《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第5章 任務(wù)5.1 搭建局域網(wǎng)安全基本環(huán)境

第5章局域網(wǎng)安全技術(shù)編著：

秦?zé)鰟诖浣?/p>

任務(wù)5.1搭建局域網(wǎng)安全基本環(huán)境

A公司通過(guò)VPN技術(shù)實(shí)現(xiàn)了總公司和各分公司之間的網(wǎng)絡(luò)的安全互連，也使在家辦工的員工以和出差的員工可以安全的連接到公司內(nèi)網(wǎng)。防火墻技術(shù)則將公司內(nèi)部網(wǎng)絡(luò)的可信任區(qū)域與公司外部網(wǎng)絡(luò)的不可信任區(qū)域隔離開(kāi)來(lái)，通過(guò)安全策略有效的阻止了黑客從外網(wǎng)的入侵。然而，小張發(fā)現(xiàn)，A公司內(nèi)部的局域網(wǎng)仍然有攻擊存在。攻擊者可能就是內(nèi)部人員，也可能是內(nèi)部的某臺(tái)電腦中了木馬病毒，還可能是黑客利用某種漏洞繞過(guò)了防火墻的防護(hù)，控制了內(nèi)網(wǎng)的某臺(tái)主機(jī)，并以此為跳板，對(duì)內(nèi)部實(shí)施了攻擊。因此，進(jìn)一步加強(qiáng)局域網(wǎng)內(nèi)部的安全是很必要的。任務(wù)5.1搭建局域網(wǎng)安全基本環(huán)境1.打開(kāi)VMwareWorkstaton，分別啟動(dòng)EVE-NG、三臺(tái)Windowsserver（用作DHCP服務(wù)器、惡意DHCP服務(wù)器、客戶(hù)機(jī)）和KaliLinux（攻擊者）。其中，EVE-NG上的虛擬網(wǎng)卡需要5塊，按順序分別是Vmnet8、Vmnet1、Vmnet2、Vmnet3、Vmnet4，第一塊網(wǎng)卡Vmnet8用于供瀏覽器連接打開(kāi)EVE平臺(tái)，也用于連接Internet上網(wǎng)，其它四塊網(wǎng)卡用于連接windows或Linux主機(jī)。2.DHCP服務(wù)器連接到Vmnet1、惡意DHCP服務(wù)器連接到Vmnet2、客戶(hù)機(jī)連接到Vmnet3、攻擊者KaliLinux連接到Vmnet4。5.1.1基本配置3.圖5-1-1提示，輸入00，可連接到EVE-NG。4.打開(kāi)firefox瀏覽器，輸入EVE-NG第一塊網(wǎng)卡Vmnet8的IP地址00，連接到EVE-NG。5.新建EVE項(xiàng)目，添加兩個(gè)Node，類(lèi)型選CiscovIOSL2交換機(jī)和CiscovIOS路由器；添加5個(gè)NETWORK，Type分別選為Cloud0、Cloud1、Cloud2、Cloud3、Cloud4，對(duì)應(yīng)于VMware虛擬機(jī)的網(wǎng)卡分別是Vmnet8（NAT模式）、Vmnet1、Vmnet2、Vmnet3、Vmnet4，分別連接到NAT模式的VMnet8、DHCP服務(wù)器、惡意DHCP服務(wù)器、客戶(hù)機(jī)和攻擊者的KaliLinux。圖5-1-1EVE-NG啟動(dòng)后的界面6.按圖5-1-2的規(guī)劃，完成拓?fù)涞倪B接。圖5-1-2實(shí)驗(yàn)拓?fù)?.DHCP服務(wù)器的IP地址設(shè)置為0、惡意DHCP服務(wù)器的IP地址設(shè)置為0、客戶(hù)機(jī)的IP地址設(shè)置為自動(dòng)獲取、攻擊者KaliLinux的IP地址設(shè)置為1，它們的網(wǎng)關(guān)為54。8.配置路由器R1(config)#intg0/0R1(config-if)#ipadd54R1(config-if)#noshuR1(config)#intg0/1R1(config-if)#ipadd0R1(config-if)#noshuR1(config)#iproute一、規(guī)劃M(mǎn)AC地址設(shè)備出廠(chǎng)后，其MAC地址是固定不變的，但為了便于實(shí)驗(yàn)測(cè)試，我們將各虛擬機(jī)和路由器接口的MAC地址重新規(guī)劃如下：1.DHCP服務(wù)器的MAC地址：1010.1010.1010；2.惡意DHCP服務(wù)器的MAC地址：2020.2020.2020；3.客戶(hù)機(jī)的MAC地址：3030.3030.30304.KaliLinux的MAC地址：6060.6060.60605.路由器Gi0/0接口的MAC地址：8080.8080.80805.1.2規(guī)劃M(mǎn)AC地址二、設(shè)置兩臺(tái)DHCP服務(wù)器和一臺(tái)客戶(hù)機(jī)的MAC地址DHCP服務(wù)器和客戶(hù)機(jī)選用win2003，若真機(jī)內(nèi)存足夠大，也可選用win2008操作系統(tǒng)。為win2003設(shè)置MAC地址的方法如下：1.如圖5-1-3所示，在“開(kāi)始”菜單的“管理工具”中，打開(kāi)“計(jì)算機(jī)管理”。圖5-1-3計(jì)算機(jī)管理2.如圖5-1-4所示，在左側(cè)點(diǎn)擊“設(shè)備管理器”，在右側(cè)找到“網(wǎng)絡(luò)適配器”下的具體網(wǎng)卡，在其上點(diǎn)擊右鍵，選擇“屬性”。圖5-1-4網(wǎng)絡(luò)適配器屬性3.如圖5-1-5所示，選擇“高級(jí)”選項(xiàng)卡，在“屬性”欄中，點(diǎn)擊“LocallyAdministeredAddress”，在⑥的位置為其值輸入規(guī)劃的MAC地址，請(qǐng)注意是連續(xù)的12位數(shù)字，中間沒(méi)有任何連接符號(hào)隔開(kāi)，如DHCP服務(wù)器的MAC地址設(shè)置為：101010101010。圖5-1-5修改MAC地址4.查看修改好的MAC地址C:\DocumentsandSettings\Administrator>ipconfig/allEthernetadapter本地連接:Connection-specificDNSSuffix.:Description...........:Intel(R)PRO/1000MTNetworkConnectionPhysicalAddress.........:10-10-10-10-10-10DHCPEnabled...........:NoIPAddress............:0SubnetMask...........:DefaultGateway.........:54DNSServers...........:8二、設(shè)置kaliLinux的MAC地址KailLinux是基于Debian的操作系統(tǒng)，網(wǎng)絡(luò)接口的配置位于/etc/network/interfaces文件中。1．用vim打開(kāi)網(wǎng)絡(luò)接口配置文件：#vim/etc/network/interfaces2．在文件中添加一行腳本，設(shè)置新的MAC地址：pre-upifconfigeth0hwether60:60:60:60:60:60然后按ESC鍵并輸入:wq命令，存盤(pán)退出；3．重啟網(wǎng)卡，使新設(shè)置的MAC地址生效：root@kali:~#/etc/init.d/networkingrestart4.查看修改好的MAC地址：root@kali:~#ifconfigeth0:flags=4419<UP,BROADCAST,RUNNING,PROMISC,MULTICAST>mtu1500inet1netmaskbroadcast55inet6fe80::6260:60ff:fe60:6060prefixlen64scopeid0x20<link>ether60:60:60:60:60:60txqueuelen1000(Ethernet)RXpackets432674bytes497743648(474.6MiB)RXerrors0dropped24986overruns0frame0TXpackets6189093bytes371862889(354.6MiB)TXerrors0dropped0overruns0carrier0collisions0三、設(shè)置路由器的MAC地址1．為路由器的g0/0接口設(shè)置新的MAC地址。R1(config)#intg0/0R1(config-if)#mac-address8080.8080.80802．查看修改好的MAC地址。R1#showintg0/0GigabitEthernet0/0isup,lineprotocolisupHardwareisiGbE,addressis8080.8080.8080(bia5000.0002.0000)Internetaddressis54/24MTU1500bytes,BW1000000Kbit/sec,DLY10usec5.1.3配置DHCP服務(wù)及NAT一、配置DHCP服務(wù)器1.如圖5-1-6所示，在DHCP服務(wù)器上，打開(kāi)DHCP服務(wù)，將DHCP服務(wù)器的作用域設(shè)為0-0。2.如圖5-1-7所示，在DHCP服務(wù)器的作用域選項(xiàng)中，設(shè)置003路由器指向54，設(shè)置006DNS服務(wù)器指向14。圖5-1-6DHCP服務(wù)圖5-1-7DCHP作用域選項(xiàng)

