Cisco路由器安全配置方案.docx
- 文档编号:7605791
- 上传时间:2023-01-25
- 格式:DOCX
- 页数:4
- 大小:18.36KB
Cisco路由器安全配置方案.docx
《Cisco路由器安全配置方案.docx》由会员分享,可在线阅读,更多相关《Cisco路由器安全配置方案.docx(4页珍藏版)》请在冰豆网上搜索。
Cisco路由器安全配置方案
一、路由器网络服务安全配置1禁止CDP(CiscoDiscoveryProtocol)。
如:
Router(Config)#nocdprunRouter(Config-if)#nocdpenable2禁止其他的TCP、UDPSmall服务。
Router(Config)#noservicetcp-small-servers
Router(Config)#noserviceudp-samll-servers3禁止Finger服务。
Router(Config)#noipfingerRouter(Config)#noservicefinger4建议禁止HTTP服务。
Router(Config)#noiphttpserver如果启用了HTTP服务则需要对其进行安全配置:
设置用户名和密码;采用访问列表进行控制。
5禁止BOOTp服务。
Router(Config)#noipbootpserver6禁止IPSourceRouting。
Router(Config)#noipsource-route7建议如果不需要ARP-Proxy服务则禁止它,路由器默认识开启的。
Router(Config)#noipproxy-arpRouter(Config-if)#noipproxy-arp8禁止IPDirectedBroadcast。
Router(Config)#noipdirected-broadcast9禁止IPClassless。
Router(Config)#noipclassless10禁止ICMP协议的IPUnreachables,Redirects,MaskReplies。
Router(Config-if)#noipunreacheablesRouter(Config-if)#noipredirectsRouter(Config-if)#noipmask-reply11建议禁止SNMP协议服务。
在禁止时必须删除一些SNMP服务的默认配置。
如:
Router(Config)#nosnmp-servercommunitypublicRoRouter(Config)#nosnmp-servercommunityadminRW12如果没必要则禁止WINS和DNS服务。
Router(Config)#noipdomain-lookup如果需要则需要配置:
Router(Config)#hostnameRouterRouter(Config)#ipname-server219.150.32.xxx13明确禁止不使用的端口。
如:
Router(Config)#interfaceeth0/3Router(Config)#shutdown
二、路由器访问控制的安全配置(可选)路由器的访问控制是比较重要的安全措施,但是目前由于需求不明确,可以考虑暂时不实施。
作为建议提供。
1建议不要远程访问路由器。
即使需要远程访问路由器,建议使用访问控制列表和高强度的密码控制。
2严格控制CON端口的访问。
配合使用访问控制列表控制对CON口的访问。
如:
Router(Config)#Access-list1permit192.168.0.1Router(Config)#linecon0Router(Config-line)#TransportinputnoneRouter(Config-line)#LoginlocalRouter(Config-line)#Exec-timeoute50Router(Config-line)#access-class1inRouter(Config-line)#end同时给CON口设置高强度的密码。
3如果不使用AUX端口,则禁止这个端口。
默认是未被启用。
禁止如:
Router(Config)#lineaux0Router(Config-line)#transportinputnoneRouter(Config-line)#noexec4建议采用权限分级策略。
如:
Router(Config)#usernametestprivilege10xxxxRouter(Config)#privilegeEXEClevel10telnetRouter(Config)#privilegeEXEClevel10showipaccess-list5为特权模式的进入设置强壮的密码。
不要采用enablepassword设置密码。
而要采用enablesecret命令设置。
并且要启用Servicepassword-encryption。
Router(config)#servicepassword-encryptionRouter(config)#enablesecret6控制对VTY的访问。
如果不需要远程访问则禁止它。
如果需要则一定要设置强壮的密码。
由于VTY在网络的传输过程中为加密,所以需要对其进行严格的控制。
如:
设置强壮的密码;控制连接的并发数目;采用访问列表严格控制访问的地址;可以采用AAA设置用户的访问控制等。
三、路由器路由协议安全配置1建议启用IPUnicastReverse-PathVerification。
它能够检查源IP地址的准确性,从而可以防止一定的IPSpooling。
但是它只能在启用CEF(CiscoExpressForwarding)的路由器上使用。
uRPF有三种方式,strict方式、ACL方式和loose方式。
在接入路由器上实施时,对于通过单链路接入网络的用户,建议采用strict方式;对于通过多条链路接入到网络的用户,可以采用ACL方式和loose方式。
在出口路由器上实施时,采用loose方式。
Strict方式:
Router#configt!
启用CEFRouter(Config)#ipcef!
