC 15408（CC） 计算机信息系统安全保护等级划分准则 信息技术-安全技术-信息技术安全评估准则
沈鑫剡计算机网络技术及应用第4章无线局域网PPT课件
进入退避时间的前提是可能发生多个终端同时发送数据的问题，即冲突； 如果终端第一次发送数据时检测到信道空闲且空闲持续DIFS时间，发生多
个终端同时发送数据的前提是多个终端同时检测信道，概率较低，因而无 须进入退避时间； 如果终端第一次发送数据时检测到信道忙，在等待信道由忙转为空闲的时 间内，可能有多个终端开始检测信道，因此，发生冲突的概率较大，需要 进入退避时间。
以太网互连多个无线局域网（BSS），AP作为互连无线局域网和以太网的网桥； 由于以太网和无线局域网具有相同的编址结构（MAC地址），这种连接方式是最
简单的； 由于源和目的地址与某一段无线传输媒体的两端地址不同，MAC帧经过无线传输
媒体时需要三个MAC地址。
计算机网络技术及应用
无线局域网
二、差错控制和寻址过程
计算机网络技术及应用
无线局域网
三、DCF和CSMA/CA
AP
①
BSS
④ ②⑤ ⑥ ③
①:数据 ②ACK ③:数据 ④:ACK ⑤:数据 ⑥:ACK 终端 A
终端 B
终端 C
DCF操作过程
实现终端A至终端C，终端B至AP的数据传输过程
计算机网络技术及应用
无线局域网
三、DCF和CSMA/CA
终端 A 检测信道
计算机网络技术及应用
一、MAC帧结构
无线局域网
2B 2B
6B 6B 6B 2B
6B 0～2312B 4B
先导码 控制
持续时间/ 关联标识符
地址
1
地址 2
地址 3
顺序控制 地址 4
数据
FCS
协议 版本
类型 子类型
到 DS
从 DS
更多 分片
计算机网络安全课件(沈鑫剡)第4章PPT课件
LAN 4
终端 A IP A
R1 IP H
LAN4 1
黑客终端
R2
R3
终端 B
IP B
黑客终端伪造路由项过程
• 黑客终端伪造和LAN4直接相连的路由项，并通过路由消息将该路由 项组播给路由器R1、R2；
• 路由器R1将通往LAN4传输路径的下一跳改为黑客终端； • 所有LAN1中终端发送给LAN4中终端的IP分组都被错误地转发给黑客
路由器 R1 正确路由表
路由器 R1 错误路由表
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 3
下一跳 直接 直接
IP R IP R
子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 2
下一跳 直接 直接
IP R IP HLAN 1LAN 2 IP RLAN 3
第1页/共38页
4.1 以太网安全技术
• 以太网接入控制 ➢ 访问控制列表； ➢ 安全端口； ➢ 802.1X接入控制过程。 • 以太网其他安全功能 ➢ 防站表溢出攻击功能； ➢ 防DHCP欺骗； ➢ 防ARP欺骗攻击。
第2页/共38页
以太网接入控制
• 黑客攻击内部网络的第一步是接入内部网络，而以太网是最常见的直接用于接入用 户终端的网络，只允许授权用户终端接入以太网是抵御黑客攻击的关键步骤；
IP 接口
VLAN 2 VLAN 3
192.1.2.254 192.1.3.254
192.1.2.0/24
192.1.3.0/24
终端 B 终端 C
Web 接口 192.1.1.0/24
终端 A
终端 A 终端 B 终端 C 终端 D
物理网络
沈鑫剡编著网络安全教材配套PPT课件
计算机网络安全
病入毒侵防防御御技系术统
三、病毒隐藏和运行
2．病毒激发机制 嵌入BIOS和引导区； 病毒程序作为自启动项； 修改名字。
计算机网络安全
病入毒侵防防御御技系术统
四、病毒感染和传播
病毒每一次运行过程，或是完成感染和传播过程。 一般情况下，PE病毒感染PE格式文件，宏病毒感染 Office文档，脚本病毒感染HTML文档。蠕虫病毒自动完成 传播过程。
计算机网络安全
病入毒侵防防御御技系术统
