chapter 13. 네트워크보안과 ACL 한빛미디어 -1-
학습목표 계층별네트워크보안이슈 시스코라우터의 ACL 시스코라우터의 ACL 설정 한빛미디어 -2-
계층별네트워크보안이슈 데이터링크계층보안 ARP 스푸핑 MAC 플러딩 한빛미디어 -3-
계층별네트워크보안이슈 방화벽 [ 그림 ] 방화벽구조 한빛미디어 -4-
계층별네트워크보안이슈 침입탐지시스템 (IDS) [ 그림 ] 침입탐지시스템 Intrusion Detection System (IDS) Intrusion Prevention System (IPS) 한빛미디어 -5-
계층별네트워크보안이슈 네트워크보안관련주요권고사항 (1) 패스워드의사용과주기적인변경 바이러스프로그램의업데이트 이메일의첨부파일 네트워크의보안정책의수립 서버의운영체제의보안업데이트 라우터의네트워크서비스 ( 시스코라우터 ) 한빛미디어 -6-
계층별네트워크보안이슈 네트워크보안관련주요권고사항 (2) 라우터의패스워드 ( 시스코라우터 ) 라우터의접속 ( 시스코라우터 ) 라우터의 logging( 시스코라우터 ) 스위치의패스워드 ( 시스코스위치 ) 스위치의 STP( 시스코스위치 ) 스위치의인터페이스설정 ( 시스코스위치 ) AP와인증키설정 ( 시스코스위치 ) 한빛미디어 -7-
시스코라우터의 ACL ACL(Access Control List) 의개념 ACL의용도 ACL의동작방식 ACL의동작원리 [ 그림 ] ACL 의동작원리 한빛미디어 -8-
시스코라우터의 ACL ACL(Access Control List) 동작 Inbound Outbound [ 그림 ] 아웃바운드 ACL 의동작 [ 그림 ] 인바운드 ACL 의동작 한빛미디어 -9-
시스코라우터의 ACL ACL(Access Control List) 설정방법 ACL 설정 Standard ACL과 Extend ACL IP ACL 기본 ACL 1-99 번호 확장 ACL Named 100-199 이름 (IOS 11.2 이상 ) IPX ACL 기본 ACL 확장 ACL 800-899 900-999 번호 SAP 필터 Named 1000-1099 이름 (IOS 11.2 이상 ) 한빛미디어 -10-
시스코라우터의 ACL ACL(Access Control List) 설정시주의사항 사전에모두작성한이후에적용 기본 ACL의경우목적지에가까운인터페이스에설정, 확장 ACL의경우출발지에가까운인터페이스에설정 좁은범위나빈번한조건을먼저설정한다. ACL의마지막에는 deny all이적용 사전에충분히고려되고, 테스트 인터페이스 (no ip access-group) 에서먼저삭제하고변경 한빛미디어 -11-
시스코라우터의 ACL 와일드카드마스크 (Wild card mask) 와일드카드마스크 2진수변환서브넷마스크 2진수변환의미와일드카드마스크 2진수변환서브넷마스크 2진수변환의미와일드카드마스크 2진수변환서브넷마스크 2진수변환의미 0.0.0.0 00000000 00000000 00000000 00000000 255.255.255.255 11111111 11111111 11111111 11111111 32 비트가매치. 255.255.255.255 11111111 11111111 11111111 11111111 0.0.0.0 00000000 00000000 00000000 00000000 모두무시 ( 의미없음 ) 0.0.3.255 00000000 00000000 00000011 11111111 255.255.252.0 11111111 11111111 11111100 00000000 22비트만매치 한빛미디어 -12-
기본 ACL 설정 (1) 기본 ACL로서 192.5.34.0부터 192.5.34.255의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 128.88.0.0부터 128.88.255.255의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 36.0.0.0부터 36.255.255.255의출발지주소를가진패킷만을통과시켜라. 기본 ACL로서 10.29.2.64부터 10.29.2.127의출발지주소를가진패킷만을통과시켜라. access-list 1 permit 192.5.34.0 0.0.0.255 access-list 1 permit 128.88.0.0 0.0.255.255 access-list 1 permit 36.0.0.0 0.255.255.255 access-list 1 permit 10.29.2.64 0.0.0.63 한빛미디어 -13-
기본 ACL 설정 (2) ip access group Router(config-if)#ip access-group {access-list-number access-list-name} {in out} 이더넷인터페이스 0 에 ACL 10 번을아웃바운드로설정해라. interface ethernet 0 ip access-group 10 out 한빛미디어 -14-
기본 ACL 설정예 (1) [ 그림 ] 기본 ACL 설정 (1) 192.168.1.0/24 네트워크만이외부네트워크사용 Router_A(config)#access-list 10 permit 192.168.1.0 0.0.0.255 Router_A(config)#access-list 10 deny any Router_A(config)#interface serial0 Router_A(config-if)#ip access-group 10 out Router_A(config-if)#exit 한빛미디어 -15-
기본 ACL 설정예 (2) [ 그림 ] 기본 ACL 설정 (2) 호스트 B에서호스트 A로의접근을막는다. 호스트 D에서호스트 B로의접근을막는다. 이외에모든호스트는서로간에통신가능 한빛미디어 -16-
기본 ACL 설정예 (3) router_b(config)#access-list 10 deny host 10.0.1.10 router_b(config)#access-list 10 permit any router_b(config)#interface serial 0/0 router_b(config-if)#ip access-group 10 out router_b(config-if)#exit router_c(config)#access-list 10 deny host 10.0.2.10 router_c(config)#access-list 10 permit any router_c(config)#interface serial 0/1 router_c(config-if)#ip access-group 10 out router_c(config-if)#exit 한빛미디어 -17-
기본 ACL 설정예 (4) router_b(config)#access-list 11 deny host 10.0.1.10 router_b(config)#access-list 11 permit any router_b(config)#access-list 22 deny host 10.0.2.10 router_b(config)#access-list 22 permit any router_b(config)#interface serial 0/0 router_b(config-if)#ip access-group 11 out router_b(config-if)#exit router_b(config)#interface fastethernet 0/0 router_b(config-if)#ip access-group 22 out router_b(config-if)#exit 한빛미디어 -18-
