第2章 网络安全技术基础

Wi-Fi网络安全存取
2.3 无线网络安全技术
2．无线路由器安全策略
除了可采用无线AP的安全策略外,还应采用如下安全策略. (1) 设置网络防火墙，加强防护能力。 (2) 利用IP地址过滤，进一步提高无线网络的安全性。
案例2-3
常见内外网攻击造成掉线问题。网络攻击与侵扰、恶性破 坏及计算机病毒等威胁路由器，致使企事业机构的网络系统掉线断网，对 外网攻击无能为力，而内网的泛洪攻击等却因上网环境及人群复杂很难排 查。
2.1 网络协议安全性分析
网络协议设计初期只注重了异构网络的互联问题，而忽视
了网络安全风险，同时，由于协议是一个开放体系，也给 网路系统的应用带来一定得隐患。 计算机网络协议安全风险可归结为3方面： （1）网络协议设计缺陷和实现中存在的一些安全漏洞；
（2）协议无有效认证机制；
（3）网络协议缺乏保密机制。
（1）移动IPv6的特性--无状态地址自动配置、邻居发现 （2）移动IPv6面临的安全威胁--窃听,篡改,Dos
5．移动IPv6的安全机制
移动IPv6协议针对上述安全威胁，在注册消息中 通过添加序列号以防范重放攻击，并在协议报文中引 入时间随机数。
2.2 虚拟专用网技术
2.2.1 虚拟专用网的概念和结构
3. 传输层的安全性—传输控制,数据交换认证,保密/完整性
传输层的主要安全风险和隐患有传输与控制安全、数据交换
与认证安全、数据保密性与完整性等安全风险。
2.1 网络协议安全性分析
4. 应用层的安全性 应用层中利用TCP/IP协议运行和管理的程序繁 多。网络安全问题主要出现在需要重点解决的常用应用 协议和应用系统：
2.2 虚拟专用网技术
3．企业扩展虚拟网 主要用于企业之间的互连及安全访问服务。可通过 专用连接的共享基础设施，将客专用网络相 同的安全、服务质量等政策。
2.3 无线网络安全技术
2.3.1 无线网络安全问题
随着无线网络技术的广泛应用，其安全性越来越 引起人们的关注。主要包括访问控制和数据加密两个 方面，访问控制保证机密数据只能由授权用户访问， 而数据加密则要求发送的数据只能被授权用户所接受 和使用。 无线网络在数据传输时以微波进行辐射传播，只 要在无线接入点AP（Access Point）覆盖范围内，所 有无线终端都可能接收到无线信号。AP无法将无线信 号定向到一个特定的接受设备，时常有无线网络用户 被他人免费蹭网接入、盗号或泄密等，因此，无线网 络的安全威胁、风险和隐患更加突出。 无线网络安全风险及隐患，如下图所示。
2.1 网络协议安全性分析
2.1.1 网络协议安全风险
网络体系层次结构参考模型有OSI模型和TCP/IP模型两种。OSI模型 是国际标准化组织ISO的开放系统互连参考模型，共有七层，设计初衷是
期望为网络体系与协议发展提供一种国际标准，后来由于其过于庞杂，使
TCP/IP协议成为了事实上的“网络标准”，成为Internet的基础协议。 TCP/IP模型由4部分组成对应OSI参考模型的7层体系。
2.1 网络协议安全性分析
2.1.2 TCP/IP层次安全分析
网络安全由多个安全层构成，每一个安全层都是一个 包含多个特征的实体。在TCP/IP不同层次可增加不同的安 全策略。如图2-1所示。
图2-1 TCP/IP网络安全技术层次体系
2.1 网络协议安全性分析
1. 网络接口(物理)层的安全性—设施,线路
2.2.2 虚拟专用网的技术特点
(1) 网络安全性强。 (2) 构建成本费用低。 (3) 便于管理和维护。 (4) 应用灵活性强。 (5) 服务质量高。
图2-5 VPN提供的网络安全连接
2.2 虚拟专用网技术
2.2.3 虚拟局域网实现技术 VPN是在Internet等公共网络基础上，综合利用隧 道技术、加解密技术、密钥管理技术和身份认证技术实 现的。 1. 隧道技术 隧道技术是VPN的核心技术，为一种隐式传输数 据的方法。主要利用已有的Internet等公共网络数据通 信方式，在隧道（虚拟通道）一端将数据进行封装，然 后通过已建立的隧道进行传输。 在隧道另一端，进行解封装并将还原的原始数据交 给端设备。在VPN连接中，可根据需要创建不同类型 的VPN隧道，包括自愿隧道和强制隧道两种。
（1）超文本传输协议（HTTP） （2）文件传输协议（FTP） （3）简单邮件传输协议（SMTP） （4）域名系统（DNS） （5）远程登录协议（Telnet）
2.1 网络协议安全性分析
2.1.3 IPv6的安全分析 1. IPv6的特点和优势
(1) 极大扩充地址空间及应用.IPv4和IPv6报头如图2-2和2-3所示
2.3 无线网络安全技术
无线网络安全风险及隐患示意图
2.3 无线网络安全技术
2.3.2 无线网络设备安全措施
1. 无线接入点安全措施
无线接入点AP用于实现无线客户端之间的信号互联和中继，其安 全措施包括： 1) 及时变更管理员密码 有线等效 保密协议 2) WEP加密传输.数据加密是实现网络安全一项重要技术,可通过 对两台设 案例2-2 协议WEP进行。主要用途： 备间无线 WPA可用暂时密钥完整 传输的数 (1)防止数据被途中恶意篡改或伪造。 性协议TKIP（Temporal Key Integrity 据进行加 Protocol）处理WEP难以解决的各设备 密方式,用 (2)用WEP加密算法对数据加密。 共用一个密钥的安全问题。 以防止非 (3)防止未授权用户对网络访问。 法用户窃 3) 禁用DHCP服务 动态主机设置协议/简单网管协议 听/侵入
虚拟专用网（Virtual Private Network,VPN）是利用 Internet等公共网络的基础设施，通过隧道技术，为用户提 虚拟通道 供的与专用网络具有相同通信功能 的安全数据通道。 VPN可通过特殊加密通信协议 为Internet上异地企业内网之间建立 一条专用通信线路,而无需铺设光缆 等物理线路.系统结构如图 2-4所示.