三、病毒隐藏和运行
1．病毒首次运行过程 （1）U盘AutoRun病毒
修改U盘的AutoRun.inf文件，将病毒程序作为双击U盘 后执行的程序。如果已经启动Windows 的自动播放功能， 当用户打开该U盘时，首先执行病毒程序。 （2）宏病毒
用Office软件打开包含宏病毒的Office文档时，才能执 行包含在Office文档中的宏病毒。 （3）脚本病毒
计算机网络安全
病入毒侵防防御御技系术统
一、病毒存在形式
病毒可以是一段寄生在其他程序和文件中的恶 意代码，也可以是一个完整的程序。 寄生病毒
脚本病毒 宏病毒 PE病毒
非寄生病毒
计算机网络安全
病入毒侵防防御御技系术统
二、病毒植入方式
对于寄生病毒，病毒植入是指将包含病毒的宿主程序 或宿主文件传输到主机系统中的过程。对于非寄生病毒， 病毒植入是指将独立、完整的病毒程序传输到主机系统中 的过程。 移动媒体 访问网页 下载实用程序 下载和复制Office文档 邮件附件 黑客上传 蠕虫蔓延
①
黑客终端 启动木马 客户端程序
黑客终端 ③ 客户端出现特 定图标，双击 图标，弹出资 源管理界面
（1）木马病毒结构及功能
病入毒侵防防御御技系术统
三、病毒隐藏和运行
2．病毒激发机制 嵌入BIOS和引导区； 病毒程序作为自启动项； 修改名字。
计算机网络安全
病入毒侵防防御御技系术统
四、病毒感染和传播
病毒每一次运行过程，或是完成感染和传播过程。 一般情况下，PE病毒感染PE格式文件，宏病毒感染 Office文档，脚本病毒感染HTML文档。蠕虫病毒自动完成 传播过程。
计算机网络安全
病入毒侵防防御御技系术统
三、病毒隐藏和运行
1．病毒首次运行过程 （1）U盘AutoRun病毒
修改U盘的AutoRun.inf文件，将病毒程序作为双击U盘 后执行的程序。如果已经启动Windows 的自动播放功能， 当用户打开该U盘时，首先执行病毒程序。 （2）宏病毒
用Office软件打开包含宏病毒的Office文档时，才能执 行包含在Office文档中的宏病毒。 （3）脚本病毒
计算机网络安全
病入毒侵防防御御技系术统
一、病毒存在形式
病毒可以是一段寄生在其他程序和文件中的恶 意代码，也可以是一个完整的程序。 寄生病毒
脚本病毒 宏病毒 PE病毒
非寄生病毒
计算机网络安全
病入毒侵防防御御技系术统
二、病毒植入方式
对于寄生病毒，病毒植入是指将包含病毒的宿主程序 或宿主文件传输到主机系统中的过程。对于非寄生病毒， 病毒植入是指将独立、完整的病毒程序传输到主机系统中 的过程。 移动媒体 访问网页 下载实用程序 下载和复制Office文档 邮件附件 黑客上传 蠕虫蔓延
①
黑客终端 启动木马 客户端程序
黑客终端 ③ 客户端出现特 定图标，双击 图标，弹出资 源管理界面
（1）木马病毒结构及功能
沈鑫剡编著(网络安全)教材配套课件第5章
（3）IPCP IP控制协议（IPCP）的作用是为终端A动态分配IP地 址等网络信息。
计算机网络安全
网络安全基础
二、 PPP与接入控制过程
3．PPP接入控制过程
接入控制过程由五个阶 段组成，分别是物理链路停 止、PPP链路建立、用户身份 鉴别、网络层协议配置和终 止PPP链路等。
物理链路停止 建立呼叫连接
标识符字段用来匹配请求和响应报文； 类型
1： 身份 4： CHAP 5： OTP 13：TLS
计算机网络安全
网络安全基础
三、 EAP over PPP
1．PPP封装EAP报文过程
标志 地址 控制 7E 1 FF 1 03 1 2 可变长 2 协议 信息 CRC 标志 7E 1
C227
编码 1
标识符 长度 类型 4 1 2 1
2．终端接入Internet的先决条件
接入网络 终端 A 接入控 制设备 Internet 服务器
终端接入Internet前，必须证明使用终端的用户 是注册用户；
在确定使用终端的用户是注册用户的前提下，由 接入控制设备完成对终端分配网络信息，建立将终 端的IP地址和终端与接入控制设备之间的传输路径 绑定在一起的路由项的过程。
