安全功能操作

第1章ACL配 1-ACL介 1-Access- 1-Access- 1-Access-list動作及全局默認(rèn)動 1-ACL配 1-ACL舉 1-ACL排錯幫 1-第2章802.1x配 2-802.1x介 2-802.1x認(rèn)證體系結(jié) 2-802.1x工作機 2-EAPOL消息的封 2-EAP屬性的封 2-基于802.1x的Web認(rèn)證功 2-802.1x認(rèn)證方 2-802.1x的擴展和優(yōu) 2-VLAN分配特 2-802.1x配 2-802.1x應(yīng)用舉 2- 2- 2- 2-基于802.1x的Web認(rèn)證應(yīng)用舉 2-802.1x排錯幫 2-第3章端口、VLAN中MAC、IP數(shù)量限制功能配 3-端口、VLAN中MAC、IP數(shù)量限制功能簡 3-端口、VLAN中MAC、IP數(shù)量限制功能配置任務(wù)序 3-端口、VLAN中MAC、IP數(shù)量限制功能典型案 3-端口、VLAN中MAC、IP數(shù)量限制功能排錯幫 3-第4章AM功能操作配 1AM功能簡 1AM功能配置任務(wù)序 1AM功能典型案 3AM功能排錯幫 3第5章安全特性配 1安全特性介 1安全特性配 1防IPSpoofing功能配置任務(wù)序 1防TCP標(biāo)志功能配置任務(wù)序 1防端口功能配置任務(wù)序 1防TCP碎片功能配置任務(wù)序 2防ICMP碎片功能配置任務(wù)序 2安全特性舉 3第6章TACACS+配 1TACACS+簡 1TACACS+配 1TACACS+典型案 2TACACS+排錯幫 2第7章RADIUS配 1RADIUS簡 1AAA與RADIUS簡 1RADIUS協(xié)議的報文結(jié) 1RADIUS配 3RADIUS典型案 5 5 5RADIUS排錯幫 6第8章SSL配 1SSL簡 1SSL基本原 1SSL配置任務(wù)序 2SSL典型案 3SSL排錯幫 4第9章IPv6安全RA配 1IPv6安全RA簡 1IPv6安全RA配置任務(wù)序 1IPv6安全RA典型案 2IPv6安全RA排錯幫 2第10章VLAN-ACL配 1VLAN-ACL功能簡 1VLAN-ACL功能配置任務(wù)序 1VLAN-ACL功能配置案 3VLAN-ACL排錯幫 4第11章PPPoE中間配 1PPPoEIntermediateAgent介 1PPPoE簡 1 1PPPoEIntermediateAgent配置任務(wù)序 5PPPoEIntermediateAgent典型應(yīng) 7PPPoEIntermediateAgent排錯幫 8第12章EIFP配 1EIFP介 1外擴TCAM介 1外擴ACL介 1外擴QoS介 2EIFP配 2ETCAM配置序 2EACL配置序 2EQoS配置序 7EIFP舉 10EIFP排錯幫 15第13章SAVI配 1SAVI介 1SAVI配 1SAVI典型應(yīng) 4SAVI排錯幫 6第1ACLACL介紹交換機端口的，這樣特定端口上特定方向的數(shù)據(jù)流就必須依照指定的ACL規(guī)則進入交gressL可以在出口方實對文的濾，合定則報可允通過者過。L可以支持PL，CCL，-PL，6CL。在端口方向上可以同時配置四種L；在端口出口方向上由于硬件只有四個資源，和CL各占一個資源，-和I6L即一個端口在出口方向上不能同時配置四種L，同時配置三種L時也只能是、C和-類型同時配置或、和v6L時可以任意選L了過濾信息及匹配此rule時應(yīng)采取的動作。Rule包含的信息可以包括源MAC、目的MAC、源IP、目的IP、IP協(xié)議號、TCP端口、UDP方向上。access-group就是對特定的一條access-list與特定端口的綁定關(guān)系的描述。當(dāng)您建立了一條access-group之后，流經(jīng)此端口此方向的所有數(shù)據(jù)包都會試圖匹配指定的access-list規(guī)則，以決定交換動作是允許(permit)或(deny)。另外還可以在端口加上對ACL規(guī)則統(tǒng)計計數(shù)器，以便統(tǒng)計符合ACL規(guī)則數(shù)據(jù)包的Access-list動作及全局默認(rèn)動作ACL配置ACL配置任務(wù)序列配置數(shù)字標(biāo)準(zhǔn)IP列配置數(shù)字?jǐn)U展IP列配置命名標(biāo)準(zhǔn)IP列創(chuàng)建一個命名標(biāo)準(zhǔn)IP列退出表配置模配置命名擴展IP列創(chuàng)建一個命名擴展IP列退出表配置模配置數(shù)字標(biāo)準(zhǔn)MAC列配置數(shù)字?jǐn)U展MAC列配置命名擴展MAC列創(chuàng)建一個命名擴展MAC列配置數(shù)字?jǐn)U展MAC-IP列配置命名擴展MAC-IP列創(chuàng)建一個命名擴展MAC-IP列退出MAC-IP表配置模創(chuàng)建一個命名擴展IPv6列配置access-配置數(shù)字標(biāo)準(zhǔn)IP列access-list<num>{deny|{{<sIpAddr><sMask>}|any-sourcenoaccess-list<num>創(chuàng)建一條數(shù)字標(biāo)準(zhǔn)IP列表，如果已有此命令的no操作為刪除一條數(shù)字標(biāo)準(zhǔn)IP配置數(shù)字?jǐn)U展IP列access-list<num>{deny|permit}{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[<icmp-type>[<icmp-code>]][precedenceICMPIP訪問列表，如果已有此列表，access-list<num>{deny|permit}{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[<igmp-type>][precedence<prec>][tosIGMPIP訪問列表，如果已有此列表，access-list<num>{deny|permit}tcp<sMask>}|any-source|{host-source<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dIpAddr><dMask>}|any-destination{host-destination<dIpAddr>}}[d-port{<dPort>| [ack+fin+psh+rst+urg+syn][precedence創(chuàng)建一條TCP數(shù)字?jǐn)UIP {{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}[s-port{<sPort>|range<sPortMax>}]{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[d-port{<dPort>|range<dPortMin><dPortMax>}] 創(chuàng)建一UDP數(shù)字?jǐn)UIPaccess-list<num>{deny|permit}{eigrp|gre|igrp|ipinip|ip|ospf|<protocol-num>}{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}} IP協(xié)議或所有IPIP訪問列表，如果已有此列表，noaccess-list配置命名標(biāo)準(zhǔn)IP列創(chuàng)建一個命名標(biāo)準(zhǔn)IP列ipaccess-liststandard 