Cisco路由器交换机安全配置.docxVIP

Cisco路由器交换机安全配置 网络结构及安全脆弱性 为了使设备配置简单或易于用户使用，Router 或Switch初始状态并没有配置安全措施，所以 网络具有许多安全脆弱性，因此网络中常面临如 下威胁： DDOS攻击 非法授权访问攻击。 GW 口令过于简单，口令长期不变，口令明文创 送，缺乏强认证机制。 IP地址欺骗攻击 利用Cisco Router和Switch可以有效防止上述 攻击。 二、保护路由器 2.1防止来自其它各省、市用户 Ddos攻击 最大的威胁：Ddos, hacker控制其他主机，共同 向Router访问提供的某种服务，导致Router利 用率升高。 Ddos是最容易实施的攻击手段，不要求黑客有 高深的网络知识就可以做到。 如SMURF DDOS攻击就是用最简单的命令 ping做到的。利用IP地址欺骗，结合ping就 可以实现DDOS攻击。 防范措施： 应关闭某些缺省状态下开启的服务，以节省内存 并防止安全破坏行为/攻击 Router(c on fig-t)# no service fin ger Router(co nfig-t)# no service pad Router(co nfig-t)# no service udp-small-servers Router(co nfig-t)# no service tcp-small-servers Router(c on fig-t)# no ip http server Router(co nfig-t)# no service ftp Router(c on fig-t)# no ip bootp server 以上均已经配置。 防止 ICMP-flooging 攻击 Router(co nfig-t)#i nt e0 Router(co nfig-if)# no ip redirects Router(c on fig-if)# no ip directed-broadcast Router(co nfig-if)# no ip proxy-arp Router(co nfig-t)#i nt s0 Router(co nfig-if)# no ip redirects Router(c on fig-if)# no ip directed-broadcast Router(co nfig-if)# no ip proxy-arp 以上均已经配置。 除非在特别要求情况下，应关闭源路由： Router(con 竹g-t)#no ip source-route 以上均已经配置。 禁止用CDP发现邻近的cisco设备、型号和软件 版本 Router(co nfig-t)# no cdp run Router(co nfig-t)#i nt s0 Router(c on fig-if)# no cdp en able 如果使用works2000网管软件，则不需要此项操 作 此项未配置 使用CEF转发算法，防止小包利用fast cache 转发算法带来的Router内存耗尽、CPU利用率 升高。 Router(config-t)#ip cef 2.2防止非法授权访问 通过单向算法对 “ enable secre密码进行加密 Router(c on fig-t)#e nable secret Router(c on fig-t)# no en able password Router(c on fig-t)#service password-e ncrypti on ?vty端口的缺省空闲超时为10分0秒 Router(co nfig-t)#li ne vty 0 4 Router(co nfig-li ne)#exec-timeout 10 0 应该控制到VTY的接入，不应使之处于打开状 态;Console应仅作为最后的管理手段： 如只允许30 Host能够用Telnet访问. access-list 110 permit ip 30 54 log line vty 0 4 access-class 101 inexec-timeout 5 0 2.3使用基于用户名和口令的强认证方法 Router(config-t)#username admin pass 5 434535e2 Router(config-t)#aaa new-model Router(config-t)#radius-server host key key-stringRouter(config-t)#aaa authentication login neteng group radius local Router(config-t)#line vty 0 4 Route