127.0.0.0与0.0.0.0的区别

1. IP地址分类

ref :https://tools.ietf.org/html/rfc1700 page 3

IP地址表示

IP地址由两个部分组成,net-id和host-id,即网络号和主机号。
net-id:表示ip地址所在的网络号。
host-id:表示ip地址所在网络中的某个主机号码。
即:
IP-address ::= { <Network-number>, <Host-number> }

IP地址分类

IP地址一共分为5类,即A~E,它们分类的依据是其net-id所占的字节长度以及网络号前几位。

  • A类地址:网络号占1个字节。网络号的第一位固定为0。
  • B类地址:网络号占2个字节。网络号的前两位固定为10。
  • C类地址:网络号占3个字节。网络号的前三位固定位110。
  • D类地址:前四位是1110,用于多播(multicast),即一对多通信。
  • E类地址:前四位是1111,保留为以后使用。
    其中,ABC三类地址为单播地址(unicast),用于一对一通信,是最常用的。
特殊IP地址

特殊IP地址就是用来做一些特殊的事情。RFC1700中定义了以下特殊IP地址。

  1. {0,0}:网络号和主机号都全部为0,表示“本网络上的本主机”,只能用作源地址。
  2. {0,host-id}:本网络上的某台主机。只能用作源地址。
  3. {-1,-1}:表示网络号和主机号的所有位上都是1(二进制),用于本网络上的广播,只能用作目的地址,发到该地址的数据包不能转发到源地址所在网络之外。
  4. {net-id,-1}:直接广播到指定的网络上。只能用作目的地址。
  5. {net-id,subnet-id,-1}:直接广播到指定网络的指定子网络上。只用作目的地址。
  6. {net-id,-1,-1}:直接广播到指定网络的所有子网络上。只能用作目的地址。
  7. {127,}:即网络号为127的任意ip地址。都是内部主机回环地址(loopback),永远都不能出现在主机外部的网络中。

区别与联系

0.0.0.0

IPV4中,0.0.0.0地址被用于表示一个无效的,未知的或者不可用的目标。

  • 在服务器中,0.0.0.0指的是本机上的所有IPV4地址,如果一个主机有两个IP地址,192.168.1.1 和 10.1.2.1,并且该主机上的一个服务监听的地址是0.0.0.0,那么通过两个ip地址都能够访问该服务。
  • 在路由中,0.0.0.0表示的是默认路由,即当路由表中没有找到完全匹配的路由的时候所对应的路由。

用途总结:

  • 当一台主机还没有被分配一个IP地址的时候,用于表示主机本身。(DHCP分配IP地址的时候)
  • 用作默认路由,表示”任意IPV4主机”。
  • 用来表示目标机器不可用。
  • 用作服务端,表示本机上的任意IPV4地址。
127.0.0.1

127.0.0.1属于{127,}集合中的一个,而所有网络号为127的地址都被称之为回环地址,所以回环地址!=127.0.0.1,它们是包含关系,即回环地址包含127.0.0.1。
回环地址:所有发往该类地址的数据包都应该被loop back。
用途:

  • 回环测试,通过使用ping 127.0.0.1 测试某台机器上的网络设备,操作系统或者TCP/IP实现是否工作正常。
  • DDos攻击防御:网站收到DDos攻击之后,将域名A记录到127.0.0.1,即让攻击者自己攻击自己。
  • 大部分Web容器测试的时候绑定的本机地址。
localhost

相比127.0.0.1,localhost具有更多的意义。localhost是个域名,而不是一个ip地址。之所以我们经常把localhost与127.0.0.1认为是同一个是因为我们使用的大多数电脑上都讲localhost指向了127.0.0.1这个地址。
在ubuntu系统中,/ets/hosts文件中都会有如下内容:

127.0.0.1   localhost
127.0.1.1   jason-Lenovo-V3000
# The following lines are desirable for IPv6 capable hosts
::1     ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

localhost是一个域名,用于指代this computer或者this host,可以用它来获取运行在本机上的网络服务。
在大多数系统中,localhost被指向了IPV4的127.0.0.1和IPV6的::1。

