企业路由器的安全设置

企业路由器的安全设置

2008年3月3日

 

企业路由器是企业局域网连接外网的闸门，一切数据都要在这里进出，如何设置才能保证他的安全？（以CISCO路由器为例）

1、 关闭HTTP设置：

http实用的身份识别协议是不需要加密验证的，远程管理路由器最好不用HTTP协议

关闭该协议：

# no ip http server

2、 关闭SNMP或者合理设置SNMP：

# no snmp-server

用安全的方法在路由器上配置SNMP

       # snmp-server community 5xxxxx RO 98

       # Snmp-servertrap-source loopback

       # Snmp-server trap-authencation

       # Snmp-server enable traps config

       # Snmp-server host 220.201.120.x 5xxxxx

#

#access-list 98 permit host 10.161.19x.x

3、 禁用TELNET或定向TELNET配置：

# line vty 0 4

# transport input telnet

# service tcp-keepalives-in

# service tcp-keepalives-out

# line vty 4

# access-class 6 in

# access-list 6 permit host 10.161.19x.x

# access-list 6 deny any log

4、 升级路由器操作系统：

Tftp ftp 均可，升级前要做好备份。

5、 禁用ICMP协议：

# (config)#access-list 110 deny icmp any any echo log
# (config)#access-list 110 deny icmp any any echo-reply log
# (config)#access-list 110 permit ip any any
# (config-if)#ip access-group 110
还要应用一下
#swtich#int ser0/1
#switch#ip access-group 110 in

默认情况下，路由器发送ICMP重定向，可以使用接口命令禁用icmp重定向。

# no ip redirects

6、 禁用IP源路由：

能够用于破坏正常路由协议的工作，给攻击者一个优势，明智的选择是关掉它。

# int s0

# no ip source-route

7、 关闭不必要的服务：

Tcp小型服务：echo 、chargen、discard、daytime

Udp小型服务：echo、chargen、discard

命令格式：

# no service tcp-small-serv

# no service udp-small-serv

 

# no ipfinger

# no service finger

 

# no ip bootp-server

 

# no ip dhcp-server

 

# no boot network

# no service config

 

# no cdp running (全局)

# no cdp enable (在一个接口上)

 

# ntp disable (在一个接口上)