路由器配置实例100例.docx
- 文档编号:24455656
- 上传时间:2023-05-27
- 格式:DOCX
- 页数:19
- 大小:57.85KB
路由器配置实例100例.docx
《路由器配置实例100例.docx》由会员分享,可在线阅读,更多相关《路由器配置实例100例.docx(19页珍藏版)》请在冰豆网上搜索。
路由器配置实例100例
路由器配置实例--100例
Cisco路由器VOIP配置解析
在企业网络中推广IP语音技术有很多优点,例如可以控制数据流量,保证语音质量,充分利用企业租用的数据线路资源,节省传统的长途话费等等。
企业使用IP语音技术,可以将语音、数据和多媒体通信融合在一个集成的网络中,并在一个企业解决方案中,把专网和公网连接起来。
在2600和3600系列路由平台上,Cisco提供了新型的H.323关守功能,该关守功能除提供策略管理功能外,还提供地址分辨、带宽管理、网关支持、用户鉴别以及账户记录。
H.323关守在局域网和广域网上均可实现对基于H.323的语音、视频及数据会议话务流量的策略管理功能.
本文介绍的是一次利用Cisco2600路由器,通过E&M干线连接PBX用户,实现了VoiceoverIP功能的过程。
某公司计划连接两个办公室:
一个位于加利弗尼亚的SanJose,另一个位于盐湖城。
该公司在其两个远程办公室之间已经建立了可工作的IP连接。
每个办公室有一个PBX内部电话网络,通过一个E&M接口连接到语音网络。
盐湖城和SanJose办公室都使用E&M端口类型。
每个E&M接口连接到路由器的两个语音接口连接端。
在SanJose的用户拨“8-111”这一扩展号可接通盐湖城目标。
在盐湖城的用户拨“4-111”扩展号可接通SanJose目标。
图1是本连接示例的拓扑(附件中1)
首先应配置好PBX,使所有的DTMF信号能通到路由器。
若修改增益或电话端口,应确认电话端口仍然能接受DTMF信号。
然后对图中路由器SJ配置,第一步配置pots拨号对等1:
hostnamesanjose
dial-peervoice1pots
destination-pattern+111....
ort1/0/0
配置pots拨号对等2:
dial-peervoice2pots
destination-pattern+111....
ort1/0/1
配置voip拨号对等3:
dial-peervoice3voip
destination-pattern+111....
essiontargetipv4:
172.16.65.182
配置E&M端口:
voice-port1/0/0
ignalimmediate
operation4-wire
type2
voice-port1/0/1
ignalimmediate
operation4-wire
type2
配置串行端口:
interfaceserial0/0
descriptionserialinterfacetypedce(providesclock)
clockrate2000000
ipaddress172.16.1.123
oshutdown
接下来配置路由器SLC,步骤与配置SJ类似。
经过这样配置,即可实现Cisco2600路由器上,通过E&M干线连接PBX用户的VoIP应用。
相关术语
DTMF(Dualtonemultifrequency):
双音多频——同时使用两种音频(例如按钮音)进行拨号。
E&M:
代表recEiveandtransMit(或EarandMouth).E&M一般是一个用于交换到交换或交换到网络连接的双向主干设备。
Cisco的E&M端口是一个RJ-48连接器,该连接器可连接到PBX主干线路(专线)。
PBX:
Privatebranchexchange专用中心交换机。
POTS拨号对等:
通过一个传统的电话局网络连接的点对点拨号(Dialpeer)。
POTS对等指向在语音网络设备上的特定语音端口。
[本帖最后由宁静的清风于2007-8-510:
09编辑]
附件
2007-8-510:
09
1.jpg
(10.56KB)
-------------------------------------------------------------------------------------------
这个家伙很懒,什么也没留下......
发表于:
2007-07-2718:
34:
00
1分钟答问卷赢4G优盘
玩游戏赢足球巨星纪念品啦...楼主...
