配置指导命令详解
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
例如：
#
acl number 3011
rule 160 permit icmp icmp-type echo
rule 161 permit icmp icmp-type echo-reply
rule 162 permit icmp icmp-type ttl-exceeded
rule 206 permit tcp destination-port eq telnet
rule 3000 deny ip
#
interface Ethernet1/0
ip address 172.30.79.6 255.255.255.252
firewall packet-filter 3011 inbound
firewall aspf 1 outbound
#
注意事项：由于目前ASPF对内存和性能的影响较大，网吧应用环境中不建议在AR18系列路由器上进行配置。在所有的出报文都需要进行NAT的情况下一般也没有必要配置ASPF。
ip route-static 192.168.0.0 255.255.0.0 NULL 0 preference 60
ip route-static 198.18.0.0 255.254.0.0 NULL 0 preference 60
1.4进行IP-MAC地址绑定
由于网吧上网人员比较复杂，可能有人有意或无意地更改IP地址，或者使用网络执法官等软件进行恶意地破坏，通过在网关和客户机上都进行IP-MAC地址绑定（静态ARP），可以有效地防止这类以ARP欺骗为基础的攻击。
第一部分配置原则概述
随着网络建设和应用的不断深入，网络安全问题正逐渐成为一个突出的管理问题。AR18系列路由器通过多种手段和配置可以控制和管理网络的流量，能够有效地实施各种防攻击策略。尤其在网吧这种复杂的网络环境中，全面合理的配置能够大大提高网络的稳定性和可靠性。
由于网吧上网人员数量多、构成复杂、流动性大，因此网络流量具有流量大、协议种类多、流量复杂等特点。一般网吧局域网内均有一定程度主机感染病毒，同时也很容易被用来发起网络攻击，或者被他人攻击，这就对网吧中的核心设备――网关提出了较高的要求。本文以AR18系列路由器为例讲解网关在网吧应用中需要注意的配置事项，同时给出了各种组网情况下的典型配置。
acl number 3001
rule 2000 permit ip destination 162.1.1.00.0.0.3
rule 2001 permit ip destination 192.168.1.00.0.0.255
rule 3000 deny ip
在广域网接口也可以通过静态包过滤结合ASPF进行更精确的包过滤和攻击防范。
1需要注意的配置事项
1.1配置ACL对非法报文进行过滤
ACL是每个安全策略的组成部份，控制和监视什么数据包进入和离开网络几乎是网络安全的定义。尽管路由器的工作是进行数据包的转发而不是阻止它。但是有些数据包我们必须阻止它。
1.1.1进行源IP和目的IP过滤
至少应该在所有的接口上对入方向的报文进行过滤。在RFC2827/BCP 38 (Best Current Practice)中高度建议使用入口过滤，这不仅可以使你的网络安全，而且可以使其它的网络不会被来自你的网络的伪装的源IP给攻击。许多的网络攻击者使用伪装的源IP地址来隐藏它们的身份，在网络使用了入口过滤功能后，也更加容易定位网络攻击者，因为攻击者必须使用真实的源IP地址。
通过ACL限制端口。一是只限制P2P的端口，开放所有的其他端口，这种方法有其局限性，因为现在有的p2p软件，端口可以改变，封锁后会自动改端口，甚至可以改到80端口，如果连这个也封，那网络使用就无法正常工作了；二是只开放有用的端口，封闭其他端口，这种方法是对网络进行严格的控制，对简单的小型网络还可行，而如果是大型网络，数据流量又很复杂那么管理的难度将非常大；因此这两种方法对网吧都不太适合。
在网关上可以通过arp static命令对所有的客户机进行静态ARP设置。
在客户机上可以建立一个批处理文件放到启动组里，批处理文件的内容就是对网关进行IP-MAC绑定，这样每次启动就都会自动进行设置。
客户机设置静态ARP的实例：
@echo off
arp–s192.168.1.1 00-0f-e2-21-a0-01
例如：
acl number 3001
rule 10 deny tcp destination-port eq 445/Worm.Blaster
rule 11 deny udp destination-port eq 445/Worm.Blaster
rule 20 deny tcp destination-port eq 135/Worm.Blaster
