Cisco路由器安全配置簡易方案

本文格式為Word版，下載可任意編輯——Cisco路由器安全配置簡易方案一,路由器訪問控制的安全配置

1,嚴(yán)格控制可以訪問路由器的管理員。任何一次維護(hù)都需要記錄備案。

2,建議不要遠(yuǎn)程訪問路由器。即使需要遠(yuǎn)程訪問路由器，建議使用訪問控制列表和高強(qiáng)度的密碼控制。

3,嚴(yán)格控制CON端口的訪問。具體的措施有:

A,假使可以開機(jī)箱的，則可以切斷與CON口互聯(lián)的物理線路。B,可以改變默認(rèn)的連接屬性，例如修改波特率(默認(rèn)是96000，可以改為其他的)。C,協(xié)同使用訪問控制列表控制對CON口的訪問。如:Router(Config)#Access-list1permitRouter(Config)#linecon0Router(Config-line)#TransportinputnoneRouter(Config-line)#LoginlocalRouter(Config-line)#Exec-timeoute50Router(Config-line)#access-class1inRouter(Config-line)#endD,給CON口設(shè)置高強(qiáng)度的密碼。4,假使不使用AUX端口，則阻止這個端口。默認(rèn)是未被啟用。阻止如:

Router(Config)#lineaux0Router(Config-line)#transportinputnoneRouter(Config-line)#noexec5,建議采用權(quán)限分級策略。如:

Router(Config)#usernameBluShinprivilege10G00dPa55w0rdRouter(Config)#privilegeEXEClevel10telnetRouter(Config)#privilegeEXEClevel10showipaccess-list6,為特權(quán)模式的進(jìn)入設(shè)置強(qiáng)壯的密碼。不要采用enablepassword設(shè)置密碼。而要采用enablesecret命令設(shè)置。并且要啟用Servicepassword-encryption。

7,控制對VTY的訪問。假使不需要遠(yuǎn)程訪問則阻止它。假使需要則一定要設(shè)置強(qiáng)壯的密碼。由于VTY在網(wǎng)絡(luò)的傳輸過程中為加密，所以需要對其進(jìn)行嚴(yán)格的控制。如:設(shè)置強(qiáng)壯的密碼;控制連接的并發(fā)數(shù)目;采用訪問列表嚴(yán)格控制訪問的地址;可以采用AAA設(shè)置用戶的訪問控制等。

8,IOS的升級和備份，以及配置文件的備份建議使用FTP代替TFTP。如:

Router(Config)#ipftpusernameBluShinRouter(Config)#ipftppassword4tppa55w0rdRouter#copystartup-configftp:9,及時的升級和修補(bǔ)IOS軟件。二,路由器網(wǎng)絡(luò)服務(wù)安全配置

1,阻止CDP(CiscoDiscoveryProtocol)。如:Router(Config)#nocdprunRouter(Config-if)#nocdpenable2,阻止其他的TCP、UDPSmall服務(wù)。Router(Config)#noservicetcp-small-serversRouter(Config)#noserviceudp-samll-servers3,阻止Finger服務(wù)。Router(Config)#noipfingerRouter(Config)#noservicefinger4,建議阻止HTTP服務(wù)。Router(Config)#noiphttpserver假使啟用了HTTP服務(wù)則需要對其進(jìn)行安全配置:設(shè)置用戶名和密碼;采用訪問列表進(jìn)行控制。如:Router(Config)#usernameBluShinprivilege10G00dPa55w0rdRouter(Config)#iphttpauthlocalRouter(Config)#noaccess-list10Router(Config)#access-list10permitRouter(Config)#access-list10denyanyRouter(Config)#iphttpaccess-class10Router(Config)#iphttpserverRouter(Config)#exit5,阻止BOOTp服務(wù)。Router(Config)#noipbootpserver阻止從網(wǎng)絡(luò)啟動和自動從網(wǎng)絡(luò)下載初始配置文件。Router(Config)#nobootnetworkRouter(Config)#noservicconfig