二、測(cè)試客戶(hù)機(jī)

為了避免真機(jī)上VMwareDHCP服務(wù)的干擾，首先要將真機(jī)上的VMwareDHCPService停用。方法是在真機(jī)上，右擊桌面上的“此電腦”圖標(biāo)，選擇“管理”選項(xiàng)，展開(kāi)“服務(wù)和應(yīng)用程序”中的“服務(wù)”選項(xiàng)，找到“VMwareDHCPService”項(xiàng)，將其停用。然后，再測(cè)試客戶(hù)機(jī)能否正常分配到IP地址和網(wǎng)關(guān)，方法如下：

1.如圖5-1-8所示，在win3客戶(hù)機(jī)上，設(shè)置自動(dòng)獲取IP地址及DNS服務(wù)器地址。圖5-1-8win3客戶(hù)機(jī)自動(dòng)獲取IP地址2.如圖5-1-9所示，查看IP地址獲取結(jié)果。圖5-1-9查看IP地址獲取結(jié)果三、將VMnet8的NAT網(wǎng)關(guān)地址設(shè)置為。1.如圖5-1-10所示，點(diǎn)擊VMwarer的菜單項(xiàng)“編輯”，選擇“虛擬網(wǎng)絡(luò)編輯器”。圖5-1-10打開(kāi)虛擬網(wǎng)絡(luò)編輯器2.在彈出的“虛擬網(wǎng)絡(luò)編輯器”中，選中“VMnet8