TCP/IP模型的网络接口层对应着OSI模型的物理层和数据链 路层。主要是物理层安全问题，包括由网络环境及物理特性产 生的网络设施和线路安全性，致使网络系统出现安全风险，如 设备盗损与老化、故障、泄露等。
2. 网络层的安全性——保证数据传输
网络层主要保证数据包在网络中正常传输，IP协议族是整个 TCP/IP协议体系结构的重要基础，TCP/IP中所有协议的数据都 以IP数据包形式传输。
● 掌握无线网络安全问题及措施
● 掌握常用的网络安全管理命令及应用 ● 掌握无线网络安全技术及安全设置实验
15周末做实验
2.1 网络协议安全性分析
2.1.1 网络协议安全风险
网络协议攻防成为信息战双方关注的重点。 全球计算机网络广泛使用的是TCP/IP协议族，由于网络协议 本身没有考虑其安全性，而且协议以软件形式实现，不可避 免存在一般软件所固有的漏洞缺陷，所以，网络协议存在着 威胁和风险，对协议的攻击与防范成为信息战中作战双方关 注的重点。
(1) 原理和特征基本未发生变化的安全问题划分为 三类:网络层以上的安全问题;与网络层数据保密性和完 整性相关的安全问题和与网络层可用性相关的安全问题. 对局域网 如窃听攻击、应用层攻击、中间人攻击、洪泛攻击等. 内的主机 不停的发 (2) 网络层以上（应用）的安全威胁。 送数据包 进行拒绝 (3) 与网络层数据保密性和完整性相关安全问题. (4) 与网络层可用性相关安全问题：主要是指洪泛 服务攻击 攻击，如TCP SYN flooding攻击。 (5) 原理和特征发生明显变化的安全问题，主要包 括以下4个方面。① 侦测，② 非授权访问 ③ 篡改分组 头部和分段信息; ④ 伪造源地址。
4)禁止远程管理 初始化字符串（服务集标识）SSID技术可将 5)修改SNMP字符串 一个无线局域网分为几个需要不同身份验证 的子网,各子网都需独立身份验证,只有通过 6) 修改SSID标识 验证的用户才可进入相应子网,防止未授权用 户进入本网 7) 禁止SSID广播 8) 过滤MAC地址(定义网络设备的位置 ) 9) 合理放置无线AP 10) WPA用户认证（有WPA 和 WPA2两个标准,是一种保护无线网 (Wi-Fi)安全的系统 ）
OSI七层网络模型 应用层（Application） 表示层（Presentation） 会话层（Session） 传输层（Transport） 网络层（Network） 数据链路层（Data Link） 物理层（Physical） 传输层 网际层 网络接口 TCP/IP模型 应用层 对应网络协议 TFTP, FTP, NFS, WAIS Telnet, Rlogin, SNMP, Gopher SMTP, DNS TCP, UDP IP, ICMP, ARP, RARP, AKP, UUCP FDDI, Ethernet, Arpanet, PDN, SLIP, PPP IEEE 802.1A, IEEE 802.2到IEEE 802.11
用户或客户端通过发送VPN 请求配置和创建
2.2 虚拟专用网技术
2. 加解密技术 为了重要数据在公共网络传输的安全，VPN采用了加 密机制。 常用的信息加密体系主要包括非对称加密体系和对称 加密体系两类。实际上一般是将二者混合使用，利用非对 称加密技术进行密钥协商和交换，利用对称加密技术进行 数据加密。 1) 对称密钥加密; 2) 非对称密钥加密 3. 密钥管理技术 密钥的管理分发极为重要。密钥的分发采用手工配置 和采用密钥交换协议动态分发两种方式。 4. 身份认证技术 在VPN实际应用中，身份认证技术包括信息认证、用 户身份认证。信息认证用于保证信息的完整性和通信双方 的不可抵赖性，用户身份认证用于鉴别用户身份真实性。
2.1 网络协议安全性分析
3．IPv6的安全机制
（1）协议安全-认证头AH、封装安全有效载荷ESP扩展头 （2）网络系统安全： ① 实现端到端安全,② 提供内网安全，③ 由安全 隧道构建安全VPN,④ 以隧道嵌套实现网络安全。 （3）其他安全保障-配置、认证、控制、端口限制