VACL配置方法

最新推荐文章于 2022-08-14 09:22:41 发布
最新推荐文章于 2022-08-14 09:22:41 发布
阅读量1.5k 收藏 4
点赞数
分类专栏： cisco

一、VACL 简单介绍： 
VACL又称为VLAN访问映射表，应用于VLAN中的所有通信流。VACL支持基于ETHERTYPE和MAC地址的过滤。与基于CISCO IOS的路由映射表一样，VACL中条目的顺序并非无关紧要。目前， CATALYST6500系列交换机支持多种VACL操作：转发，丢弃，重定向。 


二、配置步骤： 


1. 指定VLAN访问映射表的名称和序列号: 
vlan access-map map_name [seq#] 

2. 配置MATCH子句 
match ip address................................ 
3. 配置ACL操作 
action .................................................... 
4. 将VLAN 访问映射表应用于VLAN 
vlan filter map_map vlan_list list 

三、举个例子： 

confit t 
access-list 111 permit tcp any any eq ftp 
vlan access-map mm 100 
match ip address 100 
action drop 
exit 
vlan filter mm vlan-list 1

　　有些刚接触ACL（Access Control Lists）的朋友听到VACL可能有些陌生，本文将对VACL在Cisco COS和IOS版本的交换机上的使用，进行一个比较全面的描述。
　　VACL（VLAN ACL）和定时访问列表、动态访问列表、自反访问列表一样都属于ACL扩展应用的一部分，它定义了基于三层以上的信息流量，而所对应的参数则用于两层的VLAN。VACL多是针对硬件中应用，比传统的路由器访问列表处理速度明显快得多。目前，Cisco 6000（Policy Feature Card，策略特性卡，如图1）、3750、3650、3550和2950G系列的交换机都支持VACL。

基于COS VACL的配置
　　VACL与普通的ACL相同，列表也是按照顺序进行匹配的。ACL号相同的所有ACL形成一个组，在判断一个数据帧时，使用同一组中的条目从上到下逐一进行判断，一遇到满足的条目就终止对该数据帧的判断。基本的配置方法如下：
1．配置ACL
　　Set security acl ip {acl_name} {permit |deny |redirect mod/port} {protocol} {sourceaddress mask} [op] [srcport] {dest mask} [op] [destport] [before editbuffer_index |modify editbuffer_index] [log]

　　Set security acl ip命令后面指定IP ACL的名字，后面是协议的说明和采取的措施。Permit|deny分别对应为：Permit是允许通过，deny是丢弃包。如果加上Redirect选项就代表不使用CAM（Content Addressable Memory），而把流量发送到交换机上一个指定的mod/port对应的端口上。对于COS的交换机来说，ACL直到被提交之前都首先写入一个特殊的缓冲区，并不作为交换机当前运行的条目，before和modify参数是指将配置的acl条目放到某条列表之前或者修改其参数。
2．写入到TCAM
　　在配置完ACL之后，它只在编辑缓冲区里面，我们必须通过commit security acl命令将配置写入到TCAM（ternary content addressable memory）。完整的命令参数如下：
　　commit security acl {name | all }
　　name 选项为只提交指定的名称列表（可以使用show security acl ip name editbuffer 查看编辑缓冲区内未被提交到内容的控制条目），all选项指提交所有未写入的VACL。
3．映射到VLAN
　　VACL与ACL都需要在提交之后把它们对应到作用对象上，如interface vlan1///ip access-group 101 out：这两句将access-list 101应用到vlan1接口的out方向。其中101是ACL号，和相应的ACL进行关联。out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。COS VACL的配置同上面的道理一样，具体体现在：一个VLAN只能有一个VACL映射对其起作用，但一个VACL可以同时被多个VLAN同时调用。命令参数如下：
　　Set security acl map acl_name vlan

