ccna和网络安全

1、51CTO计算机网络和网络安全视频教程第1章 计算机网络详解OSI参考模型 分层的好处 数据通信的每个环节变化不影响其他环节 各个厂商设备标准化 应用层 能够产生网络流量的网络应用程序 QQ IE 表示层 加密 压缩 二进制 ASCII码 IE浏览器出现乱码 会话层 查木马 查看会话 netstat -nb 传输层 可靠传输 不可靠传输 流量控制 滑动窗口技术面向连接（三次握手） 确认 网络层 选择路径 数据链路层 定义了如何标识网络设备 数据帧如何封装 帧头帧尾 透明封装 物理层 发送和接收Bit流 电压 接口s 排错来看OSI参考模型 底层向高层逐一排错 物理层错误 连接是否正常 数据链路

2、层 ADSL拨号数据链路层通 网络层才能通 arp -s 00-1d-0f-68-42-fe 网络层 选择路径出现的故障 计算机没有设置网关 表示层 IE乱码 应用层 IE 插件 替换法排错 从安全角度来看OSI参考模型 物理层安全 数据链路层安全 在交换机上的端口绑定MAC地址 网络层安全 网络层防火墙 在网络设备上指定ACL 控制数据包流量 应用层安全 杀毒软件 应用层防火墙高级防火墙 ISA 2006 可以基于 源地址 目标地址 协议 端口号 时间 用户 文件类型 来控制网络流量 s 网络设备 网卡 MAC 8根 4对 10M 100M 1000M 集线器 （HU

3、B） 10M 100M 100米 不安全 是一个大的冲突域 30左右计算机 交换机 基于MAC地址转发数据，安全 端口带宽独享 标准以太网10，快速以太网100，G 1000M 广播域 路由器 基于IP地址转发数据 广域网接口 隔绝广播 ACL 网线 双绞线 8根 4对 10M 100M 1236通信 1000M 8根全用 直通线 交叉线 全反线 Console调路由器 10 100M 123 6 1000M 8 数据封装数据段 消息数据包数据帧 Bit数据通信类型单工半双工 HUB全双工以太网 交换机演示：查看网卡的全双工半双工状态演示：更改网卡网速网络设计三层模型 接入层交换机 直接接用户

4、计算机的交换机 接入层交换机 口多 10 or 100M 汇集层交换机 接接入层交换机 端口带宽高 端口比接入层相对较少 核心层交换机 连接汇聚成交换机第2章 TCP/IP协议和网络安全传输层协议 TCP 协议 传输前 数据分段 编号 建立会话 可靠传输 流量控制功能 三次握手 netstat -n UDP 一个数据包就能完成任务 不可靠传输 不建立会话 数据不分段 编号land攻击 目标地址和源地址相同的数据包 建立会话 syn半连接 伪造源地址s 应用层协议和传输层协议之间的关系 服务器对外提供服务就需要使用一个应用层协议 http=TCP+80https=TCP+443 ftp=TCP+

5、21 or 20 SMTP=TCP+25 发送电子邮件 PoP3=TCP+110 RDP=TCP+3389 远程桌面协议 微软SQLServer数据库=TCP+1433 DNS=UDP or TCP +53 1024端口 用IP地址访问共享文件=TCP+445 用计算机名访问共享文件=TCP+139端口用来标识服务器的服务 不同服务使用端口应该不同演示：Windows上的服务和端口的关系 查看侦听的端口 netstat -anb 安装SMTP Pop3服务 FTP Web服务 查看新增加的侦听的端口案例：端口冲突造成的Web服务启动失败演示：更改服务默认端口增加安全性 默认端口可以更改，客户端

6、必须也得更改更改远程桌面服务使用的端口 使用更改后的使用客户端如何连接演示：配置服务器的网络安全 使用端口扫描工具扫描远程服务器端口 telnet测试远程服务器的某个端口是否打开 Windows防火墙的实现WindowsXP的网络安全使用远程控制工具入侵服务器 使用TCP/IP筛选配置服务器安全案例：Windows防火墙引起的网络网络故障 单向通信演示：使用IPSec严格控制出入服务器的流量灰鸽子木马防范查看灰鸽子木马建立的会话 msconfig 查看可疑的服务 创建IPSec严格控制网络流量结论：服务器网络安全 在服务器上只打开必须的端口 使用IPSec严格控制网络流量网络层协议 IP （R