建议在AR18系列路由器上配置NAT地址池时只配置1个IP地址。
例如：
nat address-group 1 218.27.192.1 218.27.192.1
1.3路由配置注来自百度文库事项
RFC1918中指定的保留的私有地址和其他已知的私有地址不应该存在于现有的internet网络上。可以通过黑洞路由进行过滤。避免局域网中存在攻击时占用大量的快转表项或者NAT表项。
rule 202 deny tcp destination-port eq ftp
rule 204 deny tcp destination-port eq 3389
1.2NAT配置注意事项
需要使用NAT转换地址池时，应尽量缩小NAT转换地址池的大小，因为地址池越大，占用的内存空间就可能会越大，大的地址池对于内存较小的设备很可能会导致内存耗尽。AR系列路由器上每个NAT转换地址可以支持50000个会话，网吧每台机器正常上网时平均会创建30条会话，因此一般情况下地址池配置1个NAT转换地址就可以满足需求。
例如：
acl number 3001
rule 160 permit icmp icmp-type echo
rule 161 permit icmp icmp-type echo-reply
rule 162 permit icmp icmp-type ttl-exceeded
rule 165 deny icmp
1.1.3限制netbios协议端口
在现今的网络上，充斥着大量的网络扫描。基于UDP 137, 138端口的扫描是常见的扫描，UDP 137和UDP138是netbios的数据报和名字服务。通常情况下，进入到路由器的137和138包是广播包，而路由器在默认情况下是不转发这些广播包的。但在某些情况下，一些扫描工具扫描UDP 137和UDP138的端口，以图找出主机上的共享文件夹。这种情况下，进入路由器的数据包会是unicast的137和138，而且通常目的地址不停变化。因此我们可以将这些UDP 138和138的数据包通过ACL挡断。保护用户和网络的安全。
1.5.2结合QOS和ACL限制端口流量
结合QOS和ACL来限制P2P端口的数据流量。因为多数蠕虫病毒和p2p的端口都是大于3000的，当然也有正常的应用是采用3000以上的端口，如果我们将3000以上的端口封闭，这样正常的应用也无法开展，所以折中的方法是对端口3000以上的数据流进行限速。在实际应用中可能需要根据实际情况更改端口号的范围以使对其他应用的影响降低到最小。
1.1.4限制常见病毒使用的端口
一般网吧中存在大量的“冲击波”、“震荡波”等病毒，这类病毒会不断地变化源IP或目的IP进行扫描和发送攻击数据，这会极大地消耗网络设备的资源。笔者曾在一个网吧的实际环境中发现56％的上行报文都是“震荡波”病毒的扫描报文。这些病毒一般使用固定的端口，比如TCP/135、TCP/4444、UDP/1434、TCP/5554、TCP/9996等，通过ACL对匹配这些目的端口的报文进行过滤会大大提高网络设备的安全性。
rule 61 deny udp destination-port eq tftp/Worm.Blaster
rule 70 deny tcp destination-port eq 593/Worm.Blaster
rule 80 deny tcp destination-port eq 4444/Worm.Blaster
1.5限制P2P应用（根据实际情况可选）
P2P应用对于网吧带宽来说是致命杀手，一个P2P客户端就有可能占用总带宽的90％以上，这会严重影响网吧的其他用户的正常上网，尤其是玩在线游戏的用户。限制P2P应用有多种方式可以选择，但目前还没有非常有效的方法。下面分别介绍几种常用的方法。
1.5.1通过ACL限制端口
rule 21 deny udp destination-port eq 135/Worm.Blaster
rule 30 deny tcp destination-port eq 137
rule 40 deny tcp destination-port eq 138
rule 50 deny tcp destination-port eq 139/Worm.Blaster
1.1.2限制ICMP报文
ICMP报文是另一种我们需要关心的数据包。大量的攻击和病毒使用ICMP报文作为攻击手段。但实际上internet是使用的ICMP绝大部分是ping和traceroute。大量的其它icmp类型并不使用。因此，实际上我们可以仅允许ICMP的ping echo和ping reply及traceroute所需要的TTL开放。其它的均可以关闭。
rule 90 deny tcp destination-port eq 707/NachiBlaster-D