基于IOS VACL的配置
　　对于中小企业和校园网的用户来说，3750、3550和2950的交换机的数量相对较多，前面基于COS系统的VACL的配置并不具备普遍性。那么，我们将着重讲解基于IOS系统的交换机上VACL配置的方法。
配置不同的访问列表
1．基于编号的访问列表
　　标准IP访问控制列表：一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的数据包采取“拒绝”或“允许”两个操作。编号范围为1～99的访问控制列表是标准IP访问控制列表。命令格式：
　　router(config)#access-list [list number][permit | deny | remark][host/any][source address][wildcard-mask][log]
　　list number表示编号范围：1～99；permit/deny用来表示满足访问表项的报文是允许通过接口，还是要过滤掉；source address源地址；host/any表示为主机匹配地址，host表示一种精确的匹配，其屏蔽码为0.0.0.0，any表示任何主机。
　　扩展访问列表：扩展访问列表主要增加报文过滤能力，一个扩展的IP访问表允许用户根据内容过滤报文的源和目的地址的协议、端口以及特定报文字段。协议项定义了需要被过滤的协议，例如IP、TCP、UDP、ICMP等，协议选项是区别标准访问列表的特征之一。除此之外， 扩展的列表标号从100～199、2000～2699。语法如下：
　　router(config)#access-list Access-List-Number [ permit | deny ] [ Protocol | Protocol-Number ] source source-wildcard [ Source-Port ] destination destination-wildcard [ Destination-Port ] [ established ]
2．基于名称的访问列表
　　基于名称的访问列表遵守和编号IP访问控制列表一样的逻辑，名字可以更加容易地记住访问控制列表的功能，命名的列表允许使用超过99个标准控制列表和100个扩展控制列表。优于编号的控制列表的特点是可以删除特定的一条语句，而编号访问控制列表只能删除整个访问控制。语法如下：
　　router(config)#ip access-list {standard | extended} name
　　ip access-list {standard | extended} name表示要进入的name所指定的列表配置模式，所有的permit和deny操作都是进入到这个模式下进行配置的。
创建VLAN映射
VACL主要区别于标准ACL的作用方式，就是将已经创建好的ACL映射到一个VLAN上。创建映射分为三步：
　　(global) vlan access-map name [number]
　　(vlan-map) match ip address {aclname | aclnumber}
　　(vlan-map) action {drop | forward}
　　第一步vlan access-map后面的名字定义的时候最好有针对性或者提示性，而后续设置的子句都使用number选项。如果在这里进行了分组的设置，每一个子句都要经过匹配检测，直到没有发现匹配语句才丢弃分组。
　　执行完第一步实际上是进入了访问映射的配置模式。match ip address后面的参数是您在前面配置ACL的名称或编号。
　　第三步，交换机根据匹配ACL确定的匹配，action命令后面的参数才是代表流量是允许（forward）还是丢弃（drop）。
应用到交换机
之前的配置完成以后，最后需要用vlan filter命令把访问列表应用到交换机。格式如下：
　　(global) vlan filter mapname vlan-list list
　　Mapname参数对应的是vlan access-map命令创建的映射名称，list是vlan的序号。都配置完成以后可以利用show命令进行检查：
　　show ip access-lists [number | name]
　　show vlan access-map [mapname]
　　show vlan filter [access-map name | vlan vlan-id]
　　show ip interface type number

我们常说的VLAN之间的访问控制，它的实现方式是将ACL直接应用到VLAN的虚端口上，与应用到物理端口的ACL实现方式是一样的。而VLAN访问控制（VACL），也称为VLAN访问映射表，它的实现方式与前者完全不同。它应用于VLAN中的所有通信流，支持基于ETHERTYPE和MAC地址的过滤，可以防止未经授权的数据流进入VLAN。目前支持的VACL操作有三种：转发(forward)，丢弃(drop)，重定向(redirect)。
VACL很少用到，在配置时要注意以下几点：
1) 最后一条隐藏规则是deny ip any any，与ACL相同。
2) VACL没有inbound和outbound之分，区别于ACL。
3) 若ACL列表中是permit，而VACL中为drop，则数据流执行drop。
4) VACL规则应用在NAT之前。
5) 一个VACL可以用于多个VLAN中；但一个VLAN只能与一个VACL关联。
6) VACL只有在VLAN的端口被激活后才会启用，否则状态为inactive。
下面，我以Cisco3550交换机作为实例来详细描述一下两者之间不同的实现方式。
网络拓扑图
网络基本情况是划分了三个vlan：vlan10、vlan20和vlan30，vlan虚端口的IP地址分别为192.168.10.1/24、192.168.20.1/24和192.168.30.1/24。
访问控制要求：vlan10和vlan20之间不能访问，但都能访问vlan30。
（一） 通过VLAN之间ACL方式实现
******** 配置VLAN ********
Switch(config)# vlan 10 // 创建vlan 10
Switch(config-vlan)# vlan 20
Switch(config-vlan)# vlan 30
Switch(config-vlan)# int vlan 10
Switch(config-if)# ip address 192.168.10.1 255.255.255.0 // 配置vlan10虚端口IP
Switch(config-if)# int vlan 20
Switch(config-if)# ip address 192.168.20.1 255.255.255.0
Switch(config-if)# int vlan 30
Switch(config-if)# ip address 192.168.30.1 255.255.255.0
******** 配置ACL ********
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
******** 应用ACL至VLAN端口 ********
Switch(config)# int vlan 10
Switch(config-if)# ip access-group 101 in 
Switch(config)# int vlan 20
Switch(config-if)# ip access-group 102 in
******** 完毕 ********
（二） 通过VACL方式实现
******** 配置VLAN ********
（同上）
******** 配置ACL ********
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255
（不同之处：因为VACL对数据流没有inbound和outbound之分，所以要把允许通过某vlan的IP数据流都permit才行。VLAN10允许与VLAN30通讯，而数据流又是双向的，所以要在ACL中增加VLAN30的网段）
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255
Switch(config)# access-list 102 permit ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255
******** 配置VACL ********
第一步：配置vlan access map
Switch(config)# vlan access-map test1 //定义一个vlan access map，取名为test1
Switch(config-vlan-access)# match ip address 101 // 设置匹配规则为acl 101
Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward）
Switch(config)# vlan access-map test2 //定义一个vlan access map，取名为test2
Switch(config-vlan-access)# match ip address 102 // 设置匹配规则为acl 102
Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward）
第二步：应用VACL
Switch(config)# vlan filter test1 vlan-list 10 //将上面配置的test1应用到vlan10中
Switch(config)# vlan filter test2 vlan-list 20 //将上面配置的test1应用到vlan20中
******** 完毕 ********
以上就是关于VLAN之间ACL和VACL的简单配置实例。我个人认为一般情况下，通过VLAN之间ACL实现访问控制比较方便，但是当VLAN的端口比较分散时，采用VACL相对而言就要简单很多。不过使用VACL的前提是交换机支持此功能，目前可能只有Cisco 3550、4500和6500系列的交换机支持。