计算机网络安全
网络安全基础
五、第三方鉴别过程
公钥库 主体名 公钥 主体 A PKA 主体 B PKB … 公钥管 理机构 ①请求‖时间 1 ②DSK（PKB‖请求‖时间 1） ⑤DSK（PKA‖请求‖时间 2） ③EPKB（主体 A‖RA） 主体 A ⑥EPKA（RA‖RB） 主体 B ④请求‖时间 2
（2）用户身份鉴别协议 用用户名和口令标识用户身份； 身份鉴别过程需要向接入控制设备证明自己知道某个授 权用户对应的用户名和口令； CHAP防止泄露口令。
计算机网络安全
谢谢观看
《计算机络安全》的最大特点是将计算机络安全理论、目前主流络安全技术和安全络的设计过程有机集成在 一起，既能让读者掌握完整、系统的计算机络安全理论，又能让读者具备运用主流络安全技术实现安全络设计的 能力。
《计算机络安全》可作为计算机专业本科生、研究生的计算机络安全教材，也可供从事计算机络安全工作的 工程技术人员参考。
计算机网络安全
人民邮电出版社出版的图书
01 推荐
03 作者简介
目录
02 内容简介 04 图书目录
《计算机络安全》是2011年3月人民邮电出版社出版的图书，作者是沈鑫剡。
推荐
《计算机络安全》：介绍完整系统的络安全基础理论；突出主流络安全技术原理和应用；提供解决实际络安 全问题的方法。
这是一本既注重于络安全基础理论，又着眼培养读者解决实际络安全问题能力的教材，具有以下特色： ●提供完整、系统的络安全基础理论。 ●详细讨论当前主流络安全技术，并结合络安全理论讨论这些安全技术的实现原理。 ●在实际络环境下给出运用当前主流安全技术设计安全络的方法和过程。 ●通过构建防御黑客攻击的络安全体系，讨论运用络安全技术全方位防御黑客攻击的方法。 ●通过综合监控系统和SSLVPN这样的技术给出了精致控制络资源访问过程的方法。 《计算机络安全》作者自上世纪八十年代中期开始一直从事计算机络、计算机络安全、微机控制、硬件设计 等领域的教学和科研工作，编写出版了《计算机络》、《计算机络技术及应用》、《计算机络安全》、《微机原 理与应用学习辅导》等教材，在计算机络安全领域有着教深的学术造诣和丰富的教学经验。
内容简介
《计算机络安全》是一本既注重于络安全基础理论，又着眼培养读者解决络安全问题能力的教材。书中详细 讨论了加密算法、报文摘要算法、鉴别协议等络安全基础理论，病毒实现技术和防御技术，黑客攻击方法和过程， 目前主流的络安全技术(如以太安全技术、安全路由、信息流管制、vpn、防火墙、入侵防御系统、安全无线局域 等)，以及这些安全技术防御黑客攻击的原理和案例，安全络的设计方法和过程，安全应用层协议及应用等。
精选计算机网络安全课件沈鑫剡第5章
WEP加密机制
24位初始向量（IV）和40位（或104位）密钥构成64位伪随机数种子，产生数据长度＋4（单位字节）的一次性密钥；数据的循环冗余检验码（4个字节）作为数据的完整性检验值（ICV）用于检测数据的完整性；一次性密钥和数据及ICV进行异或运算，其结果作为密文；为了在发送端和接收端同步伪随机数种子，以明文方式传输IV，由于伪随机数种子由密钥和IV组成，截获IV并不能获得伪随机数种子。
802.11i加密机制
CCMP计算MIC过程
一次性密钥产生过程是由多段标志字节、随机数和计数器构成的16B数据经AES加密运算后生成多段16B密文，这些密文串接在一起，构成和数据同样长度的一次性密钥，不同的计数器值保证每一段密文是不同的。
802.11i加密机制
CCMP加密数据过程
附加认证数据由MAC首部中传输过程中不变的字段组成，需要对这些字段的完整性进行检测；随机数由报文序号、发送端地址和优先级组成，使得不同发送端、不同MAC帧的随机数均不相同；CCMP根据随机数和附加认证数据计算MIC和数据相同长度的一次性密钥，用一次性密钥和数据的异或操作产生密文。
WEP加密机制
WEP解密过程
WEP帧结构
