ccna security笔记

《ccna security笔记》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、CCNASECURITY笔记A）命令级别：a).Privilegeexeclevel1clearline*privilegeconfigurealllevel5router”all”就是把全局配置模式下的router这个命令下面的所有命令给于5级别。如果不加all，则只有router后面的命令在5级别可以使用。意思是把原来exec下面的【包括#和>下面的，不论是原来是什么级别的命令clearline*】移动到1级别去。将高级别的命令放到级别的时候也要有先后顺序的：比如：你要把router这个命令放到level1下面去，但是你没有把confi

2、gureterminal放过去，你是看不到router命令的。因为路由器觉得router是在全名模式下的命令，你必须要进入全局模式下才可以敲入router.如下图：R1(config)>routerR1(config)>routeros1R1(config-router)>network192.168.1.10.0.0.0a0虽然进入到全名模式也是>这个符号，但是也要进入这种全局模式。才有router命令。b).View命令集:将命令做成一集合，然后授权给某个用户使用。控制力度更强。则此用户只能使用此命令集中的命令。Rootview比15级

3、别更强Aaanew-modeEablesecretwang/enblepasswang配置进入到rootview下面的密码Rootview可以创建删除VIEW,但是15级别不可以。Enableview(进入rootview)Parserviewyuan(创建一个view)Secretyeslabccies配置yuan这个子view下面的密码Commandsexecincludeshowversion使用本地数据库绑定VIEW先去掉aaanew-model只是为了演示，其实一般都是用AAA做VIEW的授权Useryuanpasswordyua

4、nUseryuanviewyuanB)CISCO路由器的加密级别0,5,6,70是不加密5是MD56是在做VPN的时候加密的6:keyconfig-keypassword-encryptwang1245passworencryptionaescryptiskmapkey0yuanadd192.168.1.1最后变成：cryptoisakmpkey6ZFSNVVKfdcfcBKKBLZWDgVXGDaddress192.168.1.17是开启了servicepassword-encrytionC)chatper认证不能够使用enables

5、ecret加密1.securitypasswordsmin-length2.noservicepassword-recovery【让你无法找回running-config】就是让用户在重启的时候无法进入ROMMON下面中破解密码。3.priviligeexeclevel1clearline在ISR路由器上面有效保护IOS和configure的安全。secureboot-image[加密保护隐藏IOS]secureboot-config【加密备份配置】只有CONSOLE进入才可以no掉。6.loginblock-for10sattempt10

6、within10s(10S内联系登入10次，在10S内谁都不可以登入了)loginon-failurelogevery10(log和trap的区别，貌似有LOG就不可以有TRAP）logindelay2loginquiet-modeaccess-classadmin（由于第一句话在10S内谁都不可以登入了，将管理员IP地址例外）ipaccess-liststandardadminpermit192.1681.1permit192.168.1.00.0.0.2558.rommon>bootIOSrouter#secureboot-config

7、restoreflash:/secure.cfgrouter#copyflash:/secure.cfgrunning-config9.console口默认是nologin的10.在做8O21.X和AUTH-PROXY只能使用AAAauthenticationdefaultgroupradius,不能使用命名的策略。11.tcp的小服务（servicetcp-small)，可以做TCP的PING，对方时间回显，字符回来等，客户端踢掉ctrl+shift+6,x.服务器端踢 掉cleartcptcb回话号（showtcpbrife)。12.主

8、机算不算是有路由能力的设备。routeprint可以看见主机的路由表，但是不设置网关也可以上网。对于主机，如果网关的代理ARP关闭了，而且又不配网关，那么主机去往任何的非同以网段