VACL很少用到，在配置时要注意以下几点： 

　　1） 最后一条隐藏规则是deny ip any any，与ACL相同。 

　　2） VACL没有inbound和outbound之分，区别于ACL. 

　　3） 若ACL列表中是permit，而VACL中为drop，则数据流执行drop. 

　　4） VACL规则应用在NAT之前。 

　　5） 一个VACL可以用于多个VLAN中；但一个VLAN只能与一个VACL关联。 

　　6） VACL只有在VLAN的端口被激活后才会启用，否则状态为inactive. 

　　下面，我以Cisco3550交换机作为实例来详细描述一下两者之间不同的实现方式。 

　　网络基本情况是划分了三个vlan：vlan10、vlan20和vlan30，vlan虚端口的IP地址分别为192.168.10.1/24、192.168.20.1/24和192.168.30.1/24. 

　　访问控制要求：vlan10和vlan20之间不能访问，但都能访问vlan30. 

　　（一） 通过VLAN之间ACL方式实现 

******** 配置VLAN ******** 
Switch(config)# vlan 10 // 创建vlan 10 
Switch(config-vlan)# vlan 20 
Switch(config-vlan)# vlan 30 
Switch(config-vlan)# int vlan 10 
Switch(config-if)# ip address 192.168.10.1 255.255.255.0 // 配置vlan10虚端口IP 
Switch(config-if)# int vlan 20 
Switch(config-if)# ip address 192.168.20.1 255.255.255.0 
Switch(config-if)# int vlan 30 
Switch(config-if)# ip address 192.168.30.1 255.255.255.0 

******** 配置ACL ******** 
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 

******** 应用ACL至VLAN端口 ******** 
Switch(config)# int vlan 10 
Switch(config-if)# ip access-group 101 in 
Switch(config)# int vlan 20 
Switch(config-if)# ip access-group 102 in 

******** 完毕 ******** 



　　（二） 通过VACL方式实现 

******** 配置VLAN ******** 

（同上） 

******** 配置ACL ******** 
Switch(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 
Switch(config)# access-list 101 permit ip 192.168.30.0 0.0.0.255 192.168.10.0 0.0.0.255 
（不同之处：因为VACL对数据流没有inbound和outbound之分，所以要把允许通过某vlan的IP数据流都permit才行。VLAN10允许与VLAN30通讯，而数据流又是双向的，所以要在ACL中增加VLAN30的网段） 
Switch(config)# access-list 102 permit ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 
Switch(config)# access-list 102 permit ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255 

******** 配置VACL ******** 

第一步：配置vlan access map 
Switch(config)# vlan access-map test1 //定义一个vlan access map，取名为test1 
Switch(config-vlan-access)# match ip address 101 // 设置匹配规则为acl 101 
Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward） 
Switch(config)# vlan access-map test2 //定义一个vlan access map，取名为test2 
Switch(config-vlan-access)# match ip address 102 // 设置匹配规则为acl 102 
Switch(config-vlan-access)# action forward // 匹配后，设置数据流转发（forward） 

第二步：应用VACL 
Switch(config)# vlan filter test1 vlan-list 10 //将上面配置的test1应用到vlan10中 
Switch(config)# vlan filter test2 vlan-list 20 //将上面配置的test1应用到vlan20中 