逆水ninishui41
0
0
来自:
保密
注册:
2005-04-18
发帖:
1385+0
[编辑][短信][好友][相册][搜索][举报][道具][奖分][只看此人]管理:
[删除][IP]
misc.php?
action=viewratings&tid=671168&pid=5685985
Cisco路由器的安全配置
目前大多数的企事业单位和部门连Internet网,通常都是一台路由器与ISP连结实现。
这台路由器就是沟通外部Internet和内部网络的桥梁,如果这台路由器能够合理进行安全设置,那么就可以对内部的网络提供一定安全性或对已有的安全多了一层屏障。
现在大多数的路由器都是Cisco公司的产品或与其功能近似,本文在这里就针对Cisco路由器的安全配置进行管理。
考虑到路由器的作用和位置,路由器配置的好坏不仅影响本身的安全也影响整个网络的安全。
目前路由器(以Cisco为例)本身也都带有一定的安全功能,如访问列表、加密等,但是在缺省配置时,这些功能大多数都是关闭的。
需要进行手工配置。
怎样的配置才能最大的满足安全的需要,且不降低网络的性能?
本文从以下几个部分分别加以说明:
一.口令管理
口令是路由器是用来防止对于路由器的非授权访问的主要手段,是路由器本身安全的一部分。
最好的口令处理方法是将这些口令保存在TACACS+或RADIUS认证服务器上。
但是几乎每一个路由器都要有一个本地配置口令进行权限访问。
如何维护这部分的安全?
1.使用enablesecret
enablesecret命令用于设定具有管理员权限的口令。
并且如果没有enablesecret,则当一个口令是为控制台TTY设置的,这个口令也能用于远程访问。
这种情况是不希望的。
还有一点就是老的系统采用的是enablepassword,虽然功能相似,但是enablepassword采用的加密算法比较弱。
2.使用servicepassword-encryption
这条命令用于对存储在配置文件中的所有口令和类似数据(如CHAP)进行加密。
避免当配置文件被不怀好意者看见,从而获得这些数据的明文。
但是servicepassword-encrypation的加密算法是一个简单的维吉尼亚加密,很容易被破译。
这主要是针对enablepassword命令设置的口令。
而enablesecret命令采用的是MD5算法,这种算法很难进行破译的。
但是这种MD5算法对于字典式攻击还是没有办法。
所以不要以为加密了就可以放心了,最好的方法就是选择一个长的口令字,避免配置文件被外界得到。
且设定enablesecret和servicepassword-encryption。
二.控制交互式访问
任何人登录到路由器上都能够显示一些重要的配置信息。
一个攻击者可以将路由器作为攻击的中转站。
所以需要正确控制路由器的登录访问。
尽管大部分的登录访问缺省都是禁止的。
但是有一些例外,如直连的控制台终端等。
控制台端口具有特殊的权限。
特别注意的是,当路由器重启动的开始几秒如果发送一个Break信号到控制台端口,则利用口令恢复程式可以很容易控制整个系统。
这样如果一个攻击者尽管他没有正常的访问权限,但是具有系统重启(切断电源或系统崩溃)和访问控制端口(通过直连终端、Modem、终端服务器)的能力就可以控制整个系统。
所以必须保证所有连结控制端口的访问的安全性。
除了通过控制台登录路由器外还有很多的方法,根据配置和操作系统版本的不同,可以支持如Telnet、rlogin、Ssh以及非基于IP的网络协议如LAT、MOP、X.29和V.120等或者Modem拨号。
所有这些都涉及到TTY,本地的异步终端和拨号Modem用标准的"TTYs"。
远地的网络连结不管采用什么协议都是虚拟的TTYs,即"VTYs"。
要控制路由器的访问,最好就是控制这些TTYs或VTYs,加上一些认证或利用login、nopassword命令禁止访问。
1.控制TTY
缺省的情况下一个远端用户可以连结到一个TTY,称为"反向Telnet",允许远端用户和连接到这个TTY上的终端或Modem进行交互。
但是这些特征允许一个远端用户连接到一个本地的异步终端口或一个拨入的Modem端口,从而构造一个假的登录过程来偷盗口令或其他的非法活动。
所以最好禁止这项功能,可以采用transportinputnone设置任何异步或Modem不接收来自网络用户的连结。
如果可能,不要用相同的Modem拨入和拨出,且禁止反向Telnet拨入。
2.控制VTY
为了保证安全,任何VTY应该仅允许指定的协议建立连结。