7、IP EIGRP OSPF）讲解:跨网段通信MAC地址和IP地址的作用 数据路由过程数据帧和数据包的变化ICMP 测试网络连通性 ping pathping tracert（路由器上使用）演示：使用ping命令查看网络是否拥堵 是否是路由问题造成的丢包演示：使用ping i参数找到数据包沿途经过的路由器演示：通过TTL判断对方是什么系统 Linux 64 Windows 2000 128 Unix系列 255ping Ip -t ctrl +C 停止pingpathping 跟踪数据包路径pathping IGMP 组播管理 点到点 广播 目标MAC 或IP地址全1 多播（组播） 数据封装 传

8、输层 数据段 消息 网络层 数据包 数据链路层 数据帧 物理层 Bit Arp协议ARP IP-MAC地址 广播 arp -s 32-32-32-32-23-32演示：利用ARP欺骗的软件 ARP 欺骗 arp -s 22-21-21-21-12-12网络执法官P2P终结者Cain密码捕获软件演示：抓包工具分析数据包 对于IP地址欺骗没有办法第3章 IP地址32位二进制二进制 十进制 1 1 10 2 100 4 1000 8 10000 16 32 64 128 128 192 224 240 248 252 254 255s 子网掩码的作用

9、IP地址的分类默认子网掩码 IP地址的分类A类 1-127 - B类 128-191 -C类 192-223 - D类 224-239 - 多播地址 无子网掩码 E 类240-255 用于测试 公网地址 保留的私有地址 - -特殊的一些地址 主机位全0 代表本网段 主机位全1 代表本网段所有主机 广播地址 第二层广播 MAC地址 FF-FF-FF-FF-FF-FF 广播（第3层）55 单播 组播 224.

10、0.0.0-55子网划分划分子网确定需要的子网个数确定每个子网主机数量划分子网需要确认 子网掩码 子网网段 开始地址和结束地址 等长子网 变长子网B类网络的子网划分超网CIDR(无类域间路由选择)的子网掩码 思考：指定一个IP地址所属的网段 29/27 点到点网络的子网掩码 确定和 9/26这个地址在同一个网段的地址范围 判断一个地址是否可用 7/32 6/32 判断这几个网段是否能够将子网掩码前移2位合并 /24 /241

11、/24/24 超网 网络排错 ipconfig /all ping 网卡驱动没问题 ping 网关 和局域网是通的 ping 8 Internet网络层通 ping 查看域名解析是否正常 网络层测试 telnet 80 应用层 测试测试应用层是否畅通 23默认端口pathping 跟踪数据包路径和计算丢包情况 检查IE设置 替换法 第4章 配置Cisco网络设备系列IOS 2500系列路由器 2500 IOS 有企业版 标准版R

12、AM 相当于计算机的内存 配置路由器的设置默认是RAMNVRAM 相当于硬盘存放 startup-config ROM 相当于计算机的BIOS , 不能删除 存放 Bootstarp POST 微型IOS Flash 存放IOS telnet 00R1断开 ctrl+shift+6 X查看会话 show session断开会话 disconnect 1s 路由配置常用命令Router#Show user 查看用户show interface 查看路由器的接口show running-config 查看路由的配置 密码 接口IP地址 ACL NATshow version

13、查看路由器版本 配置寄存器的值show ip interface brief 查看和Ip相关的接口信息show ip route 查看路由表show ip protocal 查看路由器运行的动态路由协议全局配置命令config tRouter(config)#Router(config)#hostname Router1Router1(config)#enable password aaaRouter1(config)#enable secret aaaa加密输出所有密码 RA(config)# service password-encryption配置理由时钟(现在全局配置模式设置时区。在特

14、权模式配置时钟)R6(config)#clock timezone GNT +8R6(config)#exitR6#clock set 11:54:00 october 22 2015配置Telnet密码 TCP 23Router1(config)#line vty 0 4Router1(config-line)#password aaa 设置Telnet密码Router1(config-line)#login 要求必须登录使用telnet连接路由器CRT连接路由器SDM 图形界面Telnet如果不需要密码执行以下命令Router1(config)#line vty 0 4Router1(co

