Cisco路由器安全配置简易方案
Cisco网络设备安全配置
Cisco⽹络设备安全配置Cisco⽹络设备安全检查和配置列表前⾔：本⽂档简单描述关于Cisco⽹络设备(路由器和交换机)的常规安全配置，旨在提⽰⽤户加强⽹络设备的安全配置。
在开始本⽂档前，有⼏点需要说明：如果条件允许的话，所有的设备都应该采⽤最新的IOS或者COS。
如果能够采⽤静态路由的话，尽量采⽤静态路由；动态路由⽅⾯的安全配置未在本⽂档之内。
⼀、路由器检查列表：□路由器的安全策略是否有备案，核查并且实施□路由器的IOS版本是否是最新□路由的配置⽂件是否有离线备份，并且对备份⽂件的访问有所限制□路由器的配置是否有清晰的说明和描述□路由器的登陆⽤户和密码是否已经配置□密码是否加密，并且使⽤secret密码□ secret密码是否有⾜够的长度和复杂度，难以猜测□通过Console,Aux,vty的访问是否有所限制□不需要的⽹络服务和特性是否已关闭□确实需要的⽹络服务是否已经正确安全的配置□未使⽤的接⼝和vty是否已经配置shutdown□有风险的接⼝服务是否已经禁⽤□⽹络中需要使⽤的协议和端⼝是否标识正确□访问控制列表是否配置正确□访问列表是否禁⽤了Internet保留地址和其他不适当的地址□是否采⽤静态路由□路由协议是否配置了正确的算法□是否启⽤⽇志功能，并且⽇志内容清晰可查□路由器的时间和⽇期是否配置正确□⽇志内容是否保持统⼀的时间和格式□⽇志核查是否符合安全策略⼆、IOS安全配置1、服务最⼩化关闭所有不需要的服务，可以使⽤show proc命令来查看运⾏了那些服务。
通常来说以下服务不需要启动。
Small services (echo, discard, chargen, etc.)- no service tcp-small-servers- no service udp-small-servers_ BOOTP - no ip bootp server_ Finger - no service finger_ HTTP - no ip http server_ SNMP - no snmp-server2、登陆控制Router(config)#line console 0Router(config-line)#password xxxRouter(config-line)#exec-timeout 5 0Router(config-line)#loginRouter(config)#line aux 0Router(config-line)#password xxxRouter(config-line)#exec-timeout 0 10Router(config-line)#loginRouter(config)#line vty 0 4Router(config-line)#password xxxRouter(config-line)#exec-timeout 5 0Router(config-line)#login注：如果路由器⽀持的话，请使⽤ssh替代telnet；3、密码设置Router(config)#service password-encryptionRouter(config)#enable secret4、⽇志功能Central(config)# logging onCentral(config)# logging IP(SYSLOG SERVER)Central(config)# logging bufferedCentral(config)# logging console criticalCentral(config)# logging trap informationalCentral(config)# logging facility local1Router(config)# service timestamps log datetime localtime show-timezone msec5、SNMP的设置Router(config)# no snmp community public roRouter(config)# no snmp community private rwRouter(config)# no access-list 50Router(config)# access-list 50 permit 10.1.1.1Router(config)# snmp community xxx ro 50Router(config)# snmp community yyy rw 50注：xxx,yyy是你需要设置的community string，越是复杂越好，并且两都绝对不能⼀致。
Cisco路由器安全配置基线
Cisco路由器安全配置基线1. 禁用不必要的服务和接口：在路由器上禁用不必要的服务和接口，以减少攻击面和保护设备免受未经授权的访问。
2. 启用密码强度策略：使用复杂的密码策略，包括要求密码包含大小写字母、数字和特殊字符，并定期更改密码。
3. 配置访问控制列表（ACL）：使用ACL来限制对路由器的访问，并确保只有授权的用户可以连接到设备。
4. 启用SSH或HTTPS远程管理：使用安全协议（如SSH或HTTPS）来进行远程管理，以防止攻击者截取数据。
5. 使用加密来保护敏感数据：对于敏感的路由器配置数据，使用加密技术来保护数据的机密性和完整性。