利用transportinput命令。
如一个VTY只支持Telnet服务,可以如下设置transportinputtelnet。
如果路由器操作系统支持SSH,最好只支持这个协议,避免使用明文传送的Telnet服务。
如下设置:
transportinputssh。
也可以利用ipaccess-class限制访问VTY的ip地址范围。
因为VTYs的数目有一定的限制,当所有的VTYs用完了,就不能再建立远程的网络连结了。
这就有可能被利用进行Dos(拒绝服务攻击)。
这里攻击者不必登录进入,只要建立连结,到login提示符下就可以,消耗到所有的VTYs。
对于这种攻击的一个好的防御方法就是利用ipaccess-class命令限制最后一个VTYs的访问地址,只向特定管理工作站打开。
而其他的VTYs不限制,从而既保证了灵活性,也保证关键的管理工作不被影响。
另一个方法是利用exec-timeout命令,配置VTY的超时。
避免一个空闲的任务一直占用VTY。
类似的也可以用servicetcp-keepalives-in保证Tcp建立的入连结是活动的,从而避免恶意的攻击或远端系统的意外崩溃导致的资源独占。
更好的保护VTY的方法是关闭所有非基于IP的访问,且使用IPSec加密所有的远端与路由器的连结。
三.管理服务配置
许多的用户利用协议如Snmp或Http来管理路由器。
但是利用这些协议管理服务时,就会存在一定的安全问题。
1.Snmp
Snmp是最经常用于路由器的管理的协议。
目前使用最多的Snmp版本1,但是这个版本的Snmp存在着很多的安全问题:
A.使用明文认证,利用"community"字符串。
B.在周期性轮循时,重复的发送这些"community"。
C.采用容易被欺骗的基于数据包的协议。
所以尽量采用SnmpV2,因为它采用基于MD5的数字认证方式,并且允许对于不同的管理数据进行限制。
如果一定要使用SnmpV1,则要仔细的配置。
如避免使用缺省的community如public,private等。
避免对于每个设备都用相同的community,区别和限制只读和读写commnity。
对于SnmpV2,则可能的话对于不同的路由器设定不同的MD5安全值。
还有就是最好使用访问列表限定可以使用Snmp管理的范围。
2.Http:
最近的路由器操作系统支持Http协议进行远端配置和监视。
而针对Http的认证就相当于在网络上发送明文且对于Http没有有效的基于挑战或一次性的口令保护。
这使得用Http进行管理相当危险。
如果选择使用Http进行管理,最好用iphttpaccess-class命令限定访问地址且用iphttpauthentication命令配置认证。
最好的http认证选择是利用TACACS+或RADIUS服务器。
四.日志
利用路由器的日志功能对于安全来说是十分重要的。
Cisco路由器支持如下的日志
1.AAA日志:
主要收集关于用户拨入连结、登录、Http访问、权限变化等。
这些日志用TACACS+或RADIUS协议送到认证服务器并本地保存下来。
这些可以用aaaaccouting实现。
2.Snmptrap日志:
发送系统状态的改变到Snmp管理工作站。
3.系统日志:
根据配置记录大量的系统事件。
并可以将这些日志发送到下列地方:
a.控制台端口
b.Syslog服务器
c.TTYs或VTYs
d.本地的日志缓存。
这里最关心的就是系统日志,缺省的情况下这些日志被送到控制台端口,通过控制台监视器来观察系统的运行情况,但是这种方式信息量小且无法记录下来供以后的查看。
最好是使用syslog服务器,将日志信息送到这个服务器保存下来。
五.路由安全
1.防止伪造:
伪造是攻击者经常使用的方法。
通过路由器的配置可以在一定程度上防止伪造。
通常是利用访问列表,限制通过的数据包的地址范围。
但是有下面几点注意的。
A.可以在网络的任何一点进行限制,但是最好在网络的边界路由器上进行,因为在网络内部是难于判断地址伪造的。
B.最好对接口进入的数据进行访问控制(用ipaccess-grouplistin)。
因为输出列表过滤只保护了位于路由器后的网络部分,而输入列表数据过滤还保护了路由器本身不受到外界的攻击。
C.不仅对外部的端口进行访问控制,还要对内部的端口进行访问控制。
因为可以防止来自内部的攻击行为。
下面是一个是一个访问列表的例子:
ipaccess-listnumberdenyicmpanyanyredirect拒绝所有的Icmp重定向