創(chuàng)建一條命名標(biāo)準(zhǔn)IP列表；本命令的指定多條permit或deny規(guī)則[no]{deny|permit} {host-source（rule的no操作為刪除此命名標(biāo)準(zhǔn)IP規(guī)則（rue退出命名標(biāo)準(zhǔn)IP列表配置模配置命名擴展IP列創(chuàng)建一個命名擴展IP列ipaccess-listextended 創(chuàng)建一條命名擴展IP列表；本命令的permitdeny icmpIP（rue刪除此命名擴展IP規(guī)則（rue {host- {host- igmpIP（rue刪除此命名擴展IP規(guī)則（rue {host- {host- [no]{deny|permit}tcp{{<sIpAddr>創(chuàng)建一條tcp命名擴展IP規(guī)（rule（rule [s- {host- [d- [no]{deny|permit}udp{{<sIpAddr> [s- 創(chuàng)建一條udp命名擴展IP {host-（rue [d- （rule [no]{deny|permit}{eigrp|gre|igrp|ipinip創(chuàng)建一條匹配其他特定IP協(xié)議或所有IP協(xié)議的數(shù)字?jǐn)U展IP規(guī)則；如果此數(shù)字?jǐn)U展列ip|ospf|<protocol-num>} {host- {host- 退出命名擴展IP列表配置模配置數(shù)字標(biāo)準(zhǔn)MAC列access-list<num>{deny|{any-source-mac|{host-source- noaccess-list創(chuàng)建一條數(shù)字標(biāo)準(zhǔn)mac列表，如果已有此列表，則增加一條規(guī)則（rule）表項；本命令的no操作為刪除一條數(shù)字標(biāo)準(zhǔn)mac訪配置數(shù)字?jǐn)U展MAC列 {any-source-{host-source-mac<host_smac>}|{<smac><smac-創(chuàng)建一條數(shù)字?jǐn)U展{any-destination-mac|{host-destination-tagged-eth2|untagged-802-3|tagged-802-3}[<length1><value1>[<offset2><length2>令的no[<offset3><length3><value3>[<offset4>數(shù)字?jǐn)U展mac<value4>noaccess-list配置命名擴展MAC列創(chuàng)建一個命名擴展MAC列nomac-access-listextended指定多條permit或deny規(guī)則表項[no]{deny|permit}{any-source-mac|{host-source-創(chuàng)建一條匹配普通MAC幀名擴展MAC規(guī)則(rule)；no操作為刪除此命名擴展MAC規(guī)則 {any-destination- {host-destination-<host_dmac>}|{<dmac><dmac-mask>}}[cos<cos- [ethertype<protocol>[<protocol-[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination- [no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination- {<dmac><dmac-mask>}}[vlanid<vid-value>[<vid-[ethertype<protocol>[<protocol-[no]{deny|permit}{any-source-mac|{host-source-創(chuàng)建一條匹配untagged2幀類型名擴展MAC規(guī)則(rule)；no操作為刪除此命名擴展MAC規(guī)則[untagged-eth2[ethertype<protocol>[protocol-創(chuàng)建一條匹配[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination-untagged802.3幀類型名擴展MAC訪問規(guī)則(rule)no操作為刪除此命名擴展[no]{deny|permit}{any-source-mac|{host-source-mask>}}[tagged-eth2 [<protocol-tagged2幀類型名擴展MAC規(guī)則(rule)no操作為刪除此命名擴展MAC訪[no]{deny|permit}{any-source-mac|{host-source- 802.3幀類型{any-destination- {host-destination-擴展MAC規(guī)<host_dmac>}|{<dmac><dmac-mask>}}[tagged-802-(rule)；no操作為 <cos- [<cos- [<vid-此命名擴展MAC規(guī)則退出MAC表配置模配置數(shù)字?jǐn)U展MAC-IP列access-list<num>{deny|permit}{any-source-mac{host-source- {any-destination- {host-destination- {<dmac><dmac- {host- 創(chuàng)建一MACICMP數(shù)字?jǐn)U展mac-ip列表，如果已有此訪問列表，則增加一條 [<icmp-code>]][precedence<precedence>][tosaccess-list<num>{deny|permit}{any-source-mac創(chuàng)建一條MACIGMP數(shù)字?jǐn)U展mac-ip{host-source- {any-destination- {host-destination- <dmac-mask>}} {{<source><source-wildcard>} {host- {{<destination><destination-wildcard>}|any-|{host-destination<destination-host-ip>}}[<igmp- access-list<num>{deny|permit}{any-source-mac{host-source- {any-destination- {host-destination- <dmac-mask>}}tcp{{<source><source-wildcard>}|any-source|{host-source<source-host-ip>}}[s- {{<destination><destination-wildcard>}|any- {host- [d- [ack+fin+psh+rst+urg+syn][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條MAC-TCP數(shù)字?jǐn)U展mac-ip列表，如果已有此訪問列表，則增加一條access-list<num>{deny|permit}{any-source-mac{host-source- {any-destination- {host-destination- {<dmac><dmac- {host-<source-host-ip>}}[s-port{<port1>|range<sPortMax>}]{{<destination><destination-wildcard>}| [d- <dPortMin><dPortMax>}][precedence<precedence>][tos<tos>][time-range<time-range-name>]MACUDP數(shù)字?jǐn)U展mac-ipaccess-list<num>{deny|permit}{any-source-mac{host-source- {any-destination- {host-destination- {<dmac><dmac-mask>}}{eigrp|gre|igrp|ip|ipinip|ospf|{<protocol-num>}}{{<source><source-wildcard>}|any-source {host-source<source-host-{{<destination><destination-wildcard>}|any-|{host-destination<destination-host-ip>}} MACIP協(xié)議或所MACIP協(xié)議的數(shù)字?jǐn)U展mac-ip列表，如果已有此noaccess-list刪除一條數(shù)字?jǐn)U展配置命名擴展MAC-IP列創(chuàng)建一個命名擴展MAC-IP列mac-ip-access-listextendednomac-ip-access-listextended創(chuàng)建一條命名擴展MAC-IP列擴展MAC-IP列表指定多條permit或deny規(guī)則表項[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination- <dmac- [<icmp-code>]][precedence<precedence>][tos創(chuàng)建一條mac-icmp命名擴展MAC（ruleno為刪除此命名擴展MAC-IP規(guī)則（rue[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination- {host- {host-destination<destination-host-ip>}}[<igmp-type>] <tos>][time-創(chuàng)建一條mac-igmpMACIP訪問規(guī)則（rule）no展MAC-IP規(guī)則（rue[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination-<host_dmac>}|{<dmac><dmac-mask>}}tcp {host-mac-tcp<source-host-ip>}}[s-port{<port1>|rangeruen<sPortMax>}]{{<destination><destination-wildcard>}為刪除此命名擴展 {host-MAC-IP規(guī) [d- （rue [time-[no]{deny|permit}{any-source-mac|{host-source-mac-udp命MAC-IP（ruleno為刪除此命名擴展MAC-IP規(guī)則（rue {any-destination- {host-destination-<host_dmac>}|{<dmac><dmac-mask>}}udp {host-<source-host-ip>}}[s-port{<port1>|range<sPortMax>}]{{<destination><destination-wildcard>} {host- [d- <dPortMin><dPortMax>}][precedence[no]{deny|permit}{any-source-mac|{host-source- {any-destination- {host-destination-創(chuàng)建一條mac-ip<host_dmac>}|{<dmac><dmac-mask>}}{eigrp|gre協(xié)議類型名擴igrp|ip|ipinip|ospf|{<protocol-num>}} {host-MAC-IP規(guī)（ruleno 除此命名擴展 MAC-IP規(guī){host- （rue 退出MAC-IP表配置模配置數(shù)字標(biāo)準(zhǔn)IPv6列ipv6access-list<num>{deny|permit}{{<sIPv6Addr><sPrefixlen>}| noipv6access-list創(chuàng)建一條數(shù)字標(biāo)準(zhǔn)IPv6列表，如果已有此列表，則增加一條規(guī)則（rule）表no操作為刪除一條數(shù)字標(biāo)準(zhǔn)IPv6列表。配置數(shù)字?jǐn)U展IPv6列ipv6access-list<num-ext>{deny|permit} {host- {host- [<icmp- [flow-ipv6access-list<num-ext>{deny|permit} {host-source<sIPv6Addr>}}[s-port{<sPort> {host-destination<dIPv6Addr>}}[dPort{<dPort>range<dPortMin><dPortMax>}][syn|ack|urg| ipv6access-list<num-ext>{deny|permit} {host-source<sIPv6Addr>}}[s-port{<sPort>創(chuàng)建一條數(shù)字?jǐn)U展IPV6本命令的no操作為刪除一條數(shù)字標(biāo)準(zhǔn)IP列表。 {{<dIPv6Prefix/<dPrefixlen>}|any-destination{host-destination<dIPv6Addr>}}[dPort{<dPort>range<dPortMin><dPortMax>}][dscp[flow- {host- {host-destination<dIPv6Addr>}}[dscp[flow- <fl>][time-range<time-range-noipv6access-list配置命名標(biāo)準(zhǔn)IPv6列創(chuàng)建一個命名標(biāo)準(zhǔn)IPv6列ipv6access-liststandardnoipv6access-liststandard除此命名標(biāo)準(zhǔn)IPv6指定多條permit或deny規(guī)則[no]{deny|permit}{{<sIPv6Prefix/sPrefixlen>}（ruleany-source|{host-source（rue退出命名標(biāo)準(zhǔn)IPV6列表配置模配置命名擴展IPv6列創(chuàng)建一個命名擴展IPv6列ipv6access-listextendednoipv6access-listextended除此命名擴展IPv6permitdeny 創(chuàng)建一條icmpIPv6規(guī)則（rule）；本命令的no操作為刪除此命名擴展IPv6規(guī)則（rule。 {host- [flow-[no]{deny|permit}tcp{<sIPv6Prefix/sPrefixlen>tcpIPv6規(guī)則（rule）；本命令的no操作為刪除此命名擴展IPv6規(guī)則（rule。any-source|{host-source<sIPv6Addr>}}[s- {host-destination<dIPv6Addr>}}[d-port{<dPort>range<dPortMin><dPortMax>}][syn|ack|urgrst|fin|psh][dscp<dscp>][flow-label[no]{deny|permit}udpudpIPv6規(guī)則（rule）；本命令的no操作為刪除此命名擴展IPv6規(guī)則（rule。