******** 完毕 ******** 



　　以上就是关于VLAN之间ACL和VACL的简单配置实例。我个人认为一般情况下，通过VLAN之间ACL实现访问控制比较方便，但是当VLAN的端口比较分散时，采用VACL相对而言就要简单很多。不过使用VACL的前提是交换机支持此功能，目前可能只有Cisco 3550、4500和6500系列的交换机支持。

 

VLAN访问控制列表(VACL)的配置方法
同普通的访问控制列表不同,VACL是用在VLAN内对数据进行过滤的,而前者是用在第三层接口对出入的数据包进行过滤,例如:在同一个VLAN内部,我们可能不允许其他主机对另一台主机进行访问,此时我们可以使用VLAN来实现,其配置方法如下:
1.创建VACL(是以映射表方式配置的)
Switch(config)# vlan access-map  map-name [ seq-number]
2.配置匹配条件
Switch(config-access-map)# match ip address { acl-num |  acl-name}
3.定义行为
Switch(config-access-map)# action { drop |  forward |  redirect  type mode/num}
4.应用VACL到VLAN
Switch(config)# vlan filter map-name  vlan-list vlan-list
5.例如:在VLAN 2内禁止主机192.168.0.1访问VLAN内的其他主机
Switch(config)#access-list 101 permit ip host 192.168.0.1 192.168.0.0 0.0.0.255
Switch(config)#vlan access-map denyhost1 10
Switch(config-access-map)#match ip address 101
Switch(config-access-map)#action drop
Switch(config-access-map)#vlan access-map denyhost1 20
Switch(config-access-map)#action forward
Switch(config-access-map)#exit
Switch(config)#vlan filter denyhost1 vlan-list 2
同普通访问列表一样,VACL后面也有一条默认拒绝的语句,所以必须配置允许其他数据流(第五,六语句)
honghu79
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CISCO交换机配置AAA、802.1X以及VACL
01-02
CISCO交换机配置AAA、802.1X以及VACL CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证，以进行SSH访问： Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令，以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机，使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式，首先使用radius 服务器，如果服务器不可用，使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl，以判断数据包是否通过tcp端口8889进入： sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表： sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时，工作笔记。 一、802.1x协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制，以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制（Port-Based Access Control）而定义的一个标准。 1、802.1X首先是一个认证协议，是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略（这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口，对于无线局域网来说个“端口”就是一条信道） 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，允许文所有的报文通过；如果认证不成功就使这个端口保持“关闭”，此时只允许802.1X的认证报文EAPOL（Extensible Authentication Protocol over LAN）通过。 二、802.1X的认证体系分为三部分结构： Supplicant System，客户端(PC/网络设备) Authenticator System，认证系统 Authentication Server System，认证服务器 三、认证过程 1、认证通过前，通道的状态为unauthorized，此时只能通过EAPOL的802.1X认证报文；2、认证通过时，通道的状态切换为authorized，此时从远端认证服务器可以传递来用户的信息，比如VLAN、CAR参数、优先级、用户的访问控制列表等等； 3、认证通过后，用户的流量就将接受上述参数的监管，此时该通道可以通过任何报文，注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client（客户端）是—需要接入LAN，及享受switch提供服务的设备（如PC机），客户端需要支持EAPOL协议，客户端必须运行802.1X客户端软件，如：802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按：IEEE 802.1x作为一种新生的链路层验证机制协议，其原理、组成、工作进程以及功能等到底如何呢？本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御，但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分，关键内部基础设施的访问权只能提供给授权用户。 