ipaccess-listnumberdenyiphost127.0.0.00.255.255.255any拒绝Loopback的数据包
ipaccess-listnumberdenyip224.0.0.031.255.255.255any拒绝多目地址的数据包
除了访问列表的限制外,还可以利用路由器的RPF检查(ipverifyunicastrpf)。
这项功能主要用于检查进入接口的数据包的源地址,根据路由表判断是不是到达这个源地址的路由是不是也经过这个接口转发,如果不是则抛弃。
这进一步保证了数据源的正确性。
但是这种方式不适合非对称的路由,即A到B的路由与B到A的路由不相同。
所以需要判断清楚路由器的具体配置。
2.控制直接广播
一个IP直接广播是一个目的地为某个子网的广播地址的数据包,但是这个发送主机的不与这个目的子网直接相连。
所以这个数据包被路由器当作普通包转发直到目的子网,然后被转换为链路层广播。
由于Ip地址结构的特性,只有直接连接到这个子网的路由器能够识别一个直接广播包。
针对这个功能,目前存在一种攻击称为"smurf",攻击者通过不断的发送一个源地址为非法地址的直接广播包到攻击的子网。
从而导致子网的所有主机向这个非法地址发送响应,最终导致目的网络的广播风暴。
对于这种攻击可以在路由器的接口上设置noipdirected-broadcast,但是这种直接广播包,要被这个接口转换成链路层的广播而不是抛弃,所以为了更好防止攻击,最好在将所有可能连接到目的子网的路由器都配置noipdirected-broadcast。
3.防止路由攻击
源路由攻击一种常用攻击方法,因为一些老的Ip实现在处理源路由包时存在问题,所以可能导致这些机器崩溃,所以最好在路由器上关闭源路由。
用命令noipsource-route。
Icmp重定向攻击也是一种常用的路由攻击方法。
攻击者通过发送错误的重定向信息给末端主机,从而导致末端主机的错误路由。
这种攻击可以通过在边界路由器上设定过滤所有icmp重定向数据来实现。
但是这只能阻止外部的攻击者,如果攻击者和目的主机在同一个网段则没有办法。
当路由器采用动态协议时,攻击者可以伪造路由包,破坏路由器的路由表。
为了防止这种攻击可以利用访问列表(distribute-listin)限定正确路由信息的范围。
并且如果可能则采用认证机制。
如Rip2或ospf支持认证等。
六.流量管理
目前大多数的Dos攻击都是通过发送大量的无用包,从而占用路由器和带宽的资源,导致网络和设备过载,这种攻击也称为"洪泛攻击"。
对于这种攻击的防范首先要明确瓶颈在哪里。
例如:
如果攻击导致线路阻塞,则在线路的源路由节点进行过滤可以有效的防止,但是在线路的目的路由端进行过滤,就没有什么效果。
并且要注意路由器本身也可能成为攻击的对象,而且这种情况更加糟糕。
对于这种类型攻击的防范有如下:
1.网络保护:
利用路由器的Qos功能来分担负载来防止一些洪泛攻击。
方式有WFQ,CAR,GTS等。
但是要注意的是每种方式的应用不同。
如WFQ防止ping攻击比SYN攻击更有效。
所以要正确选择方式,才能有效的防止攻击。
2.路由器本身保护:
路由器虽然能保护网络中其他部分避免过载,但是本身也需要保护不受到攻击。
应有的安全配置有:
a.采用CEF交换模式而不是传统的路由表Cache方式,因为采用CEF方式,对于出现的新目的地不需要构筑路由Cache入口。
所以这种方式对于SYN攻击能够更好的防止(因为SYN攻击用的是随机的源地址)
b.使用schedulerinterval或schedulerallocate。
因为当大量的数据包要路由器快速转发情况下,可能路由器花费大量的时间处理网络接口的中断,导致其他的任务无法正常工作。
为了避免这种情况,可以使用schedulerinterval或schedulerallocate命令路由器在规定的时间间隔内停止处理中断去处理其他事件。
这种方式的副作用很小,不会影响网络的正常传输。
c.设定缺省路由到空设备(iproute0.0.0.00.0.0.0null0255):
这个设置可以很好抛弃掉不可达的目的地值得数据包,增加路由器的性能。
七.服务管理
路由器通常都提供很多的服务如Finger、Telnet等,但是这些服务中一些能够被攻击者利用,所以最好禁止所有不需要的服务。
1.Cisco路由器提供一些基于TCP和UDP协议的小服务如:
echo、chargen和discard。
这些服务很少被使用,而且容易被攻击者利用来越过包过滤机制。
如echo服务,就可以被攻击者利用它发送数据包,好像这些数据包来自路由器本身。