|any-source|{host-source<sIPv6Addr>}}[s- {host-destination<dIPv6Addr>}}[d-port{<dPort>range<dPortMin><dPortMax>}][dscp 創(chuàng)建一條匹配其他特定IPv6協(xié)議的數(shù)字?jǐn)U展IPv6規(guī)列表不存在則創(chuàng)建此列 {host- {host-destination<dIPv6Addr>}}[dscp[no]{deny|permit}{<sIPv6Prefix/sPrefixlen>IPv6（ruleIPv6訪問規(guī)則（rule。 {host- {host-destination<dIPv6Addr>}}[dscp退出命名擴展IPv6列表配置模配置濾功全局打開濾功firewallfirewall配置ACLdeny優(yōu)先功能acldeny配置時間范圍功能創(chuàng)建時間范圍名稱time-range名 <timerange配置周期性時段 {Monday Tuesday|Wednesday||Friday|Saturday| {Monday Tuesday|Wednesday||Friday|Saturday|Sunday}|daily|weekdays| <end[no]absolute-periodic{Monday|Tuesday|Wednesday||Friday|Saturday| {Monday Tuesday|Wednesday||Friday|Saturday|<end Sunday}|daily|weekdays| <end配置絕對性時段 [no]absolutestart 將accessl-list綁定到特定端口的特定方向{ip|ipv6|mac|mac-access-group<acl-name>{in|out} {ip|ipv6|mac|mac-access-group<acl-name>物理接口模式：在端口的或出口方向上應(yīng)用一條access-listno操作為刪除綁定在端口上的access-list。顯示端口ACL的配置及統(tǒng)計信息showaccess-groupin{Ethernet|EthernetIFNAM清空指定接口的濾統(tǒng)計信 | <interface-name>ACL舉例案例配置更改：創(chuàng)建相應(yīng)的配置濾功Switch(config)#access-list110denytcp55any-destinationd-port21Switch(config)#firewallenableSwitch(Config-If-Ethernet1/10)#ipaccess-group110inSwitch#showfirewallFirewallStatus:Enable.FirewallDefaultRule:Permit.Switch#showaccess-access-list110(used1time(s))1access-list110denytcp55any-destinationd-portSwitch#showaccess-groupinterfaceethernet1/10interfacename:Ethernet1/10Iressaccess-listusedis110,traffic-statistics案例用戶有如下配機的端口10不允許轉(zhuǎn)發(fā)源MAC地址是00-12-11-23-XX-802.3的數(shù)據(jù)報文。1創(chuàng)建相應(yīng)的MAC2、配置濾功 any-destination-macuntagged-802-3 Switch(config)#firewallenableSwitch(config)#interfaceethernet1/10FirewallStatus:Enable.FirewallDefaultRule:Permit.Switch#showaccess-listsaccess-list1100(used1time(s))access-list1100deny00-12-11-23-00-0000-00-00-00-ff-ffaccess-list1100deny00-12-11-23-00-0000-00-00-00-ff-ffSwitch#showaccess-groupinterfaceethernet1/10interfacename:Ethernet1/10MACIngressaccess-listusedis1100,traffic-statistics案例配置更改： any-destination-mactcp55any-destinationd-port Switch(config)#firewallenableSwitch(config)#interfaceethernet1/10Switch(Config-If-Ethernet1/10)#mac-ipaccess-group3110inFirewallStatus:Enable.FirewallDefaultRule:Permit.Switch#showaccess-access-list3110(used1access-list3110deny00-12-11-23-00-0000-00-00-00-ff-fftcp55any-destinationd-portaccess-list3110denyany-source-mac00-12-11-23-00-0000-00-00-00-ff-fficmpany-source55Switch#showaccess-groupinterfaceethernet1/10interfacename:Ethernet1/10MAC-Iressaccess-listusedis3110,traffic-statistics案例Switch(config)#ipv6access-list600permit2003:1:1:1:66::0/80any-destinationSwitch(config)#ipv6access-list600deny2003:1:1:1::0/64any-destinationSwitch(Config-If-Ethernet1/10)#ipv6access-group600inFirewallStatus:Enable.FirewallDefaultRule:Permit.Switch#showipv6access-Ipv6access-list600(used1ipv6access-list600deny2003:1:1:1::0/64any-sourceipv6access-list600permit2003:1:1:1:66::0/80any-sourceSwitch#showaccess-groupinterfaceethernet1/10interfacename:Ethernet1/10IPv6Ingressaccess-listusedis600,traffic-statistics案例為的設(shè)備接入到這幾個端口。配置更改：Switch(config)#vlan100Switch(Config-Vlan100)#switchportinterfaceethernet1/1;2;5;7Switch(Config-Vlan100)#exitSwitch(config)#access-list1denyhost-sourceSwitch(config)#interfaceethernet1/1;2;5;7Switch(config-if-port-range)#ipaccess-group1inSwitch(Config-if-Vlan100)#exit配置結(jié)果：Switch(config)#showaccess-groupinterfacevlan100InterfaceVLAN100: Iressaccess-listusedis1,traffic-statisticsEthernet1/2:Iressaccess-listusedis1,traffic-statisticsDisable.Ethernet1/5:Iressaccess-listusedis1,traffic-statisticsDisable.Ethernet1/7:Iressaccess-listusedis1,traffic-statisticsDisable.ACL排錯幫助 ACLACL表項匹配時，才會使用默認(rèn)規(guī)則。