局域网（LAN）历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制，允许授权用户进来，而把非授权用户拒之门外。因此，有了802.1x，LAN便不再是一道敞开的门，其本身也成为安全架构和政策执行的一个重要部分，并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议，控制着对网络访问端口即网络连接点的访问，如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问，用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前，网络访问权完全被禁止。得到验证之后，用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤，而不仅仅是简单的“开/关（on/off）”服务。 链路层验证方案的一个优点是，它只要求存在链路层连接，客户端（在802.1x中称为请求者）不需要分配供验证用的第3层地址，因而降低了风险。此外，链路层验证涉及了所有能够在链路上工作的协议，从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘，因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE　802.1x定义了下列逻辑单元： 网络访问端口：即网络上的连接点，它可能是物理端口，也可能是逻辑端口。 请求者：连接到网络、请求其服务的设备，通常是终端站。请求者是请求验证的设备，但也有可能是一种网络设备。 验证者：为验证服务提供便利的网络单元，验证者实际上并不提供验证服务，它充当请求者和验证服务器之间的代理，并且充当政策执行点。 端口访问实体：参与验证过程的固件。请求者和验证者都拥有端口访问实体（PAE）单元，请求者的PAE负责对验证信息请求做出响应，验证者的PAE负责与请求者之间的通信，代理授予通过验证服务器验证的证书，并且控制端口的授权状态。 验证服务器：提供向验证者申请验证服务的实体，它根据证书提供授权，既可以同验证者放在一起，也可以放在远地。 扩展验证协议（EAP） 由于使用了扩展验证协议（EAP），802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点（PPP）链路上的应用而定义的， 在因特网工程任务组的请求评论文档（RFC）2284中得到了明确定义。 基于以上所述，IEEE定义了一种封装模式，允许EAP通过LAN传输，EAP over LAN（EAPoL）于是应运而生。各种验证服务都可以通过这种协议运行，包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输，并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制，如加密等。相反，EAP内运行的验证协议（在RFC 2284当中定义为验证类型）为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全（EAP-TLS），它利用了在RFC 2246中明确定义的传输层协议（TLS）。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象：受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能，根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态，为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态，从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输，验证者与验证服务器之间的流量则通过RADIUS传输。 开始时，受控端口处于中断状态，所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息，或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后，就会把证书提供给验证者，然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求，该请求由验证者充当代理。请求者对质问做出响应后，验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后，就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态，即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能，其他功能甚少，大多数安全专家提到了AAA，即验证、授权和审计，而802.1x仅仅提供了最基本的验证功能，即开/关。部分厂商于是提供了另一层保护，因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度，从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能，而且可以进行扩展，以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务： ● 第2层协议过滤，去除了网络中不接受的第2层协议。 ● 第3层过滤，对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤，禁止不允许的协议进入网络。 ● 速率限制，控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务，就能针对特定用户或用户级制订相应的细粒度安全策略，为它们提供仅供访问所需服务的功能，其它服务一概禁止。 举一例，即使网络管理员能访问SNMP，会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组，那么在验证期间就可以实施特定的授权策略。