IPV4          127.0.0.1    localhost
IPV6           ::1          localhost

127.0.0.1 是一个环回地址。并不表示“本机”。0.0.0.0才是真正表示“本网络中的本机”。
当服务端绑定端口到0.0.0.0,就可以通过多个地址访问这个服务,而不受内外网的限制(存在安全隐患)。


ref:
wiki:https://zh.wikipedia.org/wiki/Localhost
https://blog.csdn.net/u012814696/article/details/55098249
https://www.iana.org/assignments
https://tools.ietf.org/html/rfc1700
https://www.rfc-editor.org/

  • 4
    点赞
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
一、 路由器网络服务安全配置 1 禁止CDP(Cisco Discovery Protocol)。如: Router(Config)#no cdp run Router(Config-if)# no cdp enable 2 禁止其他的TCP、UDP Small服务。 Router(Config)# no service tcp-small-servers Router(Config)# no service udp-samll-servers 3 禁止Finger服务。 Router(Config)# no ip finger Router(Config)# no service finger 4 建议禁止HTTP服务。 Router(Config)# no ip http server 如果启用了HTTP服务则需要对其进行安全配置:设置用户名和密码;采用访问列表进行控制。 5 禁止BOOTp服务。 Router(Config)# no ip bootp server 6 禁止IP Source Routing。 Router(Config)# no ip source-route 7 建议如果不需要ARP-Proxy服务则禁止它,路由器默认识开启的。 Router(Config)# no ip proxy-arp Router(Config-if)# no ip proxy-arp 8禁止IP Directed Broadcast。 Router(Config)# no ip directed-broadcast 9 禁止IP Classless。 Router(Config)# no ip classless 10 禁止ICMP协议的IP Unreachables, Redirects, Mask Replies。 Router(Config-if)# no ip unreacheables Router(Config-if)# no ip redirects Router(Config-if)# no ip mask-reply 11 建议禁止SNMP协议服务。在禁止时必须删除一些SNMP服务的默认配置。如: Router(Config)# no snmp-server community public Ro Router(Config)# no snmp-server community admin RW 12 如果没必要则禁止WINS和DNS服务。 Router(Config)# no ip domain-lookup 如果需要则需要配置: Router(Config)# hostname Router Router(Config)# ip name-server 219.150.32.xxx 13 明确禁止不使用的端口。如: Router(Config)# interface eth0/3 Router(Config)# shutdown二、路由器访问控制的安全配置(可选) 路由器的访问控制是比较重要的安全措施,但是目前由于需求不明确,可以考虑暂时不实施。作为建议提供。 1 建议不要远程访问路由器。即使需要远程访问路由器,建议使用访问控制列表和高强度的密码控制。 2 严格控制CON端口的访问。 配合使用访问控制列表控制对CON口的访问。 如:Router(Config)#Access-list 1 permit 192.168.0.1 Router(Config)#line con 0 Router(Config-line)#Transport input none Router(Config-line)#Login local Router(Config-line)#Exec-timeoute 5 0 Router(Config-line)#access-class 1 in Router(Config-line)#end 同时给CON口设置高强度的密码。 3 如果不使用AUX端口,则禁止这个端口。默认是未被启用。禁止如: Router(Config)#line aux 0 Router(Config-line)#transport input none Router(Config-line)#no exec 4 建议采用权限分级策略。如: Router(Config)#username test privilege 10 xxxx Router(Config)#privilege EXEC level 10 telnet Router(Config)#privilege EXEC level 10 show ip access-list 5 为特权模式的进入设置强壮的密码。不要采用enab