15、nfig-line)#no login Router1(config-line)#no password 配置路由器接口IP地址Router1#config tRouter1(config)#interface fastEthernet 0/0Router1(config-if)#ip address Router1(config-if)#no shRouter1(config-if)#exit广域网接口配置 需要在DCE指定时钟频率Router1(config)#interface serial 2/0Router1(config-if)#c

16、lock rate 64000 在DCE端配置时钟频率Router1(config-if)#ip address Router1(config-if)#no sh保存路由器配置查看保存的路由器配置 RA#copy running-config startup-config RA#copy startup-config running-config 配置路由旗帜消息Banner ?配置路由器能够进行域名解析RA(config)#ip domain-lookupRA(config)#ip name-server 22建立主机列表

17、RA（config）# ip host name ip_address使用Cisco发现协议CDP Cisco发现协议 CDP 二层地址 能够查看邻居信息Router(config)#cdp run Router#show cdp neighbors RA#show CDP neighborsRA#show cdp 查看cdp全局信息修改cdp Router(config)#cdp ?从路由器Telnet到其他路由器Router#telnet Router0从路由器telnet 其他路由器 临时退出会话ctrl+shift+6X查看会话 show sessions在路由器上查看连接过来的用户

18、show users解析主机名Router(config)#ip host Router0 添加名称和IP地址对应关系RouterB(config)#ip domain-lookup 启用域名查找RouterB(config)#ip name-server 8 配置DNS服务器检测路由器活动Router#debug ip packet Router#debug ip ? icmp ICMP transactions nat NAT events ospf OSPF information packet Packet information rip

19、RIP protocol transactions routing Routing table eventsRouter#undebug all第5章 静态路由不同网段计算机通信就叫路由网络畅通的条件静态路由 管理员告诉路由器到各个网段如何转发Router(config)#ip route ？（可以更改管理距离AD）删除理由表跟踪数据包路径路由汇总路由汇总列外 ip route 19默认路由 代表大多数网段的路由 优先级最低演示：Windows上的网关就是默认路由Ro

20、ute printNetstat rWindows上的路由表在计算机上添加路由表route add mask 添加路由表route print 显示计算机上的路由表netstat r末端网络路由器使用默认路由减少路由表项骨干网路由器通过路由汇总减少路由表项第6章 动态路由静态路由不能自动根据网络变换而变化 规模小 没有环动态路由 网络规模较大 or 具有网状结构的网络动态路由 路由器自己来学习到各个网段如何转发 RIP 度量值 跳数 每隔30秒广播 15跳 16不可到达 适合于小的网络 也适合没有环路的网络 RIPv1

21、 不包括子网信息 只支持等长子网 RIPv2 支持变长子网 路由信息通告中包括子网掩码信息 Router(config-router)#version 2连续子网 不连续子网 关闭自动汇总 就支持不连续子网实验2 配置RIPv2支持不连续子网OK.pkt 不连续子网不支持 Router(config-router)#no auto-summary RIP 周期性广播路由表 30秒 度量值是跳数 15跳 16跳认为不可到达RIPv1 广播传播路由信息 支持等长子网 不支持变长子网和不连续子网 RIPv2 多播传播路由信息 支持变长子网 和 不连续子网（关闭自动汇总）传播路由信息中包含了子网掩码信

22、息EIGRP协议 Cisco专有协议 非周期性更新路由信息，Hello报文发现和跟踪邻居 以太网5秒，T1或更低的速率 Hello报文以单播方式60秒发送一次，3倍时间确认失效，使用0用户邻居发现和回复，邻居使用单播地址确认 度量值默认带宽和延迟 支持大的网络默认100跳 最大255跳 必须是统一自制区域才能交换路由信息 支持变长子网和不连续子网（关闭自动汇总） 收敛速度块（有） 度量值 可以包括 跳数 带宽 延迟 负载 可靠性 代价（cost）EIGRP 相当于RIPv2 支持变长子网 关掉汇总，支持不连续子网。Router#config tRouter(config)#r