텔넷접속에대한 ACL 설정 [ 그림 ] 텔넷접속과 ACL router-a(config)#access-list 10 permit 192.168.143.0 0.0.0.255 router-a(config-line)# line vty 0 4 router-a(config-line)# session-timeout 60 router-a(config-line)# exec-timeout 60 0 router-a(config-line)# password cisco router-a(config-line)# login router-a(config-line)# access-class 10 in 한빛미디어 -19-
확장 ACL 설정 (1) access-list 100 deny ip 10.0.0.0 0.0.0.255 20.0.0.0 0.0.0.255 ACL 100은출발지가 10.0.0.0/24에서목적지 20.0.0.0/24로가는모든 IP 트래픽을막는다. access-list 100 deny ip host 10.0.0.10 host 20.0.0.10 ACL 100은출발지가 10.0.0.10/32( 호스트 ) 에서목적지 20.0.0.10/32( 호스트 ) 로가는모든 IP 트래픽을막는다. access-list 100 deny tcp any eq 21 any ACL 100은출발지가어떤네트워크이든지모든네트워크로가는 FTP(Well-known 포트번호 : 21) 를막는다 한빛미디어 -20-
확장 ACL 설정 (2) access-list 100 deny tcp any gt 1023 any ACL 100은출발지가어떤네트워크이든지모든네트워크로가는 TCP 포트번호 1023번이상의트래픽을막는다. access-list 100 deny tcp any any eq telnet ACL 100은출발지가어떤네트워크이든지모든네트워크로가는텔넷을막는다 access-list 100 deny icmp any any ACL 100은출발지가어떤네트워크이던지모든네트워크로가는 icmp 를막는다 한빛미디어 -21-
확장 ACL 설정예 (1) [ 그림 ] 확장 ACL 설정 호스트 10.0.1.100에서 10.0.0.100으로의텔넷접속은허락한다 ( 이외에 10.0.1.0/24의네트워크에서 10.0.0.100으로의텔넷은막는다 ). 10.0.2.0/24 네트워크에서 10.0.0.0/24 네트워크의접근은막는다. 10.0.0.100는모든네트워크에서 ping에대한응답을막는다. 한빛미디어 -22-
확장 ACL 설정예 (2) router_a(config)#access-list 150 permit tcp host 10.0.1.100 host 10.0.0.100 eq 23 router_a(config)#access-list 150 deny tcp 10.0.1.0 0.0.0.255 host 10.0.0.100 eq 23 router_a(config)#access-list 150 permit ip any any router_a(config)#access-list 155 deny ip any 10.0.0.0 0.0.0.255 router_a(config)#access-list 155 permit ip any any router_a(config)#interface fastethernet 0/0 router_a(config-if)#ip access-group 150 in router_a(config-if)#exit router_a(config)#interface fastethernet 0/1 router_a(config-if)#ip access-group 155 in router_a(config-if)#exit router_b(config)#access-list 160 deny icmp any host 10.0.0.100 echo router_b(config)#access-list 160 permit ip any any router_b(config)#interface fastethernet 0/0 router_b(config-if)#ip access-group 160 out router_b(config-if)#exit 한빛미디어 -23-
Named ACL (1) router(config)#ip access-list? extended Extended Access List log-update Control access list log updates logging Control access list logging standard Standard Access List router(config)#ip access-list extended? <100-199> Extended IP access-list number <2000-2699> Extended IP access-list number (expanded range) WORD Access-list name 한빛미디어 -24-
Named ACL (2) router(config)#ip access-list extended PPEVENT_ALL router(config-ext-nacl)#? Ext Access List configuration commands: default Set a command to its defaults deny Specify packets to reject dynamic Specify a DYNAMIC list of PERMITs or DENYs evaluate Evaluate an access list exit Exit from access-list configuration mode no Negate a command or set its defaults permit Specify packets to forward remark Access list entry comment router(config-ext-nacl)#deny ip? A.B.C.D Source address any Any source host host A single source host router(config-ext-nacl)#deny ip any any 한빛미디어 -25-
ACL 동작확인 (1) router#show access-lists? <1-2699> ACL number WORD ACL name rate-limit Show rate-limit access lists Output modifiers <cr> router#show access-lists Standard IP access list 50 deny any Extended IP access list PERVENT Extended IP access list PPEVENT_ALL router#show ip access-lists Standard IP access list 50 deny any Extended IP access list PERVENT Extended IP access list PPEVENT_ALL 한빛미디어 -26-
ACL 동작확인 (2) router#sh ip int fa 0/0 FastEthernet0/0 is up, line protocol is up Internet address is 10.0.0.1/24 Broadcast address is 255.255.255.255 Address determined by setup command MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Multicast reserved groups joined: 224.0.0.5 224.0.0.6 224.0.0.9 Outgoing access list is 50 Inbound access list is not set Proxy ARP is enabled Local Proxy ARP is disabled Security level is default Split horizon is enabled 한빛미디어 -27-