控制字段中的WEP标志位置1；净荷字段中包含密文（数据和ICV与一次性密钥异或运算后的结果）、IV、密钥标识符，2位密钥标识符允许发送端和接收端在4个密钥中选择一个密钥作为伪随机数种子的组成部分。
WEP认证机制
确定终端是否是授权终端的唯一依据就是终端是否拥有和AP的密钥；终端一旦通过认证，AP记录下终端的MAC地址，以后，终端MAC地址就是授权终端发送的MAC帧的标识符。
802.11i加密机制
TKIP解密的关键字段值进行完整性检测，因此，输入内容由数据、MAC帧MAC帧首部中的关键字段值构成的附加认证数据和用于防止重放攻击的随机数及用于确定随机数和附加认证数据长度的标志字节组成；计算MIC的过程是首先将输入内容分成128B的数据段，除第一段外，前一段AES加密结构和当前段数据的异或结果作为AES的输入，临时密钥作为加密密钥，最后一段数据加密结果的前8B作为计算MIC的一个参数。
第5章-网络安全-沈鑫剡-清华大学出版社
主体 A
主体 B
2．基于用户名和口令 用户A不仅需要证明自己知道某个授权用户 对应的用户名和口令，还需对方证明知道该用户 名对应的口令。
计算机网络安全
接入控制和访问控制 网络安全基础
四、双向鉴别过程
证书 主体 B 的公钥 是 PKB CA 签名 主体 A ①RB ②DSKA（RA‖RB） 主体 B 证书 主体 A 的公钥 是 PKA CA 签名
计算机网络安全
接入控制和访问控制 网络安全基础
一、 身份鉴别定义和分类
2．分类 身份鉴别方式可以分为单向鉴别、双向鉴别 和第三方鉴别三种。
主体 A 身份鉴别 主体 B
主体 A
身份鉴别
主体 B
单向鉴别
第三方 身份标 识信息 主体 A 身份鉴别 身份标 识信息
双向鉴别
主体 B
第三方鉴别
计算机网络安全
接入控制和访问控制 网络安全基础
计算机网络安全
接入控制和访问控制 网络安全基础
三、单向鉴别过程
注册用户库 ①RB 主体 A 主体 B 用户名 口令 用户 A PASSA 用户 B PASSB …
②用户 A，MD5（RB‖PASSA） ）
2．基于用户名和口令 主体A只需证明自己知道某个授权用户对应 的用户名和口令，即可证明自己身份。
网络安全
第五章
© 2006工程兵工程学院 计算机教研室
接入控制和访问控制 网络安全基础
第5章 接入控制和访问控制
本章主要内容 身份鉴别； Internet接入控制过程； EAP和802.1x； RADIUS； Kerberos和访问控制过程。
计算机网络安全
接入控制和访问控制 网络安全基础
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
路由 消息
发送路由器
接收路由器
路由器和路由项认证的基本思路是认证发送者和检测路由消息的完整性； 相邻路由器配置共享密钥K，路由消息附带消息认证码（MAC），由于计算 MAC需要共享密钥K，因此，一旦接收路由器根据密钥K和路由消息计算MAC 的结果和路由消息附带的MAC相同，可以保证发送者具有和自己相同的密 钥K（授权路由器），路由消息传输过程中未被篡改。
址记录在访问控制列 表中。
请求接入（EAP 响应（身份） ） 挑战接入（EAP 请求（CHAP） ）
EAP 响应（CHAP） 请求接入（EAP 响应（CHAP） ） EAP 成功 允许接入
用户A向认证服务器 证明自己身份：用户 名为用户A，具有口 令PASSA。
认证数据库表明：允许用户名为用户A，具有口令PASSA的用户接入以太网； 交换机A将端口7设置为认证端口，意味着必须根据认证数据库指定的认证机制： EAP-CHAP完成用户身份认证的用户终端的MAC地址才能记录在端口7的访问 控制列表的中。 计算机网络安全
交换机 A
信任端口
交换机 B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC C IP C F0/7 MAC A IP A F0/7 MAC B IP B
