接入交换机常见安全配置.docxVIP

适用场景：1-24口下联PC用户,25口下联二层网管交换机,26口上联汇聚交换机 堆叠环境中，若未指定优先级，则是根据它们的MAC地址（mac小的为主机）来确定谁是主机。优先级为越大越好，范围1-10。出场默认为1。 1、系统时间同步：如果客户有使用 ntp/sntp进行全网统一的时间配置的需求，可在设备上做 Ruijie(config)#hostname TSG#5750 //给交换机命名 Ruijie(config)#sntp enable //首先开启 sntp 服务 Ruijie(config)#sntp server 4 //配置服务器IP地址，此为国家授时中心服务器IP地址 Ruijie(config)#sntp interval 36000 // 配置sntp交互的时间间隔 若客户无需配置SNTP功能，则配置单台设备系统时间命令如下 Ruijie#clock set 20:30:50 3 20 2011 //配置系统时间配置方法： 2、系统远程管理规范配置 远程登录 方式一：采用两级密码方式 Ruijie(config)#enable password test4321 //特权密码配置 Ruijie(config)#line vty 0 35 Ruijie(config-line)#password test //telnet远程登录密码配置 Ruijie(config-line)#exit Ruijie(config)#service password-encryption //对所配置的密码进行加密 方式二：采用用户名密码方式 Ruijie(config)#username admin privilege 15 password test4321 //用户名和密码配置 Ruijie(config)#line console 0 //进入console口配置模式 Ruijie(config-line)#password ruijie //配置console口登录密码 Ruijie(config-line)#login //配置console口登录模式 Ruijie(config-line)#exit Ruijie(config)#line vty 0 35 //进入远程登录接口配置模式 Ruijie(config)#login local //启用本地认证模式 Ruijie(config)#exit Ruijie(config)#service password-encryption //对所配置的密码进行加密 SNMP远程管理 Ruijie(config)#snmp-server community ycrmyy rw 额外安全措施 措施一：限制远程管理源地址 Ruijie(config)#access-list 99 permit host 00 //配置控制列表，严格限定允许ip Ruijie(config)#line vty 0 35 Ruijie(config-line)#access-class 99 in 措施二：限制SNMP管理源地址 Ruijie(config)#access-list 99 permit host 00 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server community ruijie rw 99 措施三：使用加密管理协议，使用SSH管理，禁用Telnet协议 Ruijie(config)#no enable service telnet-server //禁用telnet管理 Ruijie(config)#enable service ssh-server //启用SSH管理 Ruijie(config)#crypto key generate dsa //设置ssh加密模式 Ruijie(config)#line vty 0 35 Ruijie(config-line)#transport input ssh //远程登录接口启用SSH管理 措施四：使用加密管理协议，使用SNMPv3 Ruijie(config)#access-list 99 permit host 00 //配置控制列表，严格限定允许ip Ruijie(config)#snmp-server user ruijie Group1