每個ACLACL時，優(yōu)先關(guān)系從高到低如下，如 IPv6ACL ACL MACACLACLACL如果access-list中包括過濾信息相同但動作的規(guī)則，則其無法綁定到端口并將有報錯提示。例如同時配置permittcpany-sourceany-destination及denytcpany-source可以配置ACL某些ICMP報文通過以防止“沖擊波”等ACLVlan接口配置模式下綁定的ACL只能在Vlan接口模式下取消。物理接口加入/Vlan時（Trunk口除外）VlanACL將自動綁定/移除VlanACL（Vlan接口配置模式配置）和該端口原有的ACL配置（通過物理接口配置模式配置），將導(dǎo)致端口移動失敗。Vlan中無物理接口時（Trunk口除外ACLVlan中的配置，以后如果再有取消通過Vlan接口配置模式綁定到該物理接口的ACL；trunk->access,將Vlan1接口配置的ACL綁定到該物理接口，如果綁定失敗，端口模式轉(zhuǎn)換將執(zhí)行失敗。第2章802.1x是為了解決無線局域網(wǎng)用戶的接入認(rèn)證問題。IEEE802LAN協(xié)議定義的局域網(wǎng)并不提供接入認(rèn)證，只要用戶能接入局域網(wǎng)控制設(shè)備（如LANSwitch），就可以局域網(wǎng)中的設(shè)備以實現(xiàn)用戶級的接入控制，802.lx就是IEEELAN/WAN為了解決基于端口的網(wǎng)絡(luò)接802.1xserversystem（認(rèn)證服務(wù)器）。圖2-1802.1x認(rèn)證體系結(jié) 證客戶端一般為一個用戶終端設(shè)備用戶通過啟動客戶端發(fā)起802.1x認(rèn)證。接入控制單元是位于局域網(wǎng)段一端的另一個實體，對所連接的客戶端進行認(rèn)證。接入控制單元通常為支持802.1x協(xié)議的網(wǎng)絡(luò)設(shè)備，它為客戶端提供接入局域網(wǎng)的端 行認(rèn)證、和計費，通常為RADIUS（RemoteAuthenticationDial-InUserPAE（PortAccessEntity，端口實體）是802.1x認(rèn)證機制中負(fù)責(zé)執(zhí)行算法和協(xié)議 證結(jié)果對受控端口的/非狀態(tài)進行相應(yīng)地控制。狀態(tài)是指允許用戶訪受控/非受控端口 受控方向 說明：目前，本交換機只支持單向802.1xIEEE802.1xEAP（ExtensibleAuthenticationProtocol，可擴展認(rèn)證協(xié)圖2- 802.1x認(rèn)證工作機在客戶端PAE與接入控制單元PAE之間，EAP協(xié)議報文使用EAPOL封裝格式，直在接入控制單元PAE與RADIUS服務(wù)器之間，可以使用兩種方式來交換信息。一種是EAP協(xié)議報文使用EAPOR（EAPoverRADIUS）封裝格式承載于RADIUS協(xié)議（PasswordAuthenticationProtocol，驗證協(xié)議）或CHAP（Challenge當(dāng)用戶完成認(rèn)證后，認(rèn)證服務(wù)器會把用戶的相關(guān)信息傳遞給接入控制單元，接入控制單元PAE根據(jù)RADIUS服務(wù)器的認(rèn)證結(jié)果（Accept或Reject）決定受控端口的EAPOL消息的封裝EAPOL數(shù)據(jù)包的格式EAPOL802.1x協(xié)議定義的一種報文封裝格式，主要用于在客戶端和接入控制單元之間傳EAP協(xié)議報EAP協(xié)議報文LAN上傳送IEEE802/EthernetLAN環(huán)境中，EAPOL數(shù)據(jù)包的格式如下圖所示，EAPOL數(shù)據(jù)包的起始位置是MAC幀的Type/Length域。圖2-3EAPOL數(shù)據(jù)包格 EAPOL-Start（值為0x01）：認(rèn)證發(fā)起 EAPOL-Logoff（值為0x02）：退出請求 EAPOL-Key（值為0x03）：密鑰信息 EAPOL-Encapsulated-ASF-Alert（值為0x04）：用于支持 EAP數(shù)據(jù)包的格式圖2-4EAP數(shù)據(jù)包格、Failure（4） Success和Failure類型的包沒有Data域，相應(yīng)的Length域的值為4 對方的；Type值為4時，代表MD5-Challenge，類似于PPPCHAP協(xié)議，包圖2- Request和Response類型數(shù)據(jù)包的Data域的格IdentifierRequestResponseEAP屬性的封裝RADIUS為支持EAP認(rèn)證增加了兩個屬性：EAP-Message（EAP消息）和Message-Authenticator（消息認(rèn)證碼）RADIUS協(xié)議的報文格式請參見“AAA-RADIUS-HWTACACS操作”的RADIUS協(xié)議簡介部分。EAP-圖2-6EAP-Message屬性EAP、CHAP等認(rèn)證方法的過程中，避免接入請求包圖2-7Message-Authenticator屬性基于802.1x的Web認(rèn)證功原有神州數(shù)碼802.1x認(rèn)證系統(tǒng)的整體思路采用IEEE802.1x認(rèn)證系統(tǒng)的體系結(jié)構(gòu)、工證交換機之間使用EAPOL封裝技術(shù)，即將EAP報文封裝在以太網(wǎng)幀之中進行認(rèn)證通信而認(rèn)證交換機與認(rèn)證服務(wù)器間使用EAPOR封裝格式即將EAP報文承載在Radius協(xié)議上進行認(rèn)證通信；也可以由設(shè)備端進行中介，而在設(shè)備端與RADIUS服務(wù)器之間通過RADIUS協(xié)議傳送PAP協(xié)議報文或CHAP協(xié)議報文。神州數(shù)碼802.1x認(rèn)證系統(tǒng)中，用戶為了實現(xiàn)認(rèn)證和網(wǎng)絡(luò)準(zhǔn)入，就必須安裝神州數(shù)802.1x系統(tǒng)的Web認(rèn)證功能。Web802.1xJavaApplet替代原有的客戶端，設(shè)備端采用神州數(shù)碼三層交換機，認(rèn)證服務(wù)器使用標(biāo)準(zhǔn)RADIUSEAPJavaApplet技術(shù)，不能發(fā)送以太網(wǎng)幀，故而客戶端與web認(rèn)證交換機的認(rèn)證通信EAP報文不能采用技術(shù)，即將EAP認(rèn)證報文承載于UDP協(xié)議之上，實現(xiàn)web客戶端與web認(rèn)證交換機之間的認(rèn)證通信，而在認(rèn)證交換機與認(rèn)證服務(wù)器之間仍然采用標(biāo)準(zhǔn)的EAPOR協(xié)議。802.1x另一方面客戶端可以通過客戶端向設(shè)備端發(fā)送EAPOL-Start報文，發(fā)起認(rèn)證。802.1xEAPEAPRADIUS服務(wù)器交互完成認(rèn)EAP中繼這種方式是IEEE802.1x標(biāo)準(zhǔn)規(guī)定的，將EAP（擴展認(rèn)證協(xié)議）承載在其它協(xié)議EAPoverRADIUS，以便擴展認(rèn)證協(xié)議報文穿越復(fù)雜的網(wǎng)絡(luò)到達認(rèn)證服務(wù)器。