精品综合久久久久久91,精产国品一二三区别9977

您當前所在位置：首頁 → 網(wǎng)絡安全 → 安全防護 → Cisco路由器安全配置必用的10條命令

Cisco路由器安全配置必用的10條命令 時間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評論(0)

　　當談到配置一臺新的Cisco路由器，多數(shù)配置依賴于路由器的類型以及它將服務的用途。然而，每位管理員都有其自己的"正確"配置每臺路由器的命令列表。筆者將和你分享他自己配置路由器的十條命令列表。

　　當談到配置一臺新的Cisco路由器，多數(shù)配置依賴于路由器的類型以及它將服務的用途。然而，有一些東西是你在每臺新的Cisco路由器上都應該配置的。

　　有哪個命令的標準是你希望思科在每臺路由器上都使用的嗎?每位管理員都其自己的"正確"配置每臺路由器的命令。

　　這是我認為你應該在每臺路由器上都配置的十條命令的列表(沒有特別的順序)。

　　在路由器上配置一個登錄帳戶

　　我強烈建議在路由器和交換機上配置一個真實的用戶名和口令帳號。這樣做，意味著你需要用戶和口令來獲得訪問權。

　　除此之外，我建議為用戶名使用一個秘密口令，而不僅有一個常規(guī)口令。它用MD5加密方法來加密口令，并且大大提高了安全性。舉例如下:

　　Router(config)# username root secret My$Password

　　在配置了用戶名后，你必須啟用使用該用戶名的端口。舉例如下: Router(config)# line con 0

　　Router(config-line)# login local

　　Router(config)# line aux 0

　　Router(config-line)# login local

　　Router(config)# line vty 0 4

　　Router(config-line)# login local

　　在路由器上設置一個主機名

　　我猜測路由器上缺省的主機名是router。你可以保留這個缺省值，路由器同樣可以正常運行。然而，對路由器重新命名并唯一地標識它才有意義。舉例如下:

　　Router(config)# hostname Router-Branch-23

　　除此之外，你可以在路由器上配置一個域名，這樣它就知道所處哪個DNS域中。舉例如下:

　　Router-Branch-23(config)# ip domain name TechRepublic.com

　　為進入特權模式設置口令

　　當談到設置進入特權模式的口令時，許多人想到使用enable password命令。然而，代替使用這個命令，我強烈推薦使用enable secret命令。

　　這個命令用MD5加密方法加密口令，所以提示符不以明文顯示。舉例如下:

　　Router(config)# enable secret My$Password

　　加密路由器口令

　　Cisco路由器缺省情況下在配置中不加密口令。然而，你可以很容易地改變這一點。舉例如下:

　　Router(config)# service password-encryption

#p#副標題#e#

　　禁用Web服務

　　Cisco路由器還在缺省情況下啟用了Web服務，它是一個安全風險。如果你不打算使用它，最好將它關閉。舉例如下:

　　Router(config)# no ip http server

　　配置DNS，或禁用DNS查找

　　讓我們討論Cisco路由器中我個人認為的一個小毛病:缺省情況下，如果在特權模式下誤輸入了一個命令，路由器認為你試圖Telnet到一個遠程主機。然而它對你輸入的內(nèi)容卻執(zhí)行DNS查找。

　　如果你沒有在路由器上配置DNS，命令提示符將掛起直到DNS查找失敗。由于這個原因，我建議使用下面兩個方法中的一個。

　　一個選擇是禁用DNS。做法是:

　　Router(config)# no ip domain-lookup

　　或者，你可以正確地配置DNS指向一臺真實的DNS服務器。

　　Router(config)# ip name-server

　　配置命令別名

　　許多網(wǎng)絡管理員都知道在路由器上配置命令的縮寫(也就是別名)。舉例如下:

　　Router(config)# alias exec s sh run

　　這就是說你現(xiàn)在可以輸入s，而不必輸入完整的show running-configuration命令。

　　設置路由器時鐘，或配置NTP服務器

　　多數(shù)Cisco設備沒有內(nèi)部時鐘。當它們啟動時，它們不知道時間是多少。即使你設置時間，如果你將路由器關閉或重啟，它不會保留該信息。

　　首先設置你的時區(qū)和夏令時。例子如下:

　　Router(config)# clock timezone CST -6

　　Router(config)# clock summer-time CDT recurring

　　然后，為了確保路由器的事件消息顯示正確的時間，設置路由器的時鐘，或者配置一個NTP服務器。設置時鐘的例子如下:

　　Router# clock set 10:54:00 Oct 5 2005

　　如果你已經(jīng)在網(wǎng)絡中有了一個NTP服務器(或可以訪問Internet的路由器)，你可以命令路由器將之作為時間源。這是你最好的選擇，當路由器啟動時，它將通過NTP服務器設置時鐘。舉例如下:

　　Router(config)# ntp server 132.163.4.101

　　不讓日志消息打擾你的配置過程

　　Cisco IOS中另一個我認為的小毛病就是在我配置路由器時，控制臺界面就不斷彈出日志消息(可能是控制臺端口，AUX端口或VTY端口)。要預防這一點，你可以這樣做。

　　所以在每一條端口線路上，我使用日志同步命令。舉例如下:

　　Router(config)# line con 0

　　Router(config-line)# logging synchronous

　　Router(config)# line aux 0

　　Router(config-line)# logging synchronous

　　Router(config)# line vty 0 4

　　Router(config-line)# logging synchronous

　　除此之外，你可以在端口上修改這些端口的執(zhí)行超時時間。例如，我們假設你想禁用VTY線路上默認的十分鐘超時時間。在線路配置模式下使用 exec-timeout 0 0命令，使路由器永不退出。

　　在路由器緩沖區(qū)或系統(tǒng)日志服務器中記錄系統(tǒng)消息

　　捕獲路由器的錯誤和事件以及監(jiān)視控制臺是解決問題的關鍵。默認情況下，路由器不會將緩沖的事件記錄發(fā)送到路由器內(nèi)存中。

　　然而，你可以配置路由器將緩沖的事件記錄發(fā)送到內(nèi)存。舉例如下:

　　Router(config)# logging buffered 16384

　　你還可以將路由器事件發(fā)送到一個系統(tǒng)日志服務器。由于該服務器處在路由器外部，就有一個附加的優(yōu)點:即使路由器斷電也會保留事件記錄。

關鍵詞標簽：Cisco路由器,路由器安

相關閱讀

文章評論

查看所有0條評論>>