校园网安全与出口设备应用解说.ppt

常规情况下路由器基于目标ip，查找路由表转发数据 * Web2.0创造了一个全新的互联网，人人都是网络信息的创造者，那么… 随着网络应用的不断发展，网络经济和网络文化的日益蓬勃，对于网络的监控势在必行。公安部也于2006年逐步开始实行了《网络计算机安全保护措施规定》。也即公安部82号令，加上2008年中国国内的特定的形势：奥运会召开，抵制家乐福，西藏暴乱事件等，公安部要求各个高校加强安全措施，各个部门保持值班状态。针对网络的就是，要求对经过出口的流量进行详细的日志记录，尤其经过NAT地址转换的流进行日志记录。为此，全国各个省份的公安机关都下发了加强网络安全监控的红头文件到各单位，要求完善安全措施，确保责任落实到个人。对于无法提供出口日志记录的单位，公安机关及网监大队会出示相应处理办法。在我们的实际经验中，有遇到对网路中心负责人进行法律处罚的，有对网络进行关闭整顿的…… * Q在页面 A在批注 8 * 第三章 NPE的高级应用案例 路由器通过route-map语句对符合条件的数据包实施路由策略 permit:对符合条件的数据包实施策略 deny:对符合条件的数据包不实施策略Sequence: 0-65535, route-map语句的执行顺序（插入/删除route-map语句 ) * NPE(config)#route-map route-map-name [permit | deny] sequence 策略路由的配置 第三章 NPE的高级应用案例 匹配ACL 匹配第三层数据包的长度 定义匹配规则，只有符合规则的数据包才进行策略路由，如果没有配置匹配规则，则所有数据包都符合规则。要定义策略的匹配规则，在路由图配置模式中执行以下命令： NPE(config-route-map)#match ip address access-list-number * NPE(config-route-map)#match ip address {access-list-number | name} [...access-list-number | name] NPE(config-route-map)#match length min max 匹配策略 第三章 NPE的高级应用案例 * 对符合规则的数据包进行下一跳的设置。要定义匹配规则后的操作，在路由图配置模式中执行以下命令： NPE(config-route-map)# set interface type number NPE(config-route-map)#set ip next-hop ip-address 路由器先检查策略路由，后检查路由表 NPE(config-route-map)# set ip next-hop ip-address [...ip-address] 定义发出的数据包的下一跳地址 NPE(config-route-map)# set interface type number [...type number] 定义发出的数据包的出口 第三章 NPE的高级应用案例 在入口上应用策略路由 * NPE(config-if)# ip policy route-map map-tag 应用到接口 第三章 NPE的高级应用案例 * 本例中的服务器段策略路由配置 NPEconfig)# route-map server permit 10 定义重分布路由图 route-map-name sequence ip access-list standard 10 10 permit 55 定义路由图每个策略的匹配规则或条件 第三章 NPE的高级应用案例 * 本例中的服务器段策略路由配置 NPEconfig)# route-map server permit 10 NPE(config-route-map)# match ip address 10 NPEconfig-route-map)# set ip next-hop 定义满足匹配规则后，路由器对符合规则的数据包进行IP优先值和下一跳的设置 在指定接口中应用路由图 interface GigabitEthernet 0/0 ip policy route-map server access-list-number ip-address NAT日志记录 电信 RG-RSR50-40 RG-ACE2000 RG-NPE 出口路由器 流控设备 出口引擎 校园网 Elog server 发送给NAT日志给Elog服务器 Elog服务器是用来存储和查询NPE的nat日志的，NPE上的配置步骤如下