Microsoft PowerPoint - ch13.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - ch13.ppt"

보배 구
5 years ago
Views:

1 chapter 13. 네트워크보안과 ACL 한빛미디어 -1-

2 학습목표 계층별네트워크보안이슈 시스코라우터의 ACL 시스코라우터의 ACL 설정 한빛미디어 -2-

3 계층별네트워크보안이슈 데이터링크계층보안 ARP 스푸핑 MAC 플러딩 한빛미디어 -3-

4 계층별네트워크보안이슈 방화벽 [ 그림 ] 방화벽구조 한빛미디어 -4-

5 계층별네트워크보안이슈 침입탐지시스템 (IDS) [ 그림 ] 침입탐지시스템 Intrusion Detection System (IDS) Intrusion Prevention System (IPS) 한빛미디어 -5-

6 계층별네트워크보안이슈 네트워크보안관련주요권고사항 (1) 패스워드의사용과주기적인변경 바이러스프로그램의업데이트 이메일의첨부파일 네트워크의보안정책의수립 서버의운영체제의보안업데이트 라우터의네트워크서비스 ( 시스코라우터 ) 한빛미디어 -6-

7 계층별네트워크보안이슈 네트워크보안관련주요권고사항 (2) 라우터의패스워드 ( 시스코라우터 ) 라우터의접속 ( 시스코라우터 ) 라우터의 logging( 시스코라우터 ) 스위치의패스워드 ( 시스코스위치 ) 스위치의 STP( 시스코스위치 ) 스위치의인터페이스설정 ( 시스코스위치 ) AP와인증키설정 ( 시스코스위치 ) 한빛미디어 -7-

8 시스코라우터의 ACL ACL(Access Control List) 의개념 ACL의용도 ACL의동작방식 ACL의동작원리 [ 그림 ] ACL 의동작원리 한빛미디어 -8-

9 시스코라우터의 ACL ACL(Access Control List) 동작 Inbound Outbound [ 그림 ] 아웃바운드 ACL 의동작 [ 그림 ] 인바운드 ACL 의동작 한빛미디어 -9-

10 시스코라우터의 ACL ACL(Access Control List) 설정방법 ACL 설정 Standard ACL과 Extend ACL IP ACL 기본 ACL 1-99 번호 확장 ACL Named 이름 (IOS 11.2 이상 ) IPX ACL 기본 ACL 확장 ACL 번호 SAP 필터 Named 이름 (IOS 11.2 이상 ) 한빛미디어 -10-

11 시스코라우터의 ACL ACL(Access Control List) 설정시주의사항 사전에모두작성한이후에적용 기본 ACL의경우목적지에가까운인터페이스에설정, 확장 ACL의경우출발지에가까운인터페이스에설정 좁은범위나빈번한조건을먼저설정한다. ACL의마지막에는 deny all이적용 사전에충분히고려되고, 테스트 인터페이스 (no ip access-group) 에서먼저삭제하고변경 한빛미디어 -11-

12 시스코라우터의 ACL 와일드카드마스크 (Wild card mask) 와일드카드마스크 2진수변환서브넷마스크 2진수변환의미와일드카드마스크 2진수변환서브넷마스크 2진수변환의미와일드카드마스크 2진수변환서브넷마스크 2진수변환의미 비트가매치 모두무시 ( 의미없음 ) 비트만매치 한빛미디어 -12-

13 기본 ACL 설정 (1) 기본 ACL로서 부터 의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 부터 의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 부터 의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 부터 의출발지주소를가진패킷만을통과시켜라. access-list 1 permit access-list 1 permit access-list 1 permit access-list 1 permit 한빛미디어 -13-

14 기본 ACL 설정 (2) ip access group Router(config-if)#ip access-group {access-list-number access-list-name} {in out} 이더넷인터페이스 0 에 ACL 10 번을아웃바운드로설정해라. interface ethernet 0 ip access-group 10 out 한빛미디어 -14-

15 기본 ACL 설정예 (1) [ 그림 ] 기본 ACL 설정 (1) /24 네트워크만이외부네트워크사용 Router_A(config)#access-list 10 permit Router_A(config)#access-list 10 deny any Router_A(config)#interface serial0 Router_A(config-if)#ip access-group 10 out Router_A(config-if)#exit 한빛미디어 -15-

16 기본 ACL 설정예 (2) [ 그림 ] 기본 ACL 설정 (2) 호스트 B에서호스트 A로의접근을막는다. 호스트 D에서호스트 B로의접근을막는다. 이외에모든호스트는서로간에통신가능 한빛미디어 -16-

17 기본 ACL 설정예 (3) router_b(config)#access-list 10 deny host router_b(config)#access-list 10 permit any router_b(config)#interface serial 0/0 router_b(config-if)#ip access-group 10 out router_b(config-if)#exit router_c(config)#access-list 10 deny host router_c(config)#access-list 10 permit any router_c(config)#interface serial 0/1 router_c(config-if)#ip access-group 10 out router_c(config-if)#exit 한빛미디어 -17-

18 기본 ACL 설정예 (4) router_b(config)#access-list 11 deny host router_b(config)#access-list 11 permit any router_b(config)#access-list 22 deny host router_b(config)#access-list 22 permit any router_b(config)#interface serial 0/0 router_b(config-if)#ip access-group 11 out router_b(config-if)#exit router_b(config)#interface fastethernet 0/0 router_b(config-if)#ip access-group 22 out router_b(config-if)#exit 한빛미디어 -18-