一般來說，EAP中繼方式需要RADIUS服務(wù)器支持EAP屬性：EAP-Message和EAPEAP（Method要隨著改變，在下圖中給出了EAP認(rèn)證方法協(xié)議棧。圖2-8EAP認(rèn)證方法協(xié)議現(xiàn)在已經(jīng)開發(fā)50種以上的EAP認(rèn)證方法，而各種不同EAP認(rèn)證方法間的差異在于認(rèn)證機制與密鑰管理的不同。其中比較常見的四種EAP認(rèn)證方法包括： EAP-M PEAP（ProtectedExtensibleAuthenticationProtocol，受保護的擴展認(rèn)證協(xié)議）下面分別介紹這四種EAP認(rèn)證方法。注意 EAPEAPMD5、EAP-TLS、EAP-TTLSPEAP這EAP-MD5認(rèn)證方法EAP-MD5IETF開放標(biāo)準(zhǔn)，但提供最少的安全，MD5Hash。圖2-9802.1xEAP-MD5EAPTLS認(rèn)證方法EAP-TLSEAPTLSPKI來保護客戶端與Radius認(rèn)證服務(wù)器之間的認(rèn)證以及生成動態(tài)的會話密鑰，要求客戶端和Radius認(rèn)證服務(wù)器都要擁有數(shù)字以進行雙向認(rèn)證。它是無線局域網(wǎng)最早采納的EAP認(rèn)證方法。圖2-10802.1xEAP-TLS認(rèn)證流EAPTTLS認(rèn)證方法EAP-TTLSFunkSoftware和EAP-TLS相同的認(rèn)證強度，但不要求每個用戶都要擁有數(shù)字，而只要求Radius認(rèn)證服務(wù)器要擁有數(shù)PAP、MS-CHAPV2等。PEAP認(rèn)證方式EAP-PEAP是由Cisco、微軟和RSASecurity聯(lián)合開放標(biāo)準(zhǔn)的建議。它早已被EAP-TTLS相似，只需要一份服務(wù)器端的PKI來建立一個安全的TLS隧道以保護用戶認(rèn)證。圖2-11802.1xPEAP認(rèn)證EAP終結(jié)這種方式將EAP報文在接入控制單元終結(jié)并到RADIUS報文中，利用標(biāo)認(rèn)證方法。以下以CHAP認(rèn)證方法為例介紹基本業(yè)務(wù)流程，圖2-12802.1xEAP終結(jié)方式認(rèn)證流端加密后的信息一起送給RADIUS服務(wù)器，進行相關(guān)的認(rèn)證處理。802.1x設(shè)備在802.1x的EAP中繼方式和EAP終結(jié)方式的實現(xiàn)中，不僅支持協(xié)議所規(guī)定的端可以有效地防止ARP。VLAN分配特性AutoAutoVLANRADIUS服務(wù)器根據(jù)用戶信息和用戶接入設(shè)備信息來動態(tài)改變接入端口所屬的VLAN。當(dāng)802.1x用戶在服務(wù)器上通過認(rèn)證時，RADIUS服務(wù)器會把信息傳送給設(shè)備端。如果RADIUS服務(wù)器上配置了下發(fā)VLAN功能，則在Access-Accept報Tunnel-Medium-Type=802這里的VLANID是指VLAN的VID取值范圍為1~4094Tunnel-Private-Group-30VLAN30AutoVLAN并不改變端口的配置，也不影響端口的配置。但是，AutoVLAN的優(yōu)先級GuestAN，問該VLAN內(nèi)的資源不需要認(rèn)證，但此時不能夠其他網(wǎng)絡(luò)資源；認(rèn)證成功后，端口離開GuestVLAN，用戶可以其他的網(wǎng)絡(luò)資源。用升級程序（例如防作系統(tǒng)補丁程序等。如果因為沒有的認(rèn)證客戶端或端口加入到GuestVLAN。802.1xGuestVLANAutoVLANGuestVLANGuestVLAN中端口下的用戶GuestVLAN內(nèi)；如果認(rèn)證成功，分為以AutoVLANGuestVLANVLANGuestVlanVLANGuestVLANVLAN中。用戶下線后，端口會被重新劃分到所配置的GuestVlan內(nèi)。802.1x使能交換機的802.1x功配置交換機802.1x的擴展功(使能交換機的802.1x功能dot1xenablenodot1xenable使能交換機全局及端口的802.1x功能；dot1xprivateclientenablenodot1xprivateclientenable使能交換機強制客戶端使用神州數(shù)碼802.1xno操作為關(guān)閉該功能，允許客戶端使802.1x nodot1xuserfree-nodot1xunicastenablenodot1xunicastenable命令的 操作關(guān)閉802.1x單播透能配置基于802.1x的web認(rèn)證全局功dot1xwebauthenticationenablenodot1xwebauthenticationenable全局啟動基于802.1x的web認(rèn)證局nodot1xwebredirectnodot1xweb在交換機上配置Web重定向的HTTP服務(wù)器地址，不支持解析，所以不要配接入控制單元的屬性配置 force-authorized|force-unauthorizednodot1xport-設(shè)置端口的802.1x狀態(tài)，本命令 portbased|webbased|userbased{standard|nodot1xport-dot1xmax-usermacbasednodot1xmax-usernodot1xmax-useruserbasednodot1xmax-user于端口接入控制方式為userbased的情10dot1xguest-vlannodot1xguest-dot1xportbasedmodesingle-modenodot1xportbasedmodesingle-modeportBase認(rèn)證方式的單一用戶no配置交換機802.1x的擴展dot1xmacfilterenablenodot1xmacfilterenabledot1xmacbasedport-down-flushnodot1xmacbasedport-down-flush打開該命令，當(dāng)基macdot1x認(rèn)證down時，刪除該端口上已經(jīng)認(rèn)證 [interface<interface-name>]nodot1xaccept-mac<mac-dot1xeaporenablenodot1xeaporenable的noEAPdot1xipv6passthroughnodot1xipv6passthrough命令的no操作為關(guān)閉該功能。 dot1x 打開交換機端口的IPv6透能，用于webbased的情況；本命令的no操作為關(guān)閉該功能。與Supplicant(用戶接入設(shè)備)相關(guān)的屬性配置dot1xmax-req<count>nodot1xmax-reqsupplicant回應(yīng)而dot1xre-authenticationnodot1xre-authentication設(shè)置允許對supplicant進行周期性重認(rèn)nodot1xtimeoutquiet-period<seconds>nodot1xtimeoutquiet-period nodot1xtimeoutre-設(shè)置交換機對supplicant重新認(rèn)證的時間dot1xtimeouttx-period<seconds>nodot1xtimeouttx-period設(shè)置交換機對supplicant重發(fā)令的no操作用來恢復(fù)缺省值。 