安全加固培训教材--cisco.pptVIP

河南移动安全加固培训教材cisco 密码保护 Enable secret - enable secret 0 2manyRt3s Console Line - line con 0 password Soda-4-jimmY Auxiliary Line - line aux 0 password Popcorn-4-sara VTY Lines - line vty 0 4 password Dots-4-georg3 Basic protection - service password-encryption 服务控制 网络设备安关闭路由器上没用的服务。使用show proc 命令，关闭确实没用的服务。 停止finger服务：no service finger 停止pad服务：no service pad 停止tcp小服务：no service tcp-small-servers 停止udp小服务：no service udp-small-servers 停止bootp服务：no ip bootp server 停止ident服务：no ip ident 停止appletalk服务：no appletalk aurp update-interval 停止cdp服务：no cdp run 停止HTTP服务：Router(Config)# no ip http server 禁止WINS和DNS服务：Router(Config)# no ip domain-lookup 禁止源路由：no ip source-route 启用nagle服务：service nagle 启用cef服务：ip cef 安全加固中的注意事项 接口安全配置  Unused interfaces - shutdown No Smurf attacks - no ip directed-broadcast Ad-hoc routing - no ip proxy-arp No IP Unreachables,Redirects,Mask Replies - no ip redirects - no ip mask-reply - no ip unreacheables 登陆信息配置 banner {motd|exec|incoming} c text c 当用户连接到路由器时，banner命令集将显示信息文本。而Banner Login则在用户第一次初始化路由器的telnet会话时显示信息文本。显示信息会告知连接的会话者，只有那些已授权的用户才能允许连接。在显示信息中不要过多的透露系统本身的内容是一个比较好的尝试。Banner统一设置为： Warning: If you NOT authorized to access this system, disconnect NOW. 控制自动断开时间 Console Line - line con 0 exec-timeout 5 0 login transport input telnet Auxiliary Line - line aux 0 no exec exec-timeout 5 0 transport input none VTY lines - line vty 0 4 exec-timeout 5 0 login transport input telnet 配置VTY的Telnet访问控制安全 默认情况下，CISCO Router可以从任意地点登录网络，可以设置vty访问列表来控制登录ip地址，保护系统安全： South(config)# line vty 0 4 South(config-line)# access-class 92 in South(config-line)# exit South(config)# no access-list 92 South(config)# access-list 92 permit South(config)# access-list 92 permit 访问列表配置 只允许内部地