Cisco路由器安全培训.ppt

QA * 一、Cisco路由器基本配置 二、Cisco路由协议安全性 三、Cisco网络服务安全配置 四、Cisco高级安全配置 一、Cisco路由器基本配置 安全描述 Enable password密码将以明文方式显示，配置文档如果被不怀好意的人看见，从而获得这些数据的明文 风险等级 风险高 加固建议 建议使用enable secret密码，并启用Service password-encryption 加固注意事项 ? 加固具体方法 Router(Config)#enable secret ciscopassword Router(Config)#Service password-encryption 1.口令加密 一、Cisco路由器安全管理 2.CONSOLE端口的管理要求 安全描述 可以通过console任意访问网络设备 风险等级 风险高 加固建议 控制CON端口的访问,给CON口设置高强度的密码，修改默认参数，配置认证策略 加固注意事项 ? 加固具体方法 Router(Config)#line con 0 ！不让任何协议包通过CONSOLE口 Router(Config-line)#transport input none Router(Config-line)#login Router(Config-line)#password ISCAECC 一、Cisco路由器安全管理 3.AUX端口的管理要求 安全描述 同Console，AUX口的开放提供了登陆网络设备的可能 风险等级 风险高 加固建议 禁用AUX口 加固注意事项 无法通过拨号访问网路设备 加固具体方法 Router(Config)#line aux 0 Router(Config-line)#transport input none Router(Config-line)#no exec 一、Cisco路由器安全管理 4.启用SSH远处管理 安全描述 Telnet采用明文传送数据，并不安全，建议采用SSH服务 风险等级 风险中 加固建议 停用Telnet服务，采用SSH服务 加固注意事项 只有支持并带有IPSec特征集的IOS才支持SSH。并且IOS12.0-IOS12.2仅支持SSH-V1 加固具体方法 ！举例 Router(Config)# config t Router(Config)# no access-list 11 Router(Config)# access-list 11 permit 2 Router(Config)# access-list deny any Router(Config)# username cisco privilege 10 ciscopassword ! 设置SSH的超时间隔和尝试登录次数 Router(Config)# ip ssh timeout 90 Router(Config)# ip ssh anthentication-retries 2 Router(Config)# line vty 0 4 Router(Config-line)# access-class 22 in Router(Config-line)# transport input ssh Router(Config-line)# login local Router(Config-line)# exit ！启用SSH服务，生成RSA密钥对。 Router(Config)# crypto key generate rsa The name for the keys will be: Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose keys .Choosing a key modulus greater than 512 may take a few minutes. How many bits in the modulus[512]: 2048 Generating RSA Keys... [OK] Router(Config)# ！ 一、Cisco路由器安全管理 5.启用日志审计功能 安全描述 在日志文件中需要记录登录过该设备的用户名、时间和所作的命令操作等详细信息，为发现潜在攻击者的不良行为提供有力依据； 风险等级 风险高 加固建议 启用日志服务 加固具体方法 ！开启日志 Router(Config)#logging on ！设置日志服务器地址 Router(Config)#loggin