启用UnicastReverse-PathVerificationRouter(Config)#interfaceeth0/1Router(Config-if)#ipverifyunicastreverse-path
ACL方式:
interfacepos1/0ipverifyunicastreverse-path190access-list190permitip{customernetwork}{customernetworkmask}anyaccess-list190denyipanyany[log]这个功能检查每一个经过路由器的数据包的源地址,若是不符合ACL的,路由器将丢弃该数据包。
Loose方式:
interfacepos1/0ipverunicastsourcereachable-viaany这个功能检查每一个经过路由器的数据包,在路由器的路由表中若没有该数据包源IP地址的路由,路由器将丢弃该数据包。
2启用OSPF路由协议的认证。
默认的OSPF认证密码是明文传输的,建议启用MD5认证。
并设置一定强度密钥(key,相对的路由器必须有相同的Key)。
3RIP协议的认证。
只有RIP-V2支持,RIP-1不支持。
建议启用RIP-V2。
并且采用MD5认证。
普通认证同样是明文传输的。
4启用passive-interface命令可以禁用一些不需要接收和转发路由信息的端口。
建议对于不需要路由的端口,启用passive-interface。
但是,在RIP协议是只是禁止转发路由信息,并没有禁止接收。
在OSPF协议中是禁止转发和接收路由信息。
5启用访问列表过滤一些垃圾和恶意路由信息,控制网络的垃圾信息流。
如:
Router(Config)#access-list10deny192.168.1.00.0.0.255Router(Config)#access-list10permitany!
禁止路由器接收更新192.168.1.0网络的路由信息Router(Config)#routerospf100Router(Config-router)#distribute-list10in!
禁止路由器转发传播192.168.1.0网络的路由信息Router(Config)#routerospf100Router(Config-router)#distribute-list10out
四、路由器其他安全配置1IP欺骗简单防护。
如过滤非公有地址访问内部网络。
过滤自己内部网络地址;回环地址(127.0.0.0/8);RFC1918私有地址;DHCP自定义地址(169.254.0.0/16);科学文档作者测试用地址(192.0.2.0/24);不用的组播地址(224.0.0.0/4);SUN公司的古老的测试地址(20.20.20.0/24;204.152.64.0/23);全网络地址(0.0.0.0/8)。
Router(Config)#access-list100denyip127.0.0.00.255.255.255anyRouter(Config)#access-list100denyip192.168.0.00.0.255.255anyRouter(Config)#access-list100denyip172.16.0.00.15.255.255anyRouter(Config)#access-list100denyip10.0.0.00.255.255.255anyRouter(Config)#access-list100denyip169.254.0.00.0.255.255anyRouter(Config)#access-list100denyip192.0.2.00.0.0.255anyRouter(Config)#access-list100denyip224.0.0.015.255.255.255anyRouter(Config)#access-list100denyip20.20.20.00.0.0.255anyRouter(Config)#access-list100denyip204.152.64.00.0.2.255anyRouter(Config)#access-list100denyip0.0.0.00.255.255.255anyRouter(Config)#access-list100permitipanyanyRouter(Config-if)#ipaccess-group100in
2建议采用访问列表控制流出内部网络的地址必须是属于内部网络的。
(可选)如:
Router(Config)#noaccess-list101Router(Config)#access-list101permitip192.168.0.00.0.255.255anyRouter(Config)#access-list101denyipanyanyRouter(Config)#interfaceeth0/1Router(Config-if)#description“internetEthernet”Router(Config-if)#ipaddress192.168.0.254255.255.255.0Router(Config-if)#ipaccess-group101in
其他可选项:
1、建议启用SSH,废弃掉Telnet。
但只有支持并带有IPSec特征集的IOS才支持SSH。
并且IOS12.0-IOS12.2仅支持SSH-V1。
如下配置SSH服务的例子:
Router(Config)#configtRouter(Config)#noaccess-list22Router(Config)#access-list22permit192.168.0.22Router(Config)#access-listdenyanyRouter(Config)#usernametestprivilege10****!
设置SSH的超时间隔和尝试登录次数Router(Config)#ipsshtimeout90Router(Config)#ipsshanthentication-retries2Router(Config)#linevty04Router(Config-line)#access-class22inRouter(Config-line)#transportinputsshRouter(Config-line)#loginlocalRouter(Config-line)#exit!
