Cisco路由器交换机常规安全配置模版.docVIP

PAGE1 / NUMPAGES11Cisco路由器和交换机的安全配置模板一、设备命名规范为统一网络设备命名，方便今后网络项目实施和运维管理，拟对网络设备进行统一命名，详细命名规则如下：设备名称组成部分网络系统中具体一台设备的命名由如下五个部分组成：Hostname: AABBCCDDEEAA：表示各分行的地区名称简写，如：上海：SHBB：表示功能区域名称CC：表示设备所在的网络层次DD： 表示设备类型EE： 表示设备的序列号，01表示第一台，02为第二台。设备名称中的英文字母全部采用大写，各部分之间使用下划线连接。每个字母具体范围如下：各分行地区名称如下表示（AA）：序号分行名称标识1北京BJ2上海SH3……功能区域或地域名称规则表如下所示（BB）： 序号命名名称区域描述1CORE核心区（Core Zone）2ADM安全管理区（Admin Zone）3SRV服务器区（Server Zone）5HQ总部(HQ Zone)6BR分支(B Zone)9EXT外联区（Ext_Conn Zone）10CLT用户接入区（CLT Zone12TEST测试区（TEST_Zone）13……网络设备所在层命名规则表如下所示（CC）：序号命名名称层次描述1COR核心层2DIS汇聚层3ACC接入层4……网络设备类型命名规则表如下所示（DD）：序号命名名称设备描述1SW交换机2RT路由器3FW防火墙4IDS/IPS入侵检测5APAP接入点6CONTR无线控制器网络设备序列号编号规则表如下所示(EE)：序号命名名称编号描述101同一区域同一应用系统第１台设备202同一区域同一应用系统第２台设备二、路由器配置一,路由器访问控制的安全配置1,严格控制可以访问路由器的管理员。任何一次维护都需要记录备案。2,建议不要远程访问路由器。即使需要远程访问路由器，建议使用访问控制列表和高强度的密码控制。3,严格控制CON端口的访问。具体的措施有：A,如果可以开机箱的，则可以切断与CON口互联的物理线路。B,可以改变默认的连接属性，例如修改波特率(默认是96000，可以改为其他的)。C,配合使用访问控制列表控制对CON口的访问。如：Router(Config)#Access-list 1 permit Router(Config)#line con 0Router(Config-line)#Transport input noneRouter(Config-line)#Login localRouter(Config-line)#Exec-timeoute 5 0Router(Config-line)#access-class 1 inRouter(Config-line)#endD,给CON口设置高强度的密码。4,如果不使用AUX端口，则禁止这个端口。默认是未被启用。禁止如：Router(Config)#line aux 0Router(Config-line)#transport input noneRouter(Config-line)#no exec5,建议采用权限分级策略。如：Router(Config)#username lanstar privilege 10 lanstarRouter(Config)#privilege EXEC level 10 telnetRouter(Config)#privilege EXEC level 10 show ip access-list6,为特权模式的进入设置强壮的密码。不要采用enable password设置密码。而要采用enable secret命令设置。并且要启用Service password-encryption。7,控制对VTY的访问。如果不需要远程访问则禁止它。如果需要则一定要设置强壮的密码。由于VTY在网络的传输过程中为加密，所以需要对其进行严格的控制。如：设置强壮的密码；控制连接的并发数目；采用访问列表严格控制访问的地址；可以采用AAA设置用户的访问控制等。8,IOS的升级和备份，以及配置文件的备份建议使用FTP代替TFTP。如：Router(Config)#ip ftp username lanstarRouter(Config)#ip ftp password lanstarRouter#copy startup-config ftp:9,及时的升级和修补IOS软件。二,路由器网络服务安全配置1,禁止CDP(Cisco Discovery Protocol)。如：Router(Config)#no cdp run Router(Config-if)# no cdp enable2,禁止其他的TCP、UDP Small