F5BIGIPLTM安全加固建议.docx
- 文档编号:11389220
- 上传时间:2023-02-28
- 格式:DOCX
- 页数:12
- 大小:663.20KB
F5BIGIPLTM安全加固建议.docx
《F5BIGIPLTM安全加固建议.docx》由会员分享,可在线阅读,更多相关《F5BIGIPLTM安全加固建议.docx(12页珍藏版)》请在冰豆网上搜索。
F5BIGIPLTM安全加固建议
F5-BIG-IP-LTM-安全加固建议(总12页)
F5BIG-IPLTM安全加固建议
2021-05-21
1.用户安全加固
1.1为每个用户设置不同登录帐号
建议为每个使用设备的用户分配不同的帐号,避免不同用户间共享账号,避免用户账号和设备间通信使用的账号共享。
选择WebUI->System->users菜单可以为用户创建帐号:
1.2为每个用户设置不同的管理权限
F5可以对用户的权限进入分级设置,以严格划分各级用户的权限,以保证设备的安全。
建议对各种不同管理权限的用户按角色分配权限。
常用的F5用户角色为:
Guest:
允许查看所有的object,同时修改其用户密码。
Operator:
允许enable/disable节点和poolmember,同时查看所有的object,修改自己密码。
Manager:
允许创建、修改、删除Virtualserver,Pools,Poolmembers,nodes,profiles,customermonitor,iRule,查看所有的object,修改自己的密码。
Administrator:
F5WebUI的所有的权限,同时可以同步双机的配置,可以用bigpipeload和bigpipesave命令,可以修改自己的密码。
选择WebUI->System->users->创建新用户时,可以选择用户的Role:
1.3删除无关用户
应检查F5的用户列表,对于与设备运行、运维无关的用户帐号,进行删除。
选择WebUI->System->users菜单可以检查用户帐号。
注:
admin和root用户是一定不能删除的。
2.密码安全加固
2.1强制安全密码策略管理
对于F5用户的密码,可以采用强制安全密码策略,来提高用户密码的安全。
强制安全密码策略,可以强制用户密码的长度,密码的大小写、数字、有效期、多少次登录失败会被锁定等策略。
选择WebUI->System->Users->Authentication中,把SecurePasswordEnforcement选择成enable,则后面的各选择项可以进行选择:
建议选择:
A.密码长度最小长度为8位(MinmumLength)
B.密码要求至少有两个数字和两个大写的字母(RequiredCharacters:
Numeric,Uppercase)
C.当前设置密码与以前使用过的4次密码不能重复(PasswordMemory)
D.密码的有效期为120天(MaximumDuration)
E.建议4次密码失效会锁定用户(MaximunLoginFailures)
2.2缺省用户密码安全加固
设备初始化时,每台F5对于root用户和admin用户都有缺省的密码,用户在对F5进行配置时,必须修改root用户和admin用户的缺省密码。
选择WebUI->System->Platform可以修改root用户和admin用户的密码:
3.网络访问管理
3.1SelfIP和FloatIP网络访问管理
对于F5LTM网络设备,建议通过F5的管理接口对F5设备进行管理,而对于业务vlan的SelfIP和FloatIP(专门用于F5Networkfailover、F5配置同步、F5mirror的vlan的selfIP除外,这个vlan我们建议两台F5直接连接)建议不开放任何网络管理功能,建议把这些接口的PortLockdown功能选择为allownone。
选择WebUI->Network->SelfIPs选择相应IP地址进入,在PortLockdown处选择allownone。
3.2限制SSH登录IP管理
为了加强对F5设备的SSH登录管理,可以对能SSH登录F5设备的IP地址进行限制,以限定只有特定的IP地址或网段才能登录F5设备。
选择WebUI->System->Platform中,在SSHIPAllow中指定允许远程SSH的IP网段和具体IP地址,中间以空格键隔开。
如希望限定只有网段和IP地址,请在SpecifyRange中输入。
3.3限制HTTPS登录IP管理
为了加强对F5设备的HTTPS登录管理,可以对能HTTPS登录F5设备的IP地址进行限制,以限定只有特定的IP地址或网段才能登录F5设备。
SSH登录到F5上,采用以下的命令可以对登录HTTPS的IP地址进行设置:
bigpipehttpdallow
ex:
bigpipehttpdallowadd
bigpipehttpdallow/add
4.登录行为管理
4.1WebUI用户访问超时管理
对于用户登录WebUI,可以设置其session的timeout时间,过了相应的timeout时间后,用户需要重新login。
建议修改成600秒。
选择WebUI->System->Preferences中的Idletimebeforeautomaticlogout进行设置。
4.2SSH用户登录超时管理
在缺省情况下,F5的SSH登录不会自动超时。
要配置SSH登录自动超时,可以按以下的方式进行配置:
登录F5的命令行,输入以下的命令(版本及以后版本支持):
tmshmodifysyssshdinactivity-timeout
建议自动超时时间设置为600秒
4.3WebUI最大管理访问连接数管理
由于HTTPS访问F5的WebUI会消耗F5的资源,一般不允许太多的用户同时登录F5的WebUI。
F5允许对于同时登录F5WebUI的数量进行限制。
选择WebUI->System->preferences中,选择advance菜单,然后设置MaximumHTTPConnectionstoConfigurationUtility的数值(最小值为10)。
5.SNMP访问管理
5.1限制SNMP访问管理
为了加强SNMPagent网管工作站对F5网络设备的SNMP访问,建议对允许SNMPagent网管工作站访问F5的IP地址进行限制。
选择WebUI->System->SNMP->Configuration,在ClientAllowList中输入可以访问F5的SNMPagent网管工作站的IP地址:
5.2SNMP密码管理
对于SNM的密码,建议采用的Community的口令,需要为非常规private或者public,并且符合口令强度要求(建议长度不小于8位,需要包含2个数字和2个大写字母)。
6.其他安全加固
6.1用户登录日志管理
在v10,F5的WebUI和SSH登录日志会记录于/var/log/secure文件下,如:
[root@gtm:
Active]log#moreaudit
Jul1820:
16:
00local/gtminfosshd(pam_audit)[10904]:
01070417:
6:
AUDIT-userroot-RAW:
sshd(pam_audit):
user=root(root)partition=[All]level=Administratortty=sshhost=192.
attempts=1start="WedJul1820:
16:
002012".
[root@gtm:
Active]log#moreaudit
Jul1820:
16:
00local/gtminfosshd(pam_audit)[10904]:
01070417:
6:
AUDIT-userroot-RAW:
sshd(pam_audit):
user=root(root)partition=[All]level=Administratortty=sshhost=192.
attempts=1start="WedJul1820:
16:
002012".
[root@gtm:
Active]log#moresecure
Jul1820:
16:
00local/gtminfosshd(pam_audit)[10904]:
user=root(root)partition=[All]level=Administratortty=sshhost=attempts=1start="WedJul1820:
16:
002012".
Jul1820:
16:
00local/gtminfosshd(pam_audit)[10904]:
01070417:
6:
AUDIT-userroot-RAW:
sshd(pam_audit):
user=root(root)partition=[All]level=Administratortty=sshhost=192.
attempts=1start="WedJul1820:
16:
002012".
6.2NTP时间同步
建议开启F5的NTP服务,保证日志功能记录的时间的准确性。
选择WebUI->System->Configuration->Device下的NTP菜单,可以在TimeServerList下输出NTPServer的地址。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- F5BIGIPLTM 安全 加固 建议
![提示](https://static.bdocx.com/images/bang_tan.gif)