DHCP 配置表 端口 MAC 地址 IP 地址 F0/1 MAC A IP A F0/4 MAC B IP B F0/7 MAC C IP C
ARP 报文
ARP欺骗攻击过程
终端B通过发送将终端A的IP地址和自己MAC地址绑定的ARP报文，在其他终端和路 由器的ARP缓冲器中增添一项<IP A MAC B>，导致其他终端和路由器将目的IP地址 为IP A的IP分组，全部封装成以MAC B为目的地址的MAC帧。 计算机网络安全
安全网络技术
4.2 安全路由
交换机 A
终端 A
将连接授权 DHCP服务器的端口 ③ ① 和互连交换机的端口设置为信 ① 任端口，其他端口为非信任端 以太网 口，只允许转发从信任端口接 ② 收到的DHCP ① 响应报文。
④ ⑤ 伪造的 DHCP 服务器 ①：终端 A 发送的发现报文 ②：伪造的 DHCP 服务器发送的应答报文 ③：DHCP 服务器发送的应答报文 ④：终端 A 发送的请求报文 ⑤：伪造的 DHCP 服务器发送的确认报文
由于站表容量是有限的，当某个黑客终端大量发送源MAC地址伪造 的MAC帧时，很容易使站表溢出； 一旦站表溢出，正常终端的MAC地址无法进入站表，导致正常终端 之间传输的MAC帧以广播方式传输。
计算机网络安全
安全网络技术
以太网其他安全功能
伪造的 DHCP 服务器
DHCP 服务器
DHCP 服务器
单播反向路径验证的目的是丢弃伪造源IP地址的IP分组； 路由器通过检测接收IP分组的端口和通往源终端的端口是否相同确 定源IP地址是否伪造。
计算机网络安全
安全网络技术
4.3 虚拟网络
虚拟局域网； 虚拟路由器； 虚拟专用网络。 这里的虚拟是指逻辑上等同于独立局域网、 独立路由器或者专用网络，物理上且和其 他虚拟局域网、虚拟路由器或者虚拟专用 网络共享同一物理网络或物理路由器的一 种技术。
计算机网络安全
安全网络技术
路由项过滤
路由消息中不包含 被过滤器屏蔽掉的 两个内部网络。
192.168.1.0/24
224.0.0.9 R1 193.7.1.0/24 1
R2 路由表 目的网络 距离 下一跳 193.7.1.0/24 2 R1
192.168.0.0/22 过滤 192.168.2.0/24 R1 R2 R1 路由表 目的网络 距离 下一跳 192.168.1.0/24 1 直接 192.168.2.0/24 1 直接 193.7.1.0/24 1 直接 Internet
193.1.1.7
黑客终端 193.1.1.7
193.1.1.5
193.1.1.0/24 终端 A 193.1.1.5 R1
193.1.1.5 2
1 3 193.1.3.0/24 服务器 R3 R3 路由表 目的网络 距离 输出端口 193.1.1.0/24 2 1 193.1.2.0/24 2 2 193.1.3.0/24 1 3
计算机网络安全
安全网络技术
虚拟局域网
VLAN 1 VLAN 2 VLAN 3
同一物理以太网
三个功能上完全独立的以太网
同一个以太网是一个广播域，以太网内广播是不可避免 的，但广播一是浪费带宽，二是产生安全问题； 同一以太网两个终端之间通信不需要经过路由器，而路 由器具有比交换机更强的信息传输控制能力； 一些黑客攻击手段，如伪造DHCP服务器，ARP欺骗攻 击等，都是针对同一以太网的终端的。
计算机网络安全
安全网络技术
以太网接入控制
访问控制列表 00-46-78-11-22-33
用户 A EAP 请求（身份） EAP 响应（身份） EAP 请求 （CHAP） 认证服务器 认证数据库 用户名 认证机制 口令 用户 A EAP-CHAP PASSA 用户 B EAP-CHAP PASSB 交换机 A 用户 A终端的MAC地 （认证者）
计算机网络安全
安全网络技术
以太网接入控制
访问控制列表 00-46-78-11-22-33
00-46-78-11-22-33 终端 A
00-46-78-37-22-73 终端 B
访问控制列表
