reference中国移动通信集团网络设备安全配置规范-思科路由器分册

《reference中国移动通信集团网络设备安全配置规范-思科路由器分册》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、密级：内部文档编号：项目代号：附件二中国移动通信集团网络设备安全配置规范CISCO路由器及基于CISCOIOS的三层交换模块部分Ver：草稿二零零三年十一月中国移动通信公司福建移动通信公司第49页共49页版本控制版本号日期参与人员更新说明初稿2003-11-15洪顺安、林秀文档建立，初始化第49页共49页目录第一部分概述和介绍61概述61.1项目背景61.2项目目标61.3参考资料62适用的软件版本7第二部分设备的安全机制81访问控制82数据加密83日志问题84防攻击能力9第三部分设备安全配置建议101访问控制列表及其管理101.1访问控制列表特性101.2访问控制列表应用101.

2、3实施原则121.4配置实例131.4.1对ICMP数据包的过滤131.4.2IP欺骗的简单防护142路由协议的安全性162.1路由协议认证162.1.1OSPF路由协议的认证162.1.2RIP路由协议的认证172.1.3ISIS路由协议的认证182.1.4BGP路由协议的认证182.1.5关于passive-interface命令192.1.6路由过滤192.2源地址路由检查202.3黑洞路由213网管及认证问题223.1远程登录223.1.1远程登录的原则223.1.2启用SSH服务223.1.3登录空闲时间233.1.4登录尝试次数243.1.5并发登录个数243.1.6采

3、用访问列表严格控制访问的地址243.2帐号和密码管理25第49页共49页3.3帐号认证和授权263.3.1本机认证和授权263.3.2AAA认证263.3.3RADIUS认证方式263.3.4TACACS+认证方式273.4snmp协议283.4.1SNMP服务器的开启293.4.2更改SNMPTRAP协议端口；293.4.3限制发起SNMP连接的源地址；303.4.4设置snmp密码303.4.5开启snmpv3版本303.5HTTP的配置要求313.6更改标准端口313.6.1关闭HTTP服务313.6.2HTTP安全设置314安全审计325设备IOS升级方法335.1前期准备

4、335.1.1软件的获取335.1.2制定升级计划335.1.3配置同步345.1.4数据备份345.1.5其他准备工作355.2升级操作355.2.1记录升级前系统状态355.2.2升级IOS或装载补丁365.2.3检查升级后系统的状态375.3应急保障措施375.3.1设置路由器375.3.2PC设置（TFTP服务器设置）385.3.3上传旧的IOS软件385.3.4组态配置寄存器385.3.5重启路由器385.3.6恢复配置386特定的安全配置396.1关闭不必要的服务396.1.1禁止CDP(CiscoDiscoveryProtocol)396.1.2禁止TCP、UDPSm

5、all服务396.1.3禁止Finger、NTP服务406.1.4禁止BOOTp服务406.1.5禁止IPSourceRouting406.1.6明确的禁止IPDirectedBroadcast416.1.7禁止IPClassless41第49页共49页6.1.8ICMP协议416.1.9WINS和DNS服务416.1.10ARP-Proxy服务426.2DoS攻击防范426.2.1防DDOS攻击426.2.2Smurf进攻的防范。436.2.3TCPSYN的防范。446.2.4LAND.C进攻的防范456.3CAR技术456.4其他特定的安全配置466.4.1对COM端口的管理要

6、求466.4.2对AUX端口的管理要求476.4.3禁止从网络启动和自动从网络下载初始配置文件。476.4.4禁止未使用或空闲的端口476.4.5banner的设置要求48第49页共49页第一部分概述和介绍1概述本文档对中国移动网络Cisco路由器和基于CiscoIOS的交换机及其三层处理模块的安全配置标准进行描述，规范涉及适用范围、对应网络设备本身安全机制的介绍和设备安全配置标准三个部分，在规范中针对设备的六大安全规范主题进行描述，除了提供详细的安全配置标准外，同时考虑设备型号和适用网络层次的不同，并对实际配置过程中应注意的问题进行详细描述。1.1项目背景该项目是为了规范网络设备

7、的安全配置标准，提高中国移动网络设备的安全性而提出的。该项目成果将适用于集团公司以及各省公司网络部、计费、信息化等部门，涵盖业务网络（GPRS、CMNet、各数据业务系统）、支撑系统（网管、BOSS、OA）等。1.2项目目标该项目的目标是对中国移动网络中使用的Cisco路由器和基于CiscoIOS的交换机及其三层处理模块安全配置标准进行规范，实现规范和指导各省各应用系统网络设备安全配置的作用。1.3参考资料lCISCO公司提供《ImprovingSecurityonC