rule 100 deny tcp destination-port eq 1433
rule 101 deny udp destination-port eq 1433
rule 110 deny tcp destination-port eq 1434
例如：
在广域网接口和QOS结合使用的ACL。
acl number 3100
rule 1000 permit tcp destination-portgt3000
例如：
acl number 3001
rule 31 deny udp destination-port eq netbios-ns
rule 41 deny udp destination-port eq netbios-dgm
rule 51 deny udp destination-port eq netbios-ssn
1.1.5关闭没有使用的端口
网络中每时每刻都存在大量的扫描报文，扫描软件一般都会先探测目的主机开放了哪些端口。对于常用的应用程序，如www、ftp、tftp等，如果局域网内并没有机器开放这些服务，可以在广域网接口通过ACL对匹配这些目的端口的报文进行过滤。
例如：
acl number 3001
rule 200 deny tcp destination-port eq www
rule 111 deny udp destination-port eq 1434/SQL Slammer
rule 120 deny tcp destination-port eq 5554/Sasser
rule 130 deny tcp destination-port eq 9996/Sasser
例如：
ip route-static10.0.0.0 255.0.0.0 NULL 0 preference 60
ip route-static 169.254.0.0 255.255.0.0 NULL 0 preference 60
ip route-static 172.16.0.0 255.240.0.0 NULL 0 preference 60
例如：
假设局域网接口的IP地址为192.168.1.0/24，广域网接口的IP地址为162.1.1.0/30，在局域网接口可以设置：
acl number 3003
rule 2000 permit ip source 192.168.1.00.0.0.255
rule 3000 deny ip
在广域网接口可以设置：
#
acl number 3011
rule 160 permit icmp icmp-type echo
rule 161 permit icmp icmp-type echo-reply
rule 162 permit icmp icmp-type ttl-exceeded
rule 206 permit tcp destination-port eq telnet
rule 3000 deny ip
#
interface Ethernet1/0
ip address 172.30.79.6 255.255.255.252
firewall packet-filter 3011 inbound
firewall aspf 1 outbound
#
注意事项：由于目前ASPF对内存和性能的影响较大，网吧应用环境中不建议在AR18系列路由器上进行配置。在所有的出报文都需要进行NAT的情况下一般也没有必要配置ASPF。
ip route-static 192.168.0.0 255.255.0.0 NULL 0 preference 60
ip route-static 198.18.0.0 255.254.0.0 NULL 0 preference 60
1.4进行IP-MAC地址绑定
由于网吧上网人员比较复杂，可能有人有意或无意地更改IP地址，或者使用网络执法官等软件进行恶意地破坏，通过在网关和客户机上都进行IP-MAC地址绑定（静态ARP），可以有效地防止这类以ARP欺骗为基础的攻击。
第一部分配置原则概述
随着网络建设和应用的不断深入，网络安全问题正逐渐成为一个突出的管理问题。AR18系列路由器通过多种手段和配置可以控制和管理网络的流量，能够有效地实施各种防攻击策略。尤其在网吧这种复杂的网络环境中，全面合理的配置能够大大提高网络的稳定性和可靠性。
由于网吧上网人员数量多、构成复杂、流动性大，因此网络流量具有流量大、协议种类多、流量复杂等特点。一般网吧局域网内均有一定程度主机感染病毒，同时也很容易被用来发起网络攻击，或者被他人攻击，这就对网吧中的核心设备――网关提出了较高的要求。本文以AR18系列路由器为例讲解网关在网吧应用中需要注意的配置事项，同时给出了各种组网情况下的典型配置。
acl number 3001
