CCNA安全笔记.pdf

CCNA Security 笔记 Cisco ASA 5500(VTM)集成了PIX、VPN3000、IPS功能 硬件IPS：（4240）入侵防护系统 CSA：基于主机的 IPS 功能：限制用户行为，对应用程序进行控制 ISR增强特性：（ISR1800/2800/3825/3845） 1、无线模块 2、硬件IPS模块 3、Web Cache 4、NAM（网络分析模块） Role-based CLI views 配置： 1、激活AAA：aaa new-model 2、配置enable secret：enable secret huda 3、进入Root View模式R1#enableview root Password: cisco 4、配置View “test”：R1(config)#parser view test 定义用户 5、R1(config-view)#secret huda 定义密码 6、R1(config-view)#command exec include ping 定义可使 用的命令 IOS安全保护，防止恶意删除，命令配置： Router（config）secret boot-image （加密隐藏保护IOS） Router（config）secret boot-config （加密备份配置） 注意：只有Console口才能禁用和恢复。 Rommon1bootflash:c2800nm-adventerprisek9-mz.124.15. T5.bin Secureboot-config restore flash:/secure.cfg Router#copy flash:/secure.cfg running-config Cisco IOS LoginEnhancements（防止恶意猜密码，DOS 攻击） 配置实例： Login block-for 600 attempts 3 with 60 (任何人 60S 内密 码输错 3次将挂起 600S)，只有 permit用户不受这个限制 Logindelay 2 Loginquiet-mode access-class block.ssh.new Loginon-failure trap every 3 Loginon-success trap Ip access-list standard block.ssh.new Permit Permit 55 AAA： 1、Authentication：（认证）用户名和密码 2、Authorization：（授权） 1.授权用户使用的命令 2.授权用户访问的信息 3.授权用户获得的信息 注意：授权的主要作用是在用户都有效的情况下，区分特权用户和普 通用户 3、Accorting：（审计） 什么人、什么时候、做了什么事情（类似于生活中的摄像头） Client与NAS 之间三大协议原因： 登入nas telnet/ssh/http/https…… 拨入nas pptp/I2tp/ipsec vpn 穿越nas auth-proxy（IOS）/cut-through（ASA） NAS 与AAA 服务器通讯两大协议： Tacacs+：思科私有、TCP、端口号49，加密所有数据 Radius：工业标准、UDP、认证授权端口号：1645 和1812，审计:1646 和1813，只对密码加密。 AAA 配置：定义name认证策略 AAA（config）#aaa new-model 配置线下保护策略： AAA（config）#aaa authentication login noacs linenone 命令解释：login（登陆）认证策略，策略名为noacs，策略为先使 用线下密码认证（line），如果线下没有密码就不认证（none） 调用线下保护策略： AAA(config)#lineconsole 0 AAA(config)#login authenticationnoacs 定义AAA 服务器： AAA(config)#tacacs-server host54 key cisco 测试AAA 服务器 AAA#test aaa group tacacs+ test cisconew-