所以最好禁止这些服务,可以利用noservicetcp-small-servers和noserviceudp-small-servers命令来实现。
2.Finger、NTP、CDP:
Finger服务可能被攻击者利用查找用户和口令攻击。
NTP不是十分危险的,但是如果没有一个很好的认证,则会影响路由器正确时间,导致日志和其他任务出错。
CDP可能被攻击者利用获得路由器的版本等信息,从而进行攻击。
所以对于上面的几种服务如果没有十分必要的需求,最好禁止他们。
可以用noservicefinger、nontpenabel、nocdprunning(或nocdpenable)实现。
通过采用和遵循上面的配置就可以实现一个路由器的基本的安全,但是这对于一个严格要求的安全环境是不够的,因为还有很多的攻击无法从路由器上过滤,且对于来自内部网络的攻击,路由器是无能力进行保证的。
但是通过一个路由器的安全配置,能够为网络的安全建立一个外部的屏障,减轻了内部防火墙的负担,并且保证了路由器本身的安全。
所以路由器的安全配置还是十分重要
-------------------------------------------------------------------------------------------
这个家伙很懒,什么也没留下......
发表于:
2007-08-0518:
10:
00
推荐:
马上参加HRS世界杯主题活动...第1楼...
逆水ninishui41
0
0
来自:
保密
注册:
2005-04-18
发帖:
1385+0
[编辑][短信][好友][相册][搜索][举报][道具][奖分][只看此人]管理:
[删除][IP]
misc.php?
action=viewratings&tid=671168&pid=5685986
------Cisco路由器配置信息在Unix下的备份、恢复与更新---
随着计算机应用的不断发展,许多企业计算机局域网规模在不断扩大,网络的独立网关或独立网点数目也日益增多;同时,由于应用的发展,需要对网络进行优化和改造,并且增加新的业务,如语音和视频通信等,因此,必须对原有的网络配置做出相应的调整。
作为网关的路由器,其配置的信息也要相应增加和调整。
Cisco系统公司的多协议路由器已被大多数企业广泛用于组建自己的专网。
当Cisco路由器的配置信息需要增加或修改时,逐条在Cisco路由器上进行配置和修改是相当费时和繁琐的,而如果Cisco路由器上的配置信息,由于某种原因出现部分或完全丢失,此时网络上又运行着一些实时应用系统,如果不能迅速地恢复路由器的配置信息,则将会引起非常严重的后果。
本文介绍了一种方法,此方法可将Cisco路由器上的所有配置信息备份到一台Unix主机上以文件形式保存,作为Cisco路由器配置信息的备份。
利用此文件,可以迅速恢复Cisco路由器的原有配置;也可以对此文件进行修改,以实现对路由器配置信息的快速更新。
这种方法适用于局域网和广域网,对于网络的远程维护和配置非常有效。
一、网络实例
本文介绍的方法基于Cisco路由器支持对TFTP服务器进行读写操作,为了能够清楚地说明,以附图为例进行讨论。
附图中,Cisco1路由器通过X.25或DDN与异地的Cisco2路由器互联,它们的主机节点名分别为Cisco1和Cisco2,广域网IP地址分别为10.111.255.1和10.111.255.2,子网掩码为255.255.255.252;PC机上安装的是SCOUnix5.0.5操作系统,与Cisco1在同一局域网上,它们的局域网地址分别为10.111.160.100和10.111.160.99,局域网子网掩码为255.255.255.0,网段为10.111.160.0;Unix主机节点名为manager。
二、在Unix主机上的准备工作
为了使Unix主机能够提供TFTP服务,需要在Unix主机上以root身份注册,做以下操作。
1.用Vi编辑根目录下的.rhosts,在文件中添加如下2行:
Cisco1
Cisco2
使主机Cisco1和Cisco2被授权,能够对Unix系统的根目录进行读写操作。
2.用Vi编辑文件/etc/rc,添加如下一行:
routeaddhost10.111.255.110.111.255.21
加载路由到Cisco2。
3.用Vi编辑/etc/hosts文件,添加如下2行:
10.111.160.99Cisco1
10.
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 路由器 配置 实例 100