就本例而言，SNMP访问权应该授予网络管理组的成员，不然需收回权限，从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 CISCO交换机配置AAA、802.1X以及VACL 一 启用AAA、禁用Telnet 以及启用 ssh 1.启用aaa身份验证，以进行SSH访问： Switch# conf t Switch(config)# aaa new-model 2.配置主机名 Switch(config)# hostname sw1 3.配置本地用户名口令，以便在带外服务器不可用时能够访问交换机 sw1(config)# username cisco password cisco 4.配置SSH sw1(config)# ipdomain-name cisco.com sw1(config)# crypto key generate rsa 5.配置交换机，使得只能通过SSH以带内方式访问交换机 sw1(config)# line vty 0 15 sw1(config-line)# transport input ssh sw1(config-line)# exit sw1(config)# exit 二 配置vty的aaa身份验证方式，首先使用radius 服务器，如果服务器不可用，使用本地用户名口令数据库 sw1(config)# aaa authentication login TEST group radius line sw1(config)# line vty 0 15 sw1(config-line)# login authentication TEST sw1(config-line)# exit 三 在接口上配置802.1x 1.为radius身份验证启用802.1x sw1(config)# aaa authentication dot1x default group radius 2.全局启用802.1x sw1(config)#dot1x system-auth-control 3.在接口上配置802.1x sw1(config)# int range fa0/2 - 10 sw1(config-if-range)# swtichport access vlan 10 sw1(config-if-range)# dot1x port-control auto 四 配置vacl以丢弃所有通过tcp端口8889进入的桢 1.配置一个acl，以判断数据包是否通过tcp端口8889进入： sw1(config)# access-list 100 permit tcp any any eq 8889 2.配置vlan访问映射表： sw1(config)# vlan access-map DROP_WORM 100 sw1(config-access-map)# match ip address 100 sw1(config-access-map)# action drop sw1(config-access-map)# exit 3.将vlan访问表应用于合适的vlan sw1(config)#vlan filter DROP_WORM vlan 10-20 802.1x工程笔记 在某网络测试时，工作笔记。 一、802.1x协议起源于802.11协议，后者是标准的无线局域网协议，802.1x协议的主要目的是为了解决无线局域网用户的接入认证问题。现在已经开始被应用于一般的有线LAN的接入。为了对端口加以控制，以实现用户级的接入控制。802.1x就是IEEE为了解决基于端口的接入控制（Port-Based Access Control）而定义的一个标准。 1、802.1X首先是一个认证协议，是一种对用户进行认证的方法和策略。 2、802.1X是基于端口的认证策略（这里的端口可以是一个实实在在的物理端口也可以是一个就像VLAN一样的逻辑端口，对于无线局域网来说个“端口”就是一条信道） 3、802.1X的认证的最终目的就是确定一个端口是否可用。对于一个端口，如果认证成功那么就“打开”这个端口，允许文所有的报文通过；如果认证不成功就使这个端口保持“关闭”，此时只允许802.1X的认证报文EAPOL（Extensible Authentication Protocol over LAN）通过。 二、802.1X的认证体系分为三部分结构： Supplicant System，客户端(PC/网络设备) Authenticator System，认证系统 Authentication Server System，认证服务器 三、认证过程 1、认证通过前，通道的状态为unauthorized，此时只能通过EAPOL的802.1X认证报文；2、认证通过时，通道的状态切换为authorized，此时从远端认证服务器可以传递来用户的信息，比如VLAN、CAR参数、优先级、用户的访问控制列表等等； 3、认证通过后，用户的流量就将接受上述参数的监管，此时该通道可以通过任何报文，注意只有认证通过后才有DHCP等过程。 4、Supplicant System- Client（客户端）是—需要接入LAN，及享受switch提供服务的设备（如PC机），客户端需要支持EAPOL协议，客户端必须运行802.1X客户端软件，如：802.1X-complain、Windows XP等 四、配置 1、先配置switch到radius server的通讯 全局启用802.1x身份验证功能 Switch# configure terminal Switch(config)# aaa new-model Switch(config)# aaa authentication dot1x {default} method1[method2...] 指定radius服务器和密钥 switch(config)#radius-server host ip_add key string 2、在port上起用802.1x Switch# configure terminal Switch(config)# interface fastethernet0/1 Switch(config-if)# switchport mode access Switch(config-if)# dot1x port-control auto Switch(config-if)# end 802.1x的安全机制 编者按：IEEE 802.1x作为一种新生的链路层验证机制协议，其原理、组成、工作进程以及功能等到底如何呢？