rule 2000 permit ip destination 162.1.1.00.0.0.3
rule 2001 permit ip destination 192.168.1.00.0.0.255
rule 3000 deny ip
在广域网接口也可以通过静态包过滤结合ASPF进行更精确的包过滤和攻击防范。
1需要注意的配置事项
1.1配置ACL对非法报文进行过滤
ACL是每个安全策略的组成部份，控制和监视什么数据包进入和离开网络几乎是网络安全的定义。尽管路由器的工作是进行数据包的转发而不是阻止它。但是有些数据包我们必须阻止它。
1.1.1进行源IP和目的IP过滤
至少应该在所有的接口上对入方向的报文进行过滤。在RFC2827/BCP 38 (Best Current Practice)中高度建议使用入口过滤，这不仅可以使你的网络安全，而且可以使其它的网络不会被来自你的网络的伪装的源IP给攻击。许多的网络攻击者使用伪装的源IP地址来隐藏它们的身份，在网络使用了入口过滤功能后，也更加容易定位网络攻击者，因为攻击者必须使用真实的源IP地址。
通过ACL限制端口。一是只限制P2P的端口，开放所有的其他端口，这种方法有其局限性，因为现在有的p2p软件，端口可以改变，封锁后会自动改端口，甚至可以改到80端口，如果连这个也封，那网络使用就无法正常工作了；二是只开放有用的端口，封闭其他端口，这种方法是对网络进行严格的控制，对简单的小型网络还可行，而如果是大型网络，数据流量又很复杂那么管理的难度将非常大；因此这两种方法对网吧都不太适合。
在网关上可以通过arp static命令对所有的客户机进行静态ARP设置。
在客户机上可以建立一个批处理文件放到启动组里，批处理文件的内容就是对网关进行IP-MAC绑定，这样每次启动就都会自动进行设置。
客户机设置静态ARP的实例：
@echo off
arp–s192.168.1.1 00-0f-e2-21-a0-01
例如：
acl number 3001
rule 10 deny tcp destination-port eq 445/Worm.Blaster
rule 11 deny udp destination-port eq 445/Worm.Blaster
rule 20 deny tcp destination-port eq 135/Worm.Blaster
建议在AR18系列路由器上配置NAT地址池时只配置1个IP地址。
例如：
nat address-group 1 218.27.192.1 218.27.192.1
1.3路由配置注来自百度文库事项
RFC1918中指定的保留的私有地址和其他已知的私有地址不应该存在于现有的internet网络上。可以通过黑洞路由进行过滤。避免局域网中存在攻击时占用大量的快转表项或者NAT表项。
rule 202 deny tcp destination-port eq ftp
rule 204 deny tcp destination-port eq 3389
1.2NAT配置注意事项
需要使用NAT转换地址池时，应尽量缩小NAT转换地址池的大小，因为地址池越大，占用的内存空间就可能会越大，大的地址池对于内存较小的设备很可能会导致内存耗尽。AR系列路由器上每个NAT转换地址可以支持50000个会话，网吧每台机器正常上网时平均会创建30条会话，因此一般情况下地址池配置1个NAT转换地址就可以满足需求。
例如：
acl number 3001
rule 160 permit icmp icmp-type echo
rule 161 permit icmp icmp-type echo-reply
rule 162 permit icmp icmp-type ttl-exceeded
rule 165 deny icmp
1.1.3限制netbios协议端口
在现今的网络上，充斥着大量的网络扫描。基于UDP 137, 138端口的扫描是常见的扫描，UDP 137和UDP138是netbios的数据报和名字服务。通常情况下，进入到路由器的137和138包是广播包，而路由器在默认情况下是不转发这些广播包的。但在某些情况下，一些扫描工具扫描UDP 137和UDP138的端口，以图找出主机上的共享文件夹。这种情况下，进入路由器的数据包会是unicast的137和138，而且通常目的地址不停变化。因此我们可以将这些UDP 138和138的数据包通过ACL挡断。保护用户和网络的安全。
1.5.2结合QOS和ACL限制端口流量
结合QOS和ACL来限制P2P端口的数据流量。因为多数蠕虫病毒和p2p的端口都是大于3000的，当然也有正常的应用是采用3000以上的端口，如果我们将3000以上的端口封闭，这样正常的应用也无法开展，所以折中的方法是对端口3000以上的数据流进行限速。在实际应用中可能需要根据实际情况更改端口号的范围以使对其他应用的影响降低到最小。