19 텔넷접속에대한 ACL 설정 [ 그림 ] 텔넷접속과 ACL router-a(config)#access-list 10 permit router-a(config-line)# line vty 0 4 router-a(config-line)# session-timeout 60 router-a(config-line)# exec-timeout 60 0 router-a(config-line)# password cisco router-a(config-line)# login router-a(config-line)# access-class 10 in 한빛미디어 -19-

20 확장 ACL 설정 (1) access-list 100 deny ip ACL 100은출발지가 /24에서목적지 /24로가는모든 IP 트래픽을막는다. access-list 100 deny ip host host ACL 100은출발지가 /32( 호스트 ) 에서목적지 /32( 호스트 ) 로가는모든 IP 트래픽을막는다. access-list 100 deny tcp any eq 21 any ACL 100은출발지가어떤네트워크이든지모든네트워크로가는 FTP(Well-known 포트번호 : 21) 를막는다 한빛미디어 -20-

21 확장 ACL 설정 (2) access-list 100 deny tcp any gt 1023 any ACL 100은출발지가어떤네트워크이든지모든네트워크로가는 TCP 포트번호 1023번이상의트래픽을막는다. access-list 100 deny tcp any any eq telnet ACL 100은출발지가어떤네트워크이든지모든네트워크로가는텔넷을막는다 access-list 100 deny icmp any any ACL 100은출발지가어떤네트워크이던지모든네트워크로가는 icmp 를막는다 한빛미디어 -21-

확장 ACL 설정예 (1) [ 그림 ] 확장 ACL 설정 호스트 10.0.1.100에서 10.0.0.100으로의텔넷접속은허락한다 ( 이외에 10.0.1.0/24의네트워크에서 10.0.0.100으로의텔넷은막는다 ).

22 확장 ACL 설정예 (1) [ 그림 ] 확장 ACL 설정 호스트 에서 으로의텔넷접속은허락한다 ( 이외에 /24의네트워크에서 으로의텔넷은막는다 ) /24 네트워크에서 /24 네트워크의접근은막는다 는모든네트워크에서 ping에대한응답을막는다. 한빛미디어 -22-

23 확장 ACL 설정예 (2) router_a(config)#access-list 150 permit tcp host host eq 23 router_a(config)#access-list 150 deny tcp host eq 23 router_a(config)#access-list 150 permit ip any any router_a(config)#access-list 155 deny ip any router_a(config)#access-list 155 permit ip any any router_a(config)#interface fastethernet 0/0 router_a(config-if)#ip access-group 150 in router_a(config-if)#exit router_a(config)#interface fastethernet 0/1 router_a(config-if)#ip access-group 155 in router_a(config-if)#exit router_b(config)#access-list 160 deny icmp any host echo router_b(config)#access-list 160 permit ip any any router_b(config)#interface fastethernet 0/0 router_b(config-if)#ip access-group 160 out router_b(config-if)#exit 한빛미디어 -23-

24 Named ACL (1) router(config)#ip access-list? extended Extended Access List log-update Control access list log updates logging Control access list logging standard Standard Access List router(config)#ip access-list extended? < > Extended IP access-list number < > Extended IP access-list number (expanded range) WORD Access-list name 한빛미디어 -24-

25 Named ACL (2) router(config)#ip access-list extended PPEVENT_ALL router(config-ext-nacl)#? Ext Access List configuration commands: default Set a command to its defaults deny Specify packets to reject dynamic Specify a DYNAMIC list of PERMITs or DENYs evaluate Evaluate an access list exit Exit from access-list configuration mode no Negate a command or set its defaults permit Specify packets to forward remark Access list entry comment router(config-ext-nacl)#deny ip? A.B.C.D Source address any Any source host host A single source host router(config-ext-nacl)#deny ip any any 한빛미디어 -25-

26 ACL 동작확인 (1) router#show access-lists? <1-2699> ACL number WORD ACL name rate-limit Show rate-limit access lists Output modifiers <cr> router#show access-lists Standard IP access list 50 deny any Extended IP access list PERVENT Extended IP access list PPEVENT_ALL router#show ip access-lists Standard IP access list 50 deny any Extended IP access list PERVENT Extended IP access list PPEVENT_ALL 한빛미디어 -26-

27 ACL 동작확인 (2) router#sh ip int fa 0/0 FastEthernet0/0 is up, line protocol is up Internet address is /24 Broadcast address is Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Multicast reserved groups joined: Outgoing access list is 50 Inbound access list is not set Proxy ARP is enabled Local Proxy ARP is disabled Security level is default Split horizon is enabled 한빛미디어 -27-

본교재는수업용으로제작된게시물입니다. 영리목적으로사용할경우저작권법제 30 조항에의거법적처벌을받을수있습니다. [ 실습 ] 스위치장비초기화 1. NVRAM 에저장되어있는 'startup-config' 파일이있다면, 삭제를실시한다. SWx>enable SWx#erase sta

본교재는수업용으로제작된게시물입니다. 영리목적으로사용할경우저작권법제 30 조항에의거법적처벌을받을수있습니다. [ 실습 ] 스위치장비초기화 1. NVRAM 에저장되어있는 'startup-config' 파일이있다면, 삭제를실시한다. SWx>enable SWx#erase sta [ 실습 ] 스위치장비초기화 1. NVRAM 에저장되어있는 'startup-config' 파일이있다면, 삭제를실시한다. SWx>enable SWx#erase startup-config Erasing the nvram filesystem will remove all configuration files Continue? [confirm] ( 엔터 ) [OK] Erase