路由器的安全配置.ppt

《路由器的安全配置.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、路由器的安全配置中国科技网工作交流会2010年4月16日何群辉概述路由器的安全目标路由器安全策略的基础可实施的路由器安全配置路由器的安全目标防止对路由器的未经授权的访问防止对网络的未经授权的访问防止网络数据窃听防止欺骗性路由更新路由器安全策略的基础找出需要保护的网络资源确定危险之处限制访问范围确定安全措施的代价物理安全可实施的路由器安全配置路由器访问安全路由器网络服务安全配置访问控制列表和过滤路由的安全配置日志和管理路由器访问安全——物理运行环境的安全性合适的温度和湿度不受电磁干扰使用UPS电源供电等路由器访问安全交互式访问控制风险描述被攻击者利用进行Dos，消耗掉所有的VTYs风险等级高

2、安全措施仅允许的ip地址范围可以利用ipaccess-class限制访问VTY利用exec-timeout命令，配置VTY的超时安全措施存在的风险网管员登录路由器不够灵活使用命令集ipaccess-liststandard1-99(标准列表)linevty04access-class标准列表号inlinevty04exec-timeout时间值路由器访问安全——交互式访问控制使用实例：#仅允许159.226.58.0这一个C的地址、159.226.1.032个地址通过vty登录路由器cisco>enablepassword:输入enable口令cisco#configtcisco（conf

3、ig）#ipaccess-liststandard99#先一个标准控制列表#cisco（config-std-nacl）#permit159.226.58.00.0.0.255cisco（config-std-nacl）#permit159.226.1.00.0.0.31cisco（config-std-nacl）#denyanycisco（config-std-nacl）#exitcisco（config）#linevty04#在虚拟终端应用控制列表#cisco(config-line)#access-class99incisco(config-line)#exec-timeout5#超

4、过5分钟后，无任何操作，就取消该连接会话cisco(config-line)#exitcisco#write#保存配置路由器访问安全本地口令安全配置风险描述加密算法弱的话，口令容易被破解风险等级高安全措施设定一个长口令使用enablesecret命令使用servicepassword-encryption（密码加密服务）安全措施存在的风险使用命令集全局配置enablesecretservicepassword-enacryption路由器访问安全—本地口令安全配置使用实例：#设置一个enable口令，同时启用密码加密服务cisco>enable#没配置特权密码时，输入enable，直接进入

5、特权配置模式#cisco#configtcisco（config）#enablesecret密码cisco（config）#servicepassword-enacryption路由器网络服务安全配置基于TCP和UDP协议的小服务风险描述如echo服务，容易被攻击者利用它来发数据包，好像是路由器本身发送的数据包风险等级中安全措施禁用这些小服务安全措施存在的风险使用命令集全局配置noservicetcp-small-serversnoserviceudp-small-servers路由器网络服务安全配置使用实例：#如果发现在路由器上启用了这些小服务，就可以通过这些命令禁止，一般来说现在的路由

6、器设备和三层交换机都默认不启用这些小服务。cisco>enablepassword:输入enable口令cisco#configtcisco（config）#noservicetcp-small-serverscisco（config）#noserviceudp-small-servers路由器网络服务安全配置Finger、NTP、CDP等服务风险描述Finger服务可能被攻击者利用查找用户和口令攻击。NTP服务，如果没有一个很好的认证，则会影响路由器正确时间，导致日志和其他任务出错。CDP可能被攻击者利用获得路由器的版本等信息，从而进行攻击。风险等级中安全措施禁用Finger和CDP服务

7、如启用NTP服务，需加认证安全措施存在的风险使用命令集noservicefingerntpauthenticatentpauthentication-keynumbermd5keyntptrusted-keynumberntpserveripaddresskeynumbernocdprun（全局配置）nocdpenable（端口配置）路由器网络服务安全配置使用实例：#如路由器启用了finger服务，可用下列命令禁用fin