网络安全设备配置规范 网络安全设备配置规范 1防火墙 1.1防火墙配置规范 1. 要求管理员分级,包括超级管理员、安全管理员、日志管理员 等,并定义相应的职责,维护相应的文档和记录。 防火墙管理人员应定期接受培训。 3. 对防火墙管理的限制,包括,关闭tel net、http、ping、snmp 等,以及使用SSH而不是telnet远程管理防火墙。 账号管理是否安全,设置了哪些口令和帐户策略,员工辞职,如 何进行口令变更? 1.2变化控制 防火墙配置文件是否备份?如何进行配置同步? 改变防火墙缺省配置。 是否有适当的防火墙维护控制程序? 加固防火墙操作系统,并使用防火墙软件的最新稳定版本或补 丁,确保补丁的来源可靠。 是否对防火墙进行脆弱性评估/测试?(随机和定期测试) 1.3规则检查 防火墙访问控制规则集是否和防火墙策略一致 ?应该确保访问控 制规则集依从防火墙策略,如严格禁止某些服务、严格开放某些 服务、缺省时禁止所有服务等,以满足用户安全需求,实现安全 目标。 2. 防火墙访问控制规则是否有次序性?是否将常用的访问控制规则 放在前面以增加防火墙的性能?评估防火墙规则次序的有效性。 防火墙访问控制规则集的一般次序为: 反电子欺骗的过滤(如,阻断私有地址、从外口出现的内部 地址) 用户允许规则(如,允许HTTP到公网Web服务器) 管理允许规则 拒绝并报警(如,向管理员报警可疑通信) 拒绝并记录(如,记录用于分析的其它通信) 防火墙是在第一次匹配的基础上运行,因此,按照上述的次序配 置防火墙,对于确保排除可疑通信是很重要的。 防火墙访问控制规则中是否有保护防火墙自身安全的规则 防火墙是否配置成能抵抗DoS/DDoS攻击? 防火墙是否阻断下述欺骗、私有(RFC1918)和非法的地址 标准的不可路由地址 (255.255.255.255、127.0.0.0) 私有(RFC1918) 地址(10.0.0.0 - 10.255.255.255、 172.16.0.0 - 172.31..255.255 、 192.168.0.0 - 192.168.255.255 ) 保留地址(224.0.0.0) 非法地址(0.0.0.0) 是否确保外出的过滤? 确保有仅允许源IP是内部网的通信通过而源IP不是内部网的通信 被丢弃的规则,并确保任何源IP不是内部网的通信被记录。 是否执行NAT,配置是否适当? 任何和外网有信息交流的机器都必须经过地址转换 (NAT)才允 许访问外网,同样外网的机器要访问内部机器,也只能是其经过 NAT后的IP,以保证系统的内部地址、配置和有关的设计信息如 拓扑结构等不能泄露到不可信的外网中去。 在适当的地方,防火墙是否有下面的控制? 女口,URL过滤、端口阻断、防IP欺骗、过滤进入的Java或 ActiveX、防病毒等。 防火墙是否支持 拒绝所有服务,除非明确允许"的策略? 1.4审计监控 具有特权访问防火墙的人员的活动是否鉴别、监控和检查? 对防火墙的管理人员的活动,防火墙应该有记录,并要求记录不 能修改,以明确责任,同时能检查对防火墙的变化。 2. 通过防火墙的通信活动是否日志?在适当的地方,是否有监控和 响应任何不适当的活动的程序? 确保防火墙能够日志,并标识、配置日志主机,确保日志安全传 输。管理员通过检查日志来识别可能显示攻击的任何潜在模式 , 使用审计日志可以监控破坏安全策略的进入服务、外出服务和尝 试访问。 是否精确设置并维护防火墙时间? 配置防火墙使得在日志记录中包括时间信息 。精确设置防火墙的 时间,使得管理员追踪网络攻击更准确。 4. 是否按照策略检查、回顾及定期存档日志,并存储在安全介质 上? 确保对防火墙日志进行定期存储并检查,产生防火墙报告,为管 理人员提供必需的信息以帮助分析防火墙的活动 ,并为管理部门 提供防火墙效率情况。 1.5应急响应 重大事件或活动是否设置报警?是否有对可以攻击的响应程序? 如适当设置入侵检测功能 ,或者配合使用IDS (入侵检测系 统),以防止某些类型的攻击或预防未知的攻击 。 是否有灾难恢复计划?恢复是否测试过? 评估备份和恢复程序(包括持续性)的适当性,考虑:对重要防 火墙的热备份、备份多长时间做一次、执行备份是否加密、最近 成功备份测试的结果等。 2交换机 2.1交换机配置文件是否离线保存、注释、保密、有限访问,并保 持与运行配置同步 2.2是否在交换机上运行最新的稳定的IOS版本 2.3是否定期检查交换机的安全性?特别在改变重要配置之后。 2.4是否限制交换机的物理访问?仅允许授权人员才可以访问交换 机。 2.5 VLAN 1中不允许引入用户数据,只能用于交换机内部通讯。 2.6考虑使用PVLANs,隔离一个VLAN中的主机。 2.7考虑设置交换机的S

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值