第6章

網(wǎng)絡(luò)層協(xié)議網(wǎng)絡(luò)層有哪些協(xié)議？IP協(xié)議：IP地址，IP尋址IPv4IPv6ARP協(xié)議：IP地址MAC地址

RARP協(xié)議：MAC地址IP地址ICMP協(xié)議：詢問IP設(shè)備，報(bào)告錯(cuò)誤，例如PingBOOTP：支持無(wú)盤工作站和網(wǎng)絡(luò)打印機(jī)DHCP：支持IP地址動(dòng)態(tài)分配IPv4vsIPv6基于頭部的攻擊針對(duì)IP協(xié)議：死亡之Ping針對(duì)ARP協(xié)議：無(wú)效ARP數(shù)據(jù)包被拋棄針對(duì)ICMP協(xié)議的攻擊很少基于協(xié)議的攻擊針對(duì)IP協(xié)議本身的攻擊很少路由跟蹤程序ICMP錯(cuò)誤消息引起DoSARP協(xié)議：攻擊者用無(wú)效的ARP應(yīng)答回應(yīng)ARP請(qǐng)求基于認(rèn)證的攻擊網(wǎng)絡(luò)層通過IP地址認(rèn)證設(shè)備IP地址欺騙對(duì)策：路由器檢查直連網(wǎng)絡(luò)上發(fā)送數(shù)據(jù)包的IP地址，可以阻止發(fā)往外部的IP地址與對(duì)應(yīng)網(wǎng)絡(luò)不匹配的數(shù)據(jù)包。局限性：無(wú)法阻止攻擊者使用同一網(wǎng)絡(luò)的其他計(jì)算機(jī)的IP地址欺騙性ICMP錯(cuò)誤消息ARP攻擊局限于攻擊者所在網(wǎng)絡(luò)基于流量的攻擊嗅探對(duì)策：IP載荷加密使用IP廣播地址實(shí)施雪崩攻擊對(duì)策：在路由器上禁止直接廣播進(jìn)入網(wǎng)絡(luò)ARP廣播雪崩

對(duì)策：在路由器上禁止ICMP回應(yīng)請(qǐng)求數(shù)據(jù)包的進(jìn)入常用網(wǎng)絡(luò)層對(duì)策——IP過濾基于IP報(bào)頭的域值進(jìn)行過濾由路由器完成基于IP地址過濾缺點(diǎn)：增加數(shù)據(jù)包處理時(shí)間常用網(wǎng)絡(luò)層對(duì)策——NATNAT：NetworkaddressTranslation網(wǎng)絡(luò)地址轉(zhuǎn)換目標(biāo)：允許大量設(shè)備共享少量公共IP地址動(dòng)態(tài)NAT靜態(tài)NAT阻止所有未在映射表中列出地址的數(shù)據(jù)包攻擊者無(wú)法向私有網(wǎng)絡(luò)發(fā)送數(shù)據(jù)包常用網(wǎng)絡(luò)層對(duì)策——VPNVitualPrivateNetwork：虛擬專用網(wǎng)用于加密和驗(yàn)證通信信道配置1:兩個(gè)網(wǎng)絡(luò)共用一個(gè)VPN配置2:遠(yuǎn)程網(wǎng)絡(luò)成為主網(wǎng)絡(luò)的一個(gè)擴(kuò)展常用網(wǎng)絡(luò)層對(duì)策——IPSECInternetProtocolSecurity：Internet協(xié)議安全性用做VPN協(xié)議一個(gè)頭部支持驗(yàn)證另一個(gè)頭部支持加密和驗(yàn)證未指定加密算法IPSECVPN本章小結(jié)本次課需要熟練掌握常用IP層安全技術(shù)課后作業(yè)

1、教材P1