本文揭示了这项协议在网络安全方面的运行机理及其突出应用。 虽然大多数组织的IT基础设施已经加强了边界防御，但其内部仍然容易受到攻击。这种脆弱性具体表现为内部用户可未经授权访问或者恶意破坏关键的IT资源。作为全面的“深层防御”安全架构的一部分，关键内部基础设施的访问权只能提供给授权用户。 局域网（LAN）历来是大门敞开。IEEE 802.1x这项最新标准定义了为LAN实施访问控制的机制，允许授权用户进来，而把非授权用户拒之门外。因此，有了802.1x，LAN便不再是一道敞开的门，其本身也成为安全架构和政策执行的一个重要部分，并有助于消除来自组织内部的安全威胁。 802.1x验证机制及其优点 IEEE 802.1x是一种链路层验证机制协议，控制着对网络访问端口即网络连接点的访问，如实施在无线接入点的物理交换端口或逻辑端口。通过控制网络访问，用户可以在多层安全架构部署第一道防线。在连接设备得到验证之前，网络访问权完全被禁止。得到验证之后，用户可以被提供第2层交换机通常提供的服务以外的附加服务。这些服务包括第3层过滤、速率限制和第4层过滤，而不仅仅是简单的“开/关（on/off）”服务。 链路层验证方案的一个优点是，它只要求存在链路层连接，客户端（在802.1x中称为请求者）不需要分配供验证用的第3层地址，因而降低了风险。此外，链路层验证涉及了所有能够在链路上工作的协议，从而不必为每种协议提供网络层验证。802.1x还能够使执行点尽可能地接近网络边缘，因此可以针对连接设备的特定需求定制细粒度访问规则。 IEEE 802.1x的组成 IEEE　802.1x定义了下列逻辑单元： 网络访问端口：即网络上的连接点，它可能是物理端口，也可能是逻辑端口。 请求者：连接到网络、请求其服务的设备，通常是终端站。请求者是请求验证的设备，但也有可能是一种网络设备。 验证者：为验证服务提供便利的网络单元，验证者实际上并不提供验证服务，它充当请求者和验证服务器之间的代理，并且充当政策执行点。 端口访问实体：参与验证过程的固件。请求者和验证者都拥有端口访问实体（PAE）单元，请求者的PAE负责对验证信息请求做出响应，验证者的PAE负责与请求者之间的通信，代理授予通过验证服务器验证的证书，并且控制端口的授权状态。 验证服务器：提供向验证者申请验证服务的实体，它根据证书提供授权，既可以同验证者放在一起，也可以放在远地。 扩展验证协议（EAP） 由于使用了扩展验证协议（EAP），802.1x在请求者和验证者之间采用的实际验证机制相当灵活。EAP原先是为点对点（PPP）链路上的应用而定义的， 在因特网工程任务组的请求评论文档（RFC）2284中得到了明确定义。 基于以上所述，IEEE定义了一种封装模式，允许EAP通过LAN传输，EAP over LAN（EAPoL）于是应运而生。各种验证服务都可以通过这种协议运行，包括用户名/口令、Kerberos、数字证书、一次性口令和生物检测术等服务。EAP数据包在请求者和验证者之间的链路层上传输，并通过验证者与验证服务器之间的IP/RADIUS连接。 EAP本身并不为流量传输明确规定任何保护机制，如加密等。相反，EAP内运行的验证协议（在RFC 2284当中定义为验证类型）为安全操作提供了数据的机密性和完整性。验证类型的一个例子就是EAP传输层安全（EAP-TLS），它利用了在RFC 2246中明确定义的传输层协议（TLS）。 受控端口和不受控端口 802.1x标准定义了两种逻辑抽象：受控端口和不受控端口。这两种端口都连接到网络访问端口上。受控端口提供了访问请求者所用的网络服务的功能，根据验证操作成功与否实现打开或关闭操作。不受控端口始终处于连接状态，为验证服务的进行提供了始终连通的状态。受控端口需验证通过后才处于连接状态，从而提供给请求者网络服务。 802.1x的工作过程 802.1x的工作相当简单。值得注意的是请求者和验证者之间的流量通过EAPoL传输，验证者与验证服务器之间的流量则通过RADIUS传输。 开始时，受控端口处于中断状态，所以请求者无法访问LAN本身。请求者向验证者发出EAPoL起始消息，或者验证者会向请求者发出EAP请求身份消息。请求者接到请求身份消息后，就会把证书提供给验证者，然后验证者进行封装后把RADIUS数据包里面的消息发送给验证服务器。 RADIUS服务器随后向请求者发出质问请求，该请求由验证者充当代理。请求者对质问做出响应后，验证者又一次充当数据通过验证服务器的代理。验证服务器确认证书后，就会做出请求者可不可以使用LAN服务的决定。只要让受控端口由中断状态转换到连接状态，即可实现这一步。 增强授权功能 因为802.1x只明确规定了基本的开/关功能，其他功能甚少，大多数安全专家提到了AAA，即验证、授权和审计，而802.1x仅仅提供了最基本的验证功能，即开/关。部分厂商于是提供了另一层保护，因为许多组织需要比“开/关”所能够实现的更高一级的细粒度。厂商为受控端口增添逻辑以提高保真度，从而大大增强了授权功能。这种所谓的授权服务可以提供高保真度的第2、第3和第4层过滤功能，而且可以进行扩展，以获得动态自我配置的数据包过滤防火墙。授权服务可以提供如下的一些服务： ● 第2层协议过滤，去除了网络中不接受的第2层协议。 ● 第3层过滤，对提供特定单元访问权的网络执行逻辑视图。 ● 第4层过滤，禁止不允许的协议进入网络。 ● 速率限制，控制可能有害的信息进入网络的速率。 如果利用为每个端口进行编程的授权服务，就能针对特定用户或用户级制订相应的细粒度安全策略，为它们提供仅供访问所需服务的功能，其它服务一概禁止。 举一例，即使网络管理员能访问SNMP，会计部门的人却没有理由同样能访问。如果有可能确定一个用户属于哪个组，那么在验证期间就可以实施特定的授权策略。就本例而言，SNMP访问权应该授予网络管理组的成员，不然需收回权限，从而防止网络管理员之外的人无意或恶意对网络设备乱加配置。 发表于： 2010-03-01，修改于： 2010-03-01 08:56 已浏览168次，有评论0条 推荐 投诉
vacl的配置方法
红泪箫琴
05-26 3490
一、VACL 简单介绍： VACL又称为VLAN访问映射表，应用于VLAN中的所有通信流。VACL支持基于ETHERTYPE和MAC地址的过滤。与基于CISCO IOS的路由映射表一样，VACL中条目的顺序并非无关紧要。目前， CATALYST6500系列交换机支持多种VACL操作：转发，丢弃，重定向。 二、配置步骤： 1. 指定VLAN访问映射表的名称和序列号: vlan access-map