启用SSH服务,生成RSA密钥对。
Router(Config)#cryptokeygeneratersaThenameforthekeyswillbe:
router.xxxChoosethesizeofthekeymodulusintherangeof360to2048foryourGeneralPurposeKeys.Choosingakeymodulusgreaterthan512maytakeafewminutes.Howmanybitsinthemodulus[512]:
2048GeneratingRSAKeys...[OK]Router(Config)#
2、TCPSYN的防范。
如:
A:
通过访问列表防范。
Router(Config)#noaccess-list106Router(Config)#access-list106permittcpany192.168.0.00.0.0.255establishedRouter(Config)#access-list106denyipanyanyRouter(Config)#interfaceeth0/2Router(Config-if)#description“externalEthernet”Router(Config-if)#ipaddress192.168.1.254255.255.255.0Router(Config-if)#ipaccess-group106inB:
通过TCP截取防范。
(这会给路由器产生一定负载)Router(Config)#iptcpinterceptlist107Router(Config)#access-list107permittcpany192.168.0.00.0.0.255Router(Config)#access-list107denyipanyanyRouter(Config)#interfaceeth0Router(Config)#ipaccess-group107in
3、LAND.C进攻的防范。
Router(Config)#access-list107denyiphost192.168.1.254host192.168.1.254Router(Config)#access-list107permitipanyanyRouter(Config)#interfaceeth0/2Router(Config-if)#ipaddress192.168.1.254255.255.255.0Router(Config-if)#ipaccess-group107in
4、Smurf进攻的防范。
Router(Config)#access-list108denyipanyhost192.168.1.255Router(Config)#access-list108denyipanyhost192.168.1.0Router(Config)#access-list108permitipanyanyRouter(Config-if)#ipaccess-group108in
5、ICMP协议的安全配置。
对于进入ICMP流,我们要禁止ICMP协议的ECHO、Redirect、Maskrequest。
也需要禁止TraceRoute命令的探测。
对于流出的ICMP流,我们可以允许ECHO、ParameterProblem、Packettoobig。
还有TraceRoute命令的使用。
!
outboundICMPControlRouter(Config)#access-list110denyicmpanyanyechoRouter(Config)#access-list110denyicmpanyanyredirectRouter(Config)#access-list110denyicmpanyanymask-requestRouter(Config)#access-list110permiticmpanyany!
InboundICMPControlRouter(Config)#access-list111permiticmpanyanyechoRouter(Config)#access-list111permiticmpanyanyParameter-problemRouter(Config)#access-list111permiticmpanyanypacket-too-bigRouter(Config)#access-list111permiticmpanyanysource-quenchRouter(Config)#access-list111denyicmpanyany!
OutboundTraceRouteControlRouter(Config)#access-list112denyudpanyanyrange3340034400!
InboundTraceRouteControlRouter(Config)#access-list112permitudpanyanyrange3340034400
6、DDoS(DistributedDenialofService)的防范。
!
TheTRINOODDoSsystemRouter(Config)#access-list113denytcpanyanyeq27665Router(Config)#access-list113denyudpanyanyeq31335Router(Config)#access-list113denyudpanyanyeq27444!
TheStacheldtrahtDDoSsystemRouter(Config)#access-list113denytcpanyanyeq16660Router(Config)#access-list113denytcpanyanyeq65000!
TheTrinityV3SystemRouter(Config)#access-list113denytcpanyanyeq33270Router(Config)#access-list113denytcpanyanyeq39168!
TheSubSevenDDoSsystemandsomeVariantsRouter(Config)#access-list113denytcpanyanyrange67116712Router(Config)#access-list113denytcpanyanyeq6776Router(Config)#access-list113denytcpanyanyeq6669Router(Config)#access-list113denytcpanyanyeq2222Router(Config)#access-list113denytcpanyanyeq7000Router(Config)#access-list113permitipanyanyRouter(Config-if)#ipaccess-group113in
7、Sql蠕虫的防范Router(Config)#access-list114denyudpanyanyeq1434Router(Config)#access-list114permitipanyanyRouter(Config-if)#ipaccess-group114in
8、减少BGP的收敛时间,保证黑客攻击后网络能尽快恢复。
建议增加如下配置:
(需在所有运行BGP的路由器上增加)1、在每个BGP互连的接口上,增加hold-queue1500命令,将接口的hold-queue由默认的75增加到1500。
在做此配置之前需要先检查板卡的内存,确保其freememory至少为20M。
2、增加以下有关TCP的配置,增强BGP的收敛性能。
iptcpselective-ackiptcpmss1460iptcpwindow-size65535iptcpqueuemax50iptcppath-mtu-discovery3、在GSR上,增加ipceflinecardipcmemory10000命令,提高downloadFIB的速度。
9、启用CAR和系统日志等来增强(略)
其他注意事项:
1,及时的升级IOS软件,并且要迅速的为IOS安装补丁。
2,要严格认真的为IOS作安全备份。
3,要为路由器的配置文件作安全备份。
4,购买UPS设备,或者至少要有冗余电源。
5,要有完备的路由器的安全访问和维护记录日志
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Cisco 路由器 安全 配置 方案
![提示](https://static.bdocx.com/images/bang_tan.gif)