23、outer rip Router(config-router)#network Router(config-router)#network Router(config-router)#version 2Router(config-router)#no auto-summary Router#show ip protocols 显示配置的所有动态路由协议Router(config)#router eigrp 10Router(config-router)#network Router(config-router)#no auto-summ

24、ary 手动汇总Router（config）#interface Serial 2/0Router（config-if）#ip summary-address eigrp 10 28Router（config-if）#exRouter（config）#interface fastEthernet 6/0Router（config-if）#ip summary-address eigrp 10 28查看ip路由协议配置信息Show ip protocol查看备用路径Router#show ip e

25、igrp topology 显示EIGRP协议活动debug eigrp packets它将给我们显示出在两台相邻路由器间所发送的Hello数据包:Router#debug eigrp packetsOSPF 开放式路由协议 -+带宽 hello维持邻居关系 路由表 由路由根据链路状态数据库算出来的，不出现环路，路由器之间更新的是链路状态，度量值带宽。触发式更新。路由器三个表 邻居表，链路状态表，路由表特性 有地区和自制系统组成 最小化路由更新流量 可扩展 支持变长子网 跳数不受限 标准 开放的标准OSPF配置Router(config)#router ospf 110 进程号Router(c

26、onfig-router)#network 55 area 0 区域号 只有同一个区域的接口才能交换链路状态信息Router(config-router)#network area 0 查看路由表show ip route查看链路状态数据库Router#show ip ospf databases查看邻居Router#show ip ospf neighbor查看链路状态表Router#show ip ospf neighbor detail查看OSPF事件Router#debug ip ospf events测试O

27、SPF收敛速度DR 指定路由器 维护邻居信息-AllSPFRouters. -AllDRouters（DR+BDR）BDR 备用的指定路由器更改DR BDR选举优先级Router(config-if)#ip ospf priority 2路由再发布将静态路由发布到EIGRP 和 RIPRIP和EIGRP协议进行再发布Router1(config)#router rip Router1(config-router)#redistribute eigrp 10 metric 3Router1(config-router)#

28、exitRouter1(config)#router eigrp 10Router1(config-router)#redistribute rip metric 10000 100 255 1 1500OSPF和EIGRP协议再发布Router1(config)#router ospf 1Router1(config-router)#redistribute eigrp 10 metric-type 1 subnets Router1(config-router)#exitRouter1(config)#router eigrp 10Router1(config-router)#redist

29、ribute ospf 1 metric 10000 100 255 1 1500路由协议分以下几种类型，现在总结主要特点： 距离矢量协议，典型代表就是RIP，其特点就是周期性广播或多播将自己的路由表通告给其他路由器。 链路状态协议，典型代表就是OSPF，其特点就是周期性使用Hello包维护邻居信息，触发式更新链路状态，使用链路状态数据库计算路由表。 混合型协议，典型代表就是EIGRP，为什么说它是混合的呢？因为使用Hello包维护邻居信息，触发式更新，这些特性像链路状态的部分特性，但是它又直接通告路由表到其他路由器，这特性是距离矢量的特性。因此称EIGRP为混合型。 管理距离第7章 交换和V

30、LAN局域网组网设备集线器网桥交换机交换 交换机MAC地址表是通过数据帧的源MAC地址构造的 交换机端口可以实现安全 交换机端口上实现安全可以控制交换机端口连接计算机数量在交换机端口绑定MAC地址 MAC和IPSwitch(config-if)#switchport mode access 配置该接口为访问接口Switch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security violation shutdown Switch(config-if)#switchport port-securi

31、ty maximum 1Switch(config-if)#switchport port-security mac-address 0090.0CD7.65C8 下面的命令 一将现有的MAC地址绑定到端口个接口只能连接一个计算机Switch(config-if-range)#switchport port-security mac-address sticky再次查看MAC地址表 就变成静态的了生成树（STP） 交换机的端口状态 阻断 监听 学习 转发 禁用 Hello 时间 BPDU 默认 2S 选根交换机（根网桥） 网桥ID=优先级+MAC 网桥ID小的优先成为根非根网桥 选根端口 到根