思科 VACL
weixin_42862151的博客
08-24 306
SW .254 R2 R3 R4 R5 vlan20 192.168.20.1 R2: int e0/0 ip add 192.168.20.1 255.255.255.0 no sh ip route 0.0.0.0 0.0.0.0 192.168.20.254 SW： vlan 20,30,40,50...
VACL
weixin_33681778的博客
10-10 167
ip access-list exvlan605-permitpermit udp any anyeq bootpspermit udp any anyeq bootpcpermit udp any anyeq domainpermit udp any eqdomain anypermit icmp any anypermit tcp any10.100.2.0 0.0.0....
关于锐捷交换机配置
qq_39265844的博客
08-15 2108
请问锐捷的交换机怎么配置端口隔离？不要VLAN用VLAN隔离。我记得有    port-isolate    这个单词，具体的忘记了。 比如1-23口陪隔离，24口不配
VLAN之间ACL和VACL的区别
11-30
在VACL配置中，我们需要配置VACL规则，例如match ip address 101，这个规则匹配ACL 101规则的流量，然后将其转发到VLAN30上。然后，我们需要将VACL应用于VLAN10上，以控制VLAN10上的流量。 ACL和VACL都是用于控制...
思科三层交换机设置详细文档
06-26
本篇文档将详细介绍如何配置和管理3550系列交换机，以确保网络的稳定运行。 1. **产品特性** 3550交换机是思科推出的一款具备高级服务的三层交换机，主要特性包括：支持快速以太网和千兆以太网接口、具备硬件加速...
vlan-access-01.zip
最新发布
03-15
6. VLAN访问控制列表（VACL）：类似于IP ACL，VACL可以在VLAN级别实施过滤策略，控制不同VLAN间的数据流，提高网络安全。 7. Inter-VLAN Routing：由于VLAN之间的通信需要路由，理解如何配置路由设备（如路由器或三...
小型局域网的组建全过程借鉴.pdf
11-10
6. **配置VLAN访问控制（VACL）**：VACL用于限制不同VLAN间的流量，以提高安全性。例如，可以设置规则阻止非财务部门的主机访问财务部的IP地址。 此外，为了确保网络的稳定运行，还需要配置IP路由、DNS解析、DHCP...
如何利用局域网来实现VLAN的实例
03-04
VLAN（Virtual Local Area Network）是一种网络技术，用于在局域网中划分逻辑上的工作组，而不受物理位置的限制。...在部署VLAN和三层交换时，理解其工作原理和配置方法至关重要，以便在网络架构中实现最佳实践。
交换机安全
07-29
本文将详细讨论三种类型的ACL：RACL、VACL和MAC ACL。 1. RACL（Route Access Control List，路由访问控制列表） RACL类似于路由器上的ACL，主要用于在网络的三层（IP层）进行流量控制。它允许或拒绝特定IP地址或...
CCNP高端交换技术精解视频.zip
01-12
目录 1-1-1SONA网络架构.mp4 1-1-2园区网络模型.mp4 1-1-3生命周期模型.mp4 2-1-1VLAN部署方式.mp4 2-1-2VLAN部署的最佳实践.mp4 ... 6-1-3VLAN攻击与VACL.mp4 6-1-4ARP攻击的防护.mp4 6-1-5交换机安全建议.mp4
switch security.rar
07-25
攻击方法： 1、MAC地址flooding攻击 2、MAC地址的欺骗攻击 解决方案： 1、基于源MAC地址允许流量：端口安全 2、基于源MAC地址限制流量：static CAM 3、阻止未知的单/组播帧 4、802.1x基于端口的认证 二、VLAN ...
三层交换机上做端口隔离
09-24
三层交换机上做端口隔离-实例演示，通过配置vACL实现端口隔离
vacl
weixin_34409822的博客
03-05 117
好长时间没弄交换，一次无意中想到的VACL， 就给点基于， 在有写工程中要求在同个VLAN 用户直接的互访的问题，就稍微做个事例： VI:10.1.1.10 PC1------SW---------PC2 10.1.1.1 10.1.1.2 sw: conf t vlan 10 nam...
交换高级特性 —— VACL+PACL
qq_62311779的博客
08-14 670
一、VACL ——VLAN ACL： （1）特点： （2）配置 步骤+案列： （3）放行ping包（针对ICMP协议去和返回的流量放行） 二、扩展（常见以太网类型字段及值）： 三、PACL——port ACL：
交换机的VACL测试
weixin_34410662的博客
11-27 131
一.测试拓扑： R1------------SW1------------------(MAC:2.2.2)R2 | R3 R1，R2，R3都在VLAN11中，R1连接SW1的接口手工指定mac地址为1.1.1,R2连接SW1的接口手工指定mac地址为2.2.2; R1接口的IP地址为10.1.1.1; R2接口的IP地址为10.1.1.2; ...
思科交换机配置试题_思科交换机VACL的应用与配置
weixin_30970867的博客
01-07 271
vlan access-map简称VACL，是指Vlan访问控制列表，实现方式为将ACL直接应用到VLAN的虚端口上。Vlan 访问控制列表，简称VACL。VLAN之间的访问控制，它的实现方式是将ACL直接应用到VLAN的虚端口上，与应用到物理端口的ACL实现方式是一样的。而VLAN访问控制(VACL)，也称为VLAN访问映射表，它的实现方式与前者完全不同。它应用于VLAN中的所有通信流，支持基于...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值