設(shè)置對所有端口或某個指定端口進行802.1x重認(rèn)證（不須等待超時802.1xGuestVlan應(yīng)用舉例Update Authenticator 2圖2-13：GuestVLAN網(wǎng)絡(luò)拓?fù)浣Y(jié)2-13所示，1802.1xRADIUS服務(wù)器在VLAN2內(nèi)；UpdateServer是用于客戶端和升級的服務(wù)器，在VLAN10內(nèi)；交換機連接Internet網(wǎng)絡(luò)的端口Ethernet1/6VLAN5內(nèi)。UpdateUpdateAuthenticator2圖2-14：用戶加入Guest2-14所示，在Ethernet1/2上開802.1xVLAN10為該中，用戶可以UpdateServer。Update Authenticator2圖2-15：用戶上線，VLAN下發(fā)2-15VLAN5，此時，用戶和端口Ethernet1/6都在VLAN5內(nèi)，用戶可以Internet。#Switch(config)#radius-serverauthenticationhostSwitch(config)#radius-serveraccountinghostSwitch(config)#radius-serverkeytestSwitch(config)#aaaenableVLAN100#Switch(config)#dot1xEthernet1/2802.1x功能。Switch(config)#interfaceethernet1/2Switch(Config-Ethernet1/2)#dot1xenable##Switch(Config-Ethernet1/2)#dot1xport-method##配置端口GuestVLAN100。Switch(Config-Ethernet1/2)#dot1xguest-vlan100showrunning-configshowinterfaceethernet1/2Guest端口配置的GuestVLAN是否生效。802.1x與IPv4Radius應(yīng)用舉例 Radius圖2- IEEE802.1x配置舉例拓?fù)銭thernet1/2Ethernet1/2IEEE802.1x認(rèn)證功能，接入方式采用缺省的基于MAC地址認(rèn)證方式。交換機的IP地址設(shè)置為，并務(wù)器的IP地址設(shè)置為，認(rèn)證、計費端口為缺省端口1812和端口1813。計算機上安裝IEEE802.1x認(rèn)證客戶端，并通過使用此來實現(xiàn)IEEE802.1x認(rèn)證。Switch(config)#interfacevlanSwitch(Config-if-vlan1)#ipaddressSwitch(config)#radius-serverauthenticationhostSwitch(config)#radius-serveraccountinghostSwitch(config)#radius-serverkeytestSwitch(config)#aaaenableSwitch(config)#aaa-accountingenableSwitch(config)#dot1xenableSwitch(config)#interfaceethernet1/2Switch(Config-Ethernet1/2)#dot1xenableSwitch(Config-Ethernet1/2)#dot1xport-controlauto802.1x與IPv6Radius應(yīng)用舉例 圖2-17IPv6Radius用缺省的基于MAC地址認(rèn)證方式。交換機的IP地址設(shè)置為2004:1:2:3::2，并將除端1/22004:1:2:3::3，認(rèn)證、計費端口為缺省端口1812和端口1813。計算機上安裝IEEE802.1x認(rèn)證客戶端，并通過使用此來實現(xiàn)IEEE802.1x認(rèn)證。Switch(config)#interfacevlanSwitch(config)#radius-serverauthenticationhost2004:1:2:3::3Switch(config)#radius-serveraccountinghost2004:1:2:3::3Switch(config)#radius-serverkeytestSwitch(config)#aaaenableSwitch(config)#aaa-accountingenableSwitch(config)#dot1xenableSwitch(config)#interfaceethernet1/2Switch(Config-If-Ethernet1/2)#dot1xport-controlauto基于802.1x的Web認(rèn)證應(yīng)用舉WebServer

VLAN VLAN

RADIUSServeriVLAN

2-18802.1xWeb在上述網(wǎng)絡(luò)拓?fù)鋱D中，SWITCH1的端口Ethernet1/1與Web服務(wù)器（IP地址為0/24）相連，SWITCH1Ethernet1/2RADIUS認(rèn)證服務(wù)器（IP地址Ethernet1/16相連。WebVLAN1中，PCVLAN2認(rèn)證功能要執(zhí)行相應(yīng)的802.1x配置命令。SWITCH1配置任務(wù)序列：Switch(config)#dot1xenableSwitch(config)#dot1xwebauthenticationenableSwitch(config)#dot1xwebredirectSwitch(config)#interfaceethernet1/16Switch(Config-If-Ethernet1/16)#dot1xSwitch(Config-If-Ethernet1/16)#dot1xport-method802.1x用戶運行802.1x的supplicant后，端口仍不能改變?yōu)檎J(rèn)證通過狀態(tài)的情況?？赡艿脑绻霈F(xiàn)端口無法配置802.1x的情況，請檢查交換機的認(rèn)證端口是否運行了端口mac綁802.1x認(rèn)證功能，則必須關(guān)閉RADIUS服務(wù)器，交換機與802.1x客戶機之間是否相互連通；檢查交換機端口VLAN的配置。通過查看RADIUS服務(wù)器的事件日志，判斷問題的起因。在事件日志中對登錄不成功則修改radius-serverkey參數(shù)；如果事件日志中顯示沒有該authenticator，則需在RADIUS服務(wù)器中增加該authenticator；如事件日志中提示沒有該登錄用戶，說明用基于802.1x的Web認(rèn)證默認(rèn)是關(guān)閉的。打開基于802.1x的Web認(rèn)證后，可以同時打開調(diào)試開關(guān)debugdot1x來查看調(diào)試信息。Web認(rèn)證功能關(guān)閉基于802.1x的Web認(rèn)證的整個交換機最多能實現(xiàn)1024個認(rèn)證成功用戶同時，Webdot1xprivateclientenable命令，第3章端口、VLAN中MAC、IP數(shù)量限制端口、VLAN中MAC、IP數(shù)量限制功能簡介MACMACMAC地址由用戶配置，具有最高優(yōu)先級（不能被動態(tài)MAC地址覆蓋）且生效；動態(tài)MAC地址由交換機在轉(zhuǎn)發(fā)數(shù)據(jù)幀的過程中學(xué)習(xí),址，與接收端口建立關(guān)系；然后根據(jù)目標(biāo)MAC地址查詢MAC地址表，如果命中相關(guān)表項，交換機將數(shù)據(jù)幀從相應(yīng)端口轉(zhuǎn)發(fā)；否則，交換機將數(shù)據(jù)幀在其所屬VLAN內(nèi)廣播。