32、交换机近的端口 1.最顶的网桥ID 2.最低的到达根网桥的路径开销 3.最低的发送方网桥ID 4.最低的端口优先级 5.最低的端口ID 每根网线两端确定一个指定端口，到根交换机近的为指定端口确定根网桥Switch#show spanning-tree 可以看到阻断的端口- - - - - -Gi5/1 Root FWD 4 128.6 P2pGi6/1 Altn BLK 4 128.7 P2pGi7/1 Altn BLK 4 128.8 P2pGi8/1 Altn BLK 4 128.9 P2p更改网桥优先级Switch(config)#spanning-tree vlan 1 priorit

33、y 4096关闭vlan 1生成树Switch(config)#no spanning-tree vlan 1生成树快速端口Switch#config tSwitch(config)#interface fastEthernet 1/1Switch(config-if)#spanning-tree portfast交换机的配置Switch(config)#interface vlan 1Switch(config-if)#ip address 00 Switch(config-if)#no shSwitch(config-if)#exitSwit

34、ch(config)#ip default-gateway Switch(config)#enable password aaaSwitch(config)#line vty 0 ?Switch(config)#line vty 0 15Switch(config-line)#password aaaSwitch(config-line)#login优化生成树当网络中的交换机数量增加或链路有变化时，所有交换机上重新进行生成树操作来确定阻断端口和转发端口。在完成重新计算之前，交换机不能转发任何数据。完成计算之后，才能转发数据，这个过程需要的时间就是生成树的收敛时间。在交换机

35、端口上，生成树拓扑从阻塞到转发的典型收敛时间为50秒。也就是说网络拓扑有变化，网络会中断50秒。通过将汇聚层或核心层交换机设置为根网桥，可以使生成树收敛得又快又好。配置PortFast 连接计算机和服务器的端口可以配置成portFast端口，立即进入转发状态，而避免监听状态和学习状态在连接计算机的接口上配置PortFast copy running-config startup-config练习：启用PortfastSwitch(config)#interface fastEthernet 0/1 Switch(config-if-range)#spanning-tree portfast虚拟

36、局域网VLAN查看VLAN命令Switch#show vlan 创建VLANSwitch#config tSwitch(config)#vlan 2Switch(config-vlan)#exSwitch(config)#interface range fastEthernet 0/11 - 24Switch(config-if-range)#switchport access vlan 2Switch(config)#interface vlan 1Switch(config-if)#ip address 00 Switch(config-if

37、)#no shSwitch(config-if)#exitSwitch(config)#ip default-gateway Switch(config)#enable password aaaSwitch(config)#line vty 0 ?Switch(config)#line vty 0 15Switch(config-line)#password aaaSwitch(config-line)#login配置跨交换机VLANSwitch#config tSwitch(config)#vlan 2Switch(config-vlan)#exitSwitch(con

38、fig)#interface rang fastEthernet 0/13 - 24Switch(config-if-range)#switchport mode access Switch(config-if-range)#switchport access vlan 2Switch(config-if-range)#exitSwitch(config)#interface gigabitEthernet 1/1Switch(config-if)#switchport mode trunk Switch#configure tSwitch(config)#interface range gi

39、gabitEthernet 0/1 -2Switch(config-if-range)#switchport trunk encapsulation dot1q 封装格式Switch(config-if-range)#switchport mode trunkVLAN间路由单臂路由器Switch(config-if)#switchport mode trunk Router(config)#interface gigabitEthernet 6/0Router(config-if)#no shRouter(config)#interface gigabitEthernet 6/0.1Route

40、r(config-subif)#encapsulation dot1Q 1Router(config-subif)#ip address 带路由模块的交换机实现VLAN间路由VTP实现VLAN的添加 删除在一个交换机上统一配置Switch(config)#vtp domain toddSwitch(config)#vtp password aaaSwitch(config)#vtp mode client 三层交换解决了VLAN间路由速度问题Switch(config)#spanning-tree portfast第8章 网络安全1.数据存储安

41、全 NTFS权限2.操作系统安全 系统安全策略3.数据传输安全 IPSec 加密通信4.应用程序安全 开发人员开发安全代码5.用户使用安全 培训标准访问控制列表 基于源IP地址过滤数据包扩展访问控制列表 基于源IP地址 目标IP地址 协议（TCP UDP IP（TCP UDP ICMP） ICMP）目标端口 来控制定义标准ACLRouter#config tRouter(config)#access-list 10 deny host Router(config)#access-list 10 permit 55ACL 默认隐含拒绝

