TCPIP交换网络安全.docVIP

Lesson 28 交换网络安全 一、 设备访问安全 物理安全 口令 Enable 密码：从用户模式进入特权模式时使用的密码 Console 密码：Console 线登陆的密码 VTY 密码：Telnet 登陆密码 密码加密显示：service password‐encryption 密码最小长度：security password min‐length [0‐16] 控制特定的主机访问：access‐list 1 permit host 118 Line vty 0 4 Access‐class 1 in 用户名和密码：缺省都是cisco 创建：username cisco password bluefox Line vty 0 4 Login local #用户账号优先 Password haohaoxuexi 特权级别 16 个级别： 0~1：用户模式，权限低 15：特权模式，拥有全局权限 2~14：自定义级别 Privilege exec/config level 2 router ospf Enalbe secret level 2 123456 Enable 2 ****** SSH： Username cisco password bluefox Crypto key generate rsa # modulus 1024 Line vty 0 4 Transport input ssh 二、 AAA 基于C/S 服务器：安装了Cisco 的ACS 软件的OS 或者其他的一些服务器软件。华为的Cams，锐 捷的Sams。 安全协议： XiaoGe@XiaoGe 119 Tacacs+：采用TCP49 Radius：采用UDP1812，1813 开启AAA 服务： Aaa new‐model Radius‐server host Radius‐server key bluefox AAA 认证的配置： Aaa authentication login default group radius local none Login default 作用于所有线路模式下的密码 Aaa authentication login t24 group radius local Line vty 0 4 Login authentication t24 AAA 授权的配置 Aaa new‐model Tacacs‐server host key bluefox Aaa authorization command default group tacacs+ local Username xiaoge privilege 5 password cisco AAA 审计的配置 Aaa accounting command default start‐stop tacacs+ 【返回目录】 120 Lesson 29 802.1x 802.1x 客户端：能够支持802.1x，能发起EAP 报文的PC 终端（802.1x 软件或系统自带） 802.1x 认证代理 802.1x 认证服务器（AAA 服务器） 802.1x 认证协议：EAP，Extend Authentication Protocol，扩展认证协议 EAPoL：EAP over Lan EAPoRadius：EAP over Radius EAP 工作模式： 透传：将EAP 报文封装在Radius 中 终结：直接封装在Radius 报文中 Code Identifier Length Type Type‐data Code： 1：‐‐‐‐‐Request 2：‐‐‐‐‐Response 3：‐‐‐‐‐Success 4：‐‐‐‐‐Failure Identifier：用于匹配对应的Request 和Response，每一个Request 就有一个Response， 相当于TCP 的序列号。 Type： 1：Identifier 2：Notification 3：Nak（Response Only） 4：MD5‐Challege 5：One‐Time Password 6：Generic Token Card 各数据包完成的任务： 1：802.1x 客户端发起EAPoL 的连接。 2：AAA Client 请求802.1x 客户端的用户名。 3：802.1x 客户端把用户名发送给AAA Client。 4：AAA Client 把用户名发送给AAA Server。提取AAA Client 发来的用户名，查找服务器 的数据库找到相应的密码并产生一个随机数，把（用户名、密码、随机数）进行MD5 散列 码计算，存储这个结果。 5：把用户名和随机数发送给AAA Clie