允许为交换机每一个端 口配置访问控制列表， 列表中给出允许接入的 终端的MAC地址； 配置访问控制列表的端 口只允许转发源MAC 地址属于列表中MAC 地址的MAC帧，因此 对于接入端口，只允许 物理连接MAC地址属 于列表中MAC地址的 终端。
非信任端口
交换机 B
信任端口
终端 A 终端 B
伪造的DHCP服务器为终端配置错误的网络信息，导致终端 发送的数据都被转发到冒充默认网关的黑客终端。
计算机网络安全
安全网络技术
以太网其他安全功能
终端 C MAC C IP C DHCP 服务器
ARP Cache ARP Cache IPA MAC B •解决方法基于终端配置通过 IPA MAC B 终端 C DHCP 服务器获得；
路由器和路由项认证； 路由项过滤； 单播反向路径验证。 这些功能一是确保只有授权路由器之间才能传输 路由消息，且路由器只处理传输过程中未被篡改 的路由消息；二是防止内部网络结构外泄；三是 拒绝黑客终端的源IP地址欺骗攻击。
计算机网络安全
安全网络技术
路由器和路由项认证
路由器 R1 正确路由表 子网 距离 LAN 1 1 LAN 2 1 LAN 3 2 LAN 4 3 下一跳 直接 直接 IP R IP R
黑客终端伪造和LAN4直接相连的路由项，并通过路由消息将该路由项组 播给路由器R1、R2； 路由器R1将通往LAN4传输路径的下一跳改为黑客终端； 所有LAN1中终端发送给LAN4中终端的IP分组都被错误地转发给黑客终端。
计算机网络安全
安全网络技术
路由器和路由项认证
K HMAC -MD5 相等，处理路由 消息 不相等， 丢弃路由 消息 路由 消息 HMAC -MD5 K HMAC (P) Y 路由 消息 HMAC (P) Y
终端 A 终端 B MAC A MAC B IP A IP B
•交换机侦听通过信任端口接收 到的DHCP响应报文，并将响应报 文中作为终端标识符的MAC地址 和DHCP分配给终端的IP地址记录 在DHCP配置表中； 以太网 •一旦交换机接收到ARP报文，根 IP A 据ARP报文中给出的IP地址和 MAC MAC B 地址对匹配DHCP配置表，如果找 到匹配项，继续转发ARP报文， 终端 A ARP报文。 终端 B 否则，丢弃
计算机网络安全
第四章
© 2006工程兵工程学院 计算机教研室
安全网络技术
第4章 安全网络技术
以太网安全技术； 安全路由； 虚拟网络； 信息流管制； 网络地址转换； 容错网络结构。 解决网络安全问题的方法主要有三：一是提出解决安全问 题的新的机制和算法，如数字签名算法和认证机制。二是 增加解决安全问题的新设备，如防火墙和入侵防御系统。 三是在传统网络设备和网络设计方法中增加抵御黑客攻击 的手段和能力，安全网络技术就是在传统网络设备和网络 设计方法中增加的用于抵御黑客攻击和保障网络适用性的 技术。
计算机网络安全
安全网络技术
4.1 以太网安全技术
以太网接入控制 访问控制列表； 安全端口； 802.1X接入控制过程。 以太网其他安全功能 防站表溢出攻击功能； 防DHCP欺骗； 防ARP欺骗攻击。
计算机网络安全
安全网络技术
以太网接入控制
黑客攻击内部网络的第一步是接入内部网络， 而以太网是最常见的直接用于接入用户终端 的网络，只允许授权用户终端接入以太网是 抵御黑客攻击的关键步骤； 交换机端口是用户终端的物理连接处，防止 黑客终端接入以太网的关键技术是授权用户 终端具有难以伪造的标识符，交换机端口具 有识别授权用户终端标识符的能力。
计算机网络安全
安全网络技术
虚拟局域网
S7 服务器 B 1 2 4 S1 1 2 3 S2 1 S5 2 S3 2 1 1
Si
终端 D
2 4 S6 3 S4 1 2 1 2
服务器 A
路由表 目的网络 距离 IP 接口 192.1.2.0/24 1 VLAN 2 192.1.3.0/24 1 VLAN 3 192.1.3.254 192.1.3.0/24
193.7.1.0/24