1.1.4限制常见病毒使用的端口
一般网吧中存在大量的“冲击波”、“震荡波”等病毒，这类病毒会不断地变化源IP或目的IP进行扫描和发送攻击数据，这会极大地消耗网络设备的资源。笔者曾在一个网吧的实际环境中发现56％的上行报文都是“震荡波”病毒的扫描报文。这些病毒一般使用固定的端口，比如TCP/135、TCP/4444、UDP/1434、TCP/5554、TCP/9996等，通过ACL对匹配这些目的端口的报文进行过滤会大大提高网络设备的安全性。
rule 61 deny udp destination-port eq tftp/Worm.Blaster
rule 70 deny tcp destination-port eq 593/Worm.Blaster
rule 80 deny tcp destination-port eq 4444/Worm.Blaster
1.5限制P2P应用（根据实际情况可选）
P2P应用对于网吧带宽来说是致命杀手，一个P2P客户端就有可能占用总带宽的90％以上，这会严重影响网吧的其他用户的正常上网，尤其是玩在线游戏的用户。限制P2P应用有多种方式可以选择，但目前还没有非常有效的方法。下面分别介绍几种常用的方法。
1.5.1通过ACL限制端口
rule 21 deny udp destination-port eq 135/Worm.Blaster
rule 30 deny tcp destination-port eq 137
rule 40 deny tcp destination-port eq 138
rule 50 deny tcp destination-port eq 139/Worm.Blaster
1.1.2限制ICMP报文
ICMP报文是另一种我们需要关心的数据包。大量的攻击和病毒使用ICMP报文作为攻击手段。但实际上internet是使用的ICMP绝大部分是ping和traceroute。大量的其它icmp类型并不使用。因此，实际上我们可以仅允许ICMP的ping echo和ping reply及traceroute所需要的TTL开放。其它的均可以关闭。
rule 90 deny tcp destination-port eq 707/NachiBlaster-D
rule 100 deny tcp destination-port eq 1433
rule 101 deny udp destination-port eq 1433
rule 110 deny tcp destination-port eq 1434
例如：
在广域网接口和QOS结合使用的ACL。
acl number 3100
rule 1000 permit tcp destination-portgt3000
例如：
acl number 3001
rule 31 deny udp destination-port eq netbios-ns
rule 41 deny udp destination-port eq netbios-dgm
rule 51 deny udp destination-port eq netbios-ssn
1.1.5关闭没有使用的端口
网络中每时每刻都存在大量的扫描报文，扫描软件一般都会先探测目的主机开放了哪些端口。对于常用的应用程序，如www、ftp、tftp等，如果局域网内并没有机器开放这些服务，可以在广域网接口通过ACL对匹配这些目的端口的报文进行过滤。
例如：
acl number 3001
rule 200 deny tcp destination-port eq www
rule 111 deny udp destination-port eq 1434/SQL Slammer
rule 120 deny tcp destination-port eq 5554/Sasser
rule 130 deny tcp destination-port eq 9996/Sasser
例如：
ip route-static10.0.0.0 255.0.0.0 NULL 0 preference 60
ip route-static 169.254.0.0 255.255.0.0 NULL 0 preference 60
ip route-static 172.16.0.0 255.240.0.0 NULL 0 preference 60
例如：
假设局域网接口的IP地址为192.168.1.0/24，广域网接口的IP地址为162.1.1.0/30，在局域网接口可以设置：
acl number 3003
rule 2000 permit ip source 192.168.1.00.0.0.255
rule 3000 deny ip
在广域网接口可以设置：