6,阻止IPSourceRouting。

Router(Config)#noipsource-route

7,建議假使不需要ARP-Proxy服務(wù)則阻止它，路由器默認(rèn)識開啟的。

Router(Config)#noipproxy-arp

Router(Config-if)#noipproxy-arp

8,明確的阻止IPDirectedBroadcast。

Router(Config)#noipdirected-broadcast

9,阻止IPClassless。

Router(Config)#noipclassless

10,阻止ICMP協(xié)議的IPUnreachables,Redirects,MaskReplies。

Router(Config-if)#noipunreacheables

Router(Config-if)#noipredirects

Router(Config-if)#noipmask-reply

11,建議阻止SNMP協(xié)議服務(wù)。在阻止時必需刪除一些SNMP服務(wù)的默認(rèn)配置?；蛘咝枰L問列表來過濾。如:

Router(Config)#nosnmp-servercommunitypublicRo

Router(Config)#nosnmp-servercommunityadminRW

Router(Config)#noaccess-list70

Router(Config)#access-list70denyany

Router(Config)#snmp-servercommunityMoreHardPublicRo70

Router(Config)#nosnmp-serverenabletraps

Router(Config)#nosnmp-serversystem-shutdown

Router(Config)#nosnmp-servertrap-anth

Router(Config)#nosnmp-server

Router(Config)#end

12,假使沒必要則阻止WINS和DNS服務(wù)。

Router(Config)#noipdomain-lookup

假使需要則需要配置:

Router(Config)#hostnameRouter

Router(Config)#ipname-server613,明確阻止不使用的端口。Router(Config)#interfaceeth0/3Router(Config)#shutdown三,路由器路由協(xié)議安全配置

1,首先阻止默認(rèn)啟用的ARP-Proxy，它簡單引起路由表的混亂。#noipproxy-arp或者if)#noipproxy-arp由協(xié)議的認(rèn)證。默認(rèn)的OSPF認(rèn)證密碼是明文傳輸?shù)?，建議啟用MD5認(rèn)證。密鑰(key,相對的路由器必需有一致的Key)。#routerospf100router)#network55area100。authentication啟用認(rèn)證，是明文密碼認(rèn)證。authenticationmessage-digestrouter)#area100authenticationmessage-digest#exit#interfaceeth0/1ey為routerospfkey。ntication-keykey啟用認(rèn)證密鑰，但會是明文傳輸。ge-digest-keykey-id(1-255)md5keyif)#ipospfmessage-digest-key1md5routerospfkey證。只有RIP-V2支持，RIP-1不支持。建議啟用RIP-V2。證。普通認(rèn)證同樣是明文傳輸?shù)摹?configterminal鏈#keychainmykeychainnamekeychain)#key1leychain-key)#key-stringMyFirstKeyStringkeyschain)#key2

keychain-key)#key-stringMySecondKeyString

#routerriprouter)#version2

router)#network#interfaceeth0/1認(rèn)證，并選擇已配置的密鑰鏈

if)#ipripauthenticationmodemd5

if)#ipripanthenticationkey-chainmykeychainnameinterface命令可以禁用一些不需要接收和轉(zhuǎn)發(fā)路由信息的端口。路由的端口，啟用passive-interface。

議是只是阻止轉(zhuǎn)發(fā)路由信息，并沒有阻止接收。在OSPF協(xié)議中是阻止轉(zhuǎn)發(fā)和接收路由信息。端口0/3轉(zhuǎn)發(fā)路由信息#routerRip

router)#passive-interfaceeth0/3端口0/3接收和轉(zhuǎn)發(fā)路由信息#routerospf100

router)#passive-interfaceeth0/3

過濾一些垃圾和惡意路由信息,控制網(wǎng)絡(luò)的垃圾信息流。#