42、所有查看ACLRouter#show ip access-lists 将ACL绑定到接口Router#config tRouter(config)#interface serial 3/0Router(config-if)#ip access-group 10 out删除ACLRouter(config)#no access-list 10ACL项 从上到下依次检查，添加ACL时应该将具体IP地址或较为具体的网段放到ACL上面调整ACL顺序，删除ACL，再创建将ACL在记事本中编辑好，粘贴到CLI access-list 10 deny host access-list

43、10 permit 55先写拒绝的项，其余都允许access-list 10 deny host access-list 10 permit 55access-list 10 permit any 最后写ACL等价的写法access-list 10 deny host =access-list 10 deny access-list 10 permit any =access-list 10 permit 255.25

44、5.255.255定义扩展ACLRouter(config)#access-list 110 permit tcp 55 host eq 80Router(config)#interface serial 3/0Router(config-if)#ip access-group 110 out Router(config)#access-list 110 permit icmp 55 any Router(config)#access-list 110 permit ip 0.

45、0.0.255 any 将ACL绑定到路由器telnet接口Router(config-line)#access-class 11 in访问控制列表位置标准的ACL放到距离目标网络近的路由器上扩展的ACL放到距离源地址较近的路由器上iP地址欺骗对策决不允许任何源地址是内部主机地址或网络地址的数据包进入一个私有的 网络RB（config）#access-list 150 deny ip 55 any logRB（config）#access-list 150 deny ip 55 any logRB（config

46、）#access-list 150 deny ip 55 any logRB（config）#access-list 150 deny ip 55 any logRB（config）#access-list 150 deny ip 55 any logRB（config）#access-list 150 deny ip 55 any logRB（config）#access-list 150 deny ip host 255.2

47、55.255.255 any log RB（config）#access-list 150 permit ip any anyRB（config）#interface Serial 2/0RB（config-if）#ip access-group 150 in后面log的作用是：当数据包应用该策略被拒绝时将会在控制台显示。这个访问控制列表拒绝任何来自以下源地址的数据包：n 任何本地主机地址（/8）；n 任何保留的私有地址；n 任何组播IP地址（/4）。ACL保护路由器安全Router(config)#line vty 0 15Router(config-li

48、ne)#access-class 10 in第9章 网络地址转换NAT和端口映射PATNAT带来的好处安全单项通信增加网段不用增加路由表缺点 消耗性能 显示NAT的转换关系CPE#show ip nat translations在路由器上显示NAT信息CPE#debug ip nat显示数据包转发信息ISP#debug ip packet静态NATCPE#config tCPE（config）#ip NAT inside source static CPE（config）#ip NAT inside source static 131.

49、107.0.3CPE（config）#ip NAT inside source static CPE（config）#ip NAT inside source static CPE（config）#ip NAT inside source static CPE（config）#interface fastEthernet 0/1CPE（config-if）#ip NAT inside -指定该接口为NAT的内网接口CPE（config-if）#exCPE（config）#in

50、terface Serial 0/0CPE（config-if）#ip NAT outside -指定动态NAT和PATCPE#config tCPE(config)#access-list 10 permit 55CPE(config)#ip nat pool todd netmask -前后两个地址一样，因为就一个公网地址CPE(config)#ip nat inside source list 10 pool toddoverload -overload参数将会启用PATCPE(c

51、onfig)#interface serial 0/0CPE(config-if)#ip nat outside -指定NAT的外网接口CPE(config-if)#exCPE(config)#interface fastEthernet 0/1CPE(config-if)#ip nat inside-指定NAT的内网接口端口映射CPEenCPE#config tCPE(config)#ip nat inside source static tcp 80 80CPE(config)#ip nat inside source static tcp 10.

52、0.0.6 80 81CPE(config)#ip nat inside source static tcp 25 25CPE(config)#ip nat inside source static tcp 110 110CPE(config)#interface fastEthernet 0/1CPE(config-if)#ip nat inside CPE(config-if)#exCPE(config)#interface serial 0/0CPE(config-if)#ip nat outsideWindows实现的NAT和端口映射