中国移动华为路由器交换机安全配置手册

《中国移动华为路由器交换机安全配置手册》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、中国移动华为路由器交换机安全管理及策略密级：文档编号：项目代号：中国移动华为路由器交换机安全配置手册Version1.1中国移动通信有限公司二零零四年十二月第*页共*页中国移动华为路由器交换机安全管理及策略第*页共*页中国移动华为路由器交换机安全管理及策略拟制:审核:批准:会签:标准化:vi中国移动华为路由器交换机安全管理及策略版本控制版本号日期参与人员更新说明分发控制编号读者文档权限与文档的主要关系1创建、修改、读取负责编制、修改、审核2批准负责本文档的批准程序3标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核

2、4读取5读取vi中国移动华为路由器交换机安全管理及策略目录目录v第1章概述1-11.1交换机1-11.2路由器1-5第2章华为路由器交换机物理安全管理2-112.1定期检查机房的温度和湿度2-112.2定期检查机房电源输入是否完好2-122.3定期检查设备的接地电阻是否正常2-122.4定期检查设备的相关线缆是否完好2-132.5定期检查设备的风扇是否运行正常2-13第3章华为路由器交换机数据安全配置3-133.1分级设置用户口令3-133.2对任何方式的用户登录都进行认证3-143.3对于网络上已知的病毒所使用的端口进行过滤

3、3-173.4关闭危险的服务3-193.5在使用SNMP协议时候的安全建议3-203.6关闭不使用的物理端口3-203.7保持系统日志的打开3-203.8注意检查设备的系统时间是否准确3-213.9路由协议采用加密认证3-213.10在设备上开启URPF功能3-253.11防攻击的措施3-263.12攻击防范配置3-283.12.1使能IP欺骗攻击防范功能3-293.12.2使能Land攻击防范功能3-303.12.3使能Smurf攻击防范功能3-303.12.4使能Fraggle攻击防范功能3-313.12.5使能WinNu

4、ke攻击防范功能3-313.12.6配置SYNFlood攻击防范功能3-323.12.7配置ICMPFlood攻击防范功能3-343.12.8配置UDPFlood攻击防范功能3-363.12.9使能ICMP重定向报文攻击防范功能3-373.12.10使能ICMP不可达报文攻击防范功能3-38vi中国移动华为路由器交换机安全管理及策略3.12.11配置地址扫描攻击防范功能3-393.12.12配置端口扫描攻击防范功能3-403.12.13使能带源站路由选项IP报文攻击防范功能3-413.12.14使能带路由记录选项IP报文攻击防

5、范功能3-413.12.15使能带时间戳记录选项IP报文攻击防范功能3-423.12.16使能Tracert报文攻击防范功能3-433.12.17使能TCP报文标志合法性检测功能3-433.12.18使能PingofDeath攻击防范功能3-443.12.19使能TearDrop攻击防范功能3-453.12.20使能IP分片报文攻击防范功能3-453.12.21配置超大ICMP报文攻击防范功能3-463.13端口镜像功能3-47第4章华为路由器交换机安全管理制度4-474.1登录口令的强壮性4-474.2登录口令的定期更换4-

6、484.3不同的人员掌握不同等级的登录口令4-484.4对于设备的硬件、软件、数据配置操作进行登记备案4-494.5对于每一次的网络异常进行登记备案4-494.6在设备外保存设备当前运行的版本、数据配置、日志信息4-494.7机房的安全管理建议：4-50vi中国移动华为路由器交换机安全管理及策略第1章概述1.1交换机交换机是构建网络平台的“基石”。从传输介质和传输速度上可分为以太网交换机、快速以太网交换机、千兆以太网交换机、FDDI交换机、ATM交换机和令牌环交换机等。从规模应用上又可分为企业级交换机、部门级交换机和工作组交换

7、机等。一般来讲，企业级交换机都是机架式，部门级交换机可以是机架式（插槽数较少），也可以是固定配置式，而工作组级交换机为固定配置式（功能较为简单）。众所周知，传统的交换机工作在OSI参考模型的第二层——数据链路层上，主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。物理编址（相对应的是网络编址）定义了设备在数据链路层的编址方式；网络拓扑结构包括数据链路层的说明，定义了设备的物理连接方式，如星型拓扑结构或总线拓扑结构等；错误校验向发生传输错误的上层协议告警；数据帧序列重新整理并传输除序列以外的帧；流控可以延缓数据的传输

8、能力，以使接收设备不会因为在某一时刻接收到了超过其处理能力的信息流而崩溃。目前很多交换机还具备VLAN、链路汇聚、MPLS等功能。华为的交换机主要有以下几个系列：产品型号特性Quidway®S8016多业务核心路由交换机面向IP城域网的网络骨干、交换核心、汇聚中心建设，基于硬