MACMACMAC地址老化一個端口配置或者學(xué)習(xí)多個MAC地址件表項填滿為了限制端口過量的MAC地址，我們需要限制端口的MAC地址數(shù)量。INTERFACEVLANARP、NDMAC地址存在。每一個VLAN上的用戶數(shù)量過配置允許的用戶數(shù)量。對MAC、ARP表項進行限制可以在一定程度上防止DOS。當(dāng)用戶頻繁發(fā)動對數(shù)量進行限制，可以預(yù)防DOS的發(fā)生。綜上節(jié)所述，開發(fā)端口、VLANMAC、IP數(shù)量限制的功能具有重大意義。交換機將可以通過配置命令控制端口的MAC地址的數(shù)量，同時可以通過配置命令控制端口和VLAN中的ARP、ND表項的數(shù)量。MACMAC地址，如果大于等于允許最大動態(tài)MAC數(shù)量時，這時仍然可以繼續(xù)學(xué)習(xí)。動態(tài)IP數(shù)量限制，對于交換機已經(jīng)動態(tài)學(xué)習(xí)到的ARP、ND，如果大于等于允許學(xué)習(xí)的最大動態(tài)ARP、ND數(shù)量時，則可以關(guān)閉該端口的ARP、ND學(xué)習(xí)功能，如果少于允許學(xué)習(xí)的最大動態(tài)ARP、ND數(shù)量時，這時仍然可以繼續(xù)學(xué)習(xí)。接口MAC、ARP、ND數(shù)量的如果少于允許學(xué)習(xí)的最大動態(tài)MAC數(shù)量VLAN中所有端口仍然可以繼續(xù)動態(tài)IP數(shù)量限制，對于交換機已經(jīng)動態(tài)學(xué)習(xí)到的ARP、ND，如果大于等于允許學(xué)習(xí)的最大動態(tài)ARP、ND數(shù)量時，則該VLAN不會學(xué)習(xí)新的ARP、ND，如果少于允許學(xué)習(xí)的最大動態(tài)ARP、ND數(shù)量時，這時仍然可以繼續(xù)學(xué)習(xí)。端口、VLAN中MAC、IP數(shù)量限制功能配置任務(wù)序列VLANMAC、IPswitchportmac-addressdynamicum<value>noswitchportmac-addressswitchportarpdynamicnoswitchportarpdynamicswitchportnd noswitchportnddynamicVLANMAC、IPVLAN配置vlanmac-addressdynamicnovlanmac-addressdynamicVLANMAC數(shù)量限制功iparpdynamicum<value>noiparpdynamic 啟動和關(guān)閉VLAN中ARP數(shù)量限制功ipv6nddynamic um<value>noipv6nddynamic mac-addressquerytimeoutswitchportmac-addressviolation|shutdown}[recovery<5-noswitchportmac-address為恢復(fù)違背模式為protect。showmac-addressdynamic{vlan<vlan-id>|interfaceshowarp-dynamic{vlan<vlan-id>|interface顯示相應(yīng)端口、VLAN中的動態(tài)ARPshownd-dynamic{vlan<vlan-id>|interface顯示相應(yīng)端口、VLAN中的動態(tài)debugswitchportmaccountnodebugswitchportmaccountdebugswitchportarpcountnodebugswitchportarpcountdebugswitchportndcountnodebugswitchportndcountdebugvlanmaccountnodebugvlanmaccountdebugiparpcountnodebugiparpcountVLAN中ARP數(shù)量限制時，各debugipv6ndcountnodebugipv6ndcount端口、VLAN中MAC、IP數(shù)量限制功能典型案例SWITCHSWITCHSWITCH 圖3-1端口、VLAN中MAC、IP數(shù)量限制典型配置案例IP數(shù)量限制功能前，在系統(tǒng)硬件允許的情況下，SWITCHA，SWITCHB可以得到所有PCMAC、ARP、NDMAC、ARPDOS從而導(dǎo)致DOS的發(fā)生。對MAC、ARP、ND表項數(shù)量進行限制，可以預(yù)防DOSSWITCHAEthernet1/120MAC地址、20ARP地址、10NEIGHBOR表項，VLAN130MAC地址，30ARP地址、20個NEIGHBOR表項。Switch(config)#interfaceethernetSwitch(Config-If-Ethernet1/1)#switchportmac-addressdynamicum20Switch(Config-If-Ethernet1/1)#switchportarpdynamicum20Switch(Config-If-Ethernet1/1)#switchportnddynamicum10Switch(Config-if-Vlan1)#vlanmac-addressdynamic um30端口、VLAN中MAC、IP數(shù)量限制功能排錯幫助綁定端口。MACMAC地址數(shù)如果在正常配置下啟動了端VLANMAC、IP數(shù)量限制功能后，可以使debug第4章AMAM功能簡介發(fā)該報文，否則丟棄。之所以在基于源IP地址的管理上增加基于源MAC-IP的管理，是因為對主機而言，IPIP綁定，用戶可以把主機IP地址改所以為了防止用戶修改主機IP地址來使本主機發(fā)出的報文能被交換機轉(zhuǎn)發(fā)，MAC-IPAM功能配置任務(wù)序列配置轉(zhuǎn)MAC-啟動AM功能amenablenoamenable啟動某端口的AM功能amnoam能啟動后，默認(rèn)所有的IP報文配置轉(zhuǎn)發(fā)amip-pool<ip-address><num>noamip-pool<ip-address><num>配置轉(zhuǎn)發(fā)MAC- 配置端口的轉(zhuǎn)發(fā)MAC-IP刪除所有已配置的轉(zhuǎn)發(fā)IPMAC-IP或全部noamall[ip-pool|mac-ip-顯示AM相關(guān)配置信息showam[interface<interface-AM功能典型案例 圖4-1AM功能典型配置案例在上述網(wǎng)絡(luò)拓?fù)鋱D中，30PCHUB11相連，30PCIP～0IP地址～0內(nèi)的用戶為合法用戶，交換機只能對合法用戶發(fā)來的數(shù)Switch(config)#amenableSwitch(config)#interfaceethernet1/1Switch(Config-If-Ethernet1/1)#amportAM功能排錯幫助可以使用showam來查看當(dāng)前AM配置，包括AM是否打開，各個端口所配置的AMshowaminterface<interface-name>]AM配置信第5安全特性介紹DoS的概念。DoSDenialofService的縮寫，意為服務(wù)。DoS是網(wǎng)絡(luò)上一種簡單但很有效的破壞性，服務(wù)器會由于不停安全特性是指利用協(xié)議檢查來防范DoS等安全應(yīng)用，協(xié)議檢查允許用戶基于給定安全特性配置防IPSpoofing功能配置任務(wù)序列 開啟(關(guān)閉)IP防TCP標(biāo)志功能配置任務(wù)序[no]dosattack-checktcp-flags開啟(關(guān)閉)檢查TCP -fragmenten