6. 启用入侵检测系统（IDS）和入侵防御系统（IPS）：配置路由器以监控和阻止潜在的入侵行为，并及时发出警报。
7. 定期备份配置文件：定期备份路由器配置文件，以便在发生故障或攻击时能够迅速恢复设备的状态。
8. 更新路由器操作系统：定期检查并安装最新的安全更新和补丁，以修补已知的漏洞和缺陷。
以上是一些常见的路由器安全配置选项，可帮助您提高路由器的安全性，保护设备免受未经授权的访问和攻击。
同时，建议您定期审查和更新安全基线，以保持设备的安全性。
Cisco路由器是组织网络中起着至关重要作用的设备，因此对其进行安全配置是非常重要的。
本文将继续讨论一些进一步的安全配置选项，以确保路由器的安全性。
9. 网络时间协议（NTP）同步：确保路由器与可信赖的NTP服务器同步时间。
准确的时间同步对于加密通讯和安全日志记录非常重要。
10. 登录人数限制：配置路由器限制同时登录的用户数量，可以有效地防止潜在的恶意用户通过多个会话进行攻击。
11. 防止路由器攻击：配置路由器以识别并阻止一些常见的攻击，如SYN洪水攻击、UDP 洪水攻击等。
通过启用合适的保护措施来降低这些攻击对路由器的威胁。
12. 远程访问控制：对于外部连接，使用VPN等安全手段来保护远程管理和访问路由器。
13. 配置寻址和路由安全：使用路由过滤技术（如RA Guard、DHCP Snooping等）来防止地址和路由欺骗。
Cisco路由器的安全配置
重庆永川江津合川双桥万盛南川涪陵长寿潼南铜梁大足荣昌璧山目前大多数的企事业单位和部门连Internet网，通常都是一台路由器与ISP连结实现。
这台路由器就是沟通外部Internet和内部网络的桥梁，如果这台路由器能够合理进行安全设置，那么就可以对内部的网络提供一定安全性或对已有的安全多了一层屏障。
现在大多数的路由器都是Cisco公司的产品或与其功能近似，本文在这里就针对Cisco 路由器的安全配置进行管理。
考虑到路由器的作用和位置，路由器配置的好坏不仅影响本身的安全也影响整个网络的安全。
目前路由器（以Cisco为例）本身也都带有一定的安全功能，如访问列表、加密等，但是在缺省配置时，这些功能大多数都是关闭的。
需要进行手工配置。
怎样的配置才能最大的满足安全的需要，且不降低网络的性能？本文从以下几个部分分别加以说明：一.口令管理口令是路由器是用来防止对于路由器的非授权访问的主要手段，是路由器本身安全的一部分。
最好的口令处理方法是将这些口令保存在TACACS+或RADIUS认证服务器上。
但是几乎每一个路由器都要有一个本地配置口令进行权限访问。
如何维护这部分的安全？1．使用enable secretenable secret命令用于设定具有管理员权限的口令。
并且如果没有enable secret，则当一个口令是为控制台TTY设置的，这个口令也能用于远程访问。
这种情况是不希望的。
还有一点就是老的系统采用的是enable password，虽然功能相似，但是enable password采用的加密算法比较弱。
2．使用service password-encryption这条命令用于对存储在配置文件中的所有口令和类似数据（如CHAP）进行加密。
避免重庆永川江津合川双桥万盛南川涪陵长寿潼南铜梁大足荣昌璧山当配置文件被不怀好意者看见，从而获得这些数据的明文。
但是service password-encrypation 的加密算法是一个简单的维吉尼亚加密，很容易被破译。
cisco路由器配置及维护手册
cisco路由器配置及维护手册作者：pixfire一、路由器简单配置1. 用串行电缆将PC机串口与路由器CONSOLE口连接，用WIN95的超级终端或NETTERM 软件进行配置。
PC机串口设置为波特率9600 数据位8 停止位1。
2. 新出厂的路由器启动后会进入自动配置状态。
可按提示对相应端口进行配置。
3 . 命令行状态。
若不采用自动配置，可在自动配置完成后，题问是否采用以上配置时，回答N。
此时进入命令行状态。
4 进入CONFIG模式。
在router>键入enable , 进入router # ,再键入config t ,进入router(config)# 。
5 配置广域端口。
在正确连接好与E1端口的电缆线后，在router # 下键入sh controller cbus 。
检验端口物理特性，及连线是否正确。
之后，进入config模式。
进行以下配置。
int serial <端口号> E1端口号。
ip address <ip地址> <掩码> 广域网地址bandwidth 2000 传输带宽clock source line 时钟设定。
6 检验配置。
设置完成后，按ctrl Z退出配置状态。
键入write mem 保存配置。
用sh conf 检查配置信息。
用sh int 检查端口状态。
二、路由器常用命令2.1 Exec commands:<1-99>恢复一个会话bfe手工应急模式设置clear复位功能clock管理系统时钟configure进入设置模式connect打开一个终端copy从tftp服务器拷贝设置文件或把设置文件拷贝到tftp服务器上debug调试功能disable退出优先命令状态disconnect断开一个网络连接enable进入优先命令状态erase擦除快闪内存exit退出exce模式help交互帮助系统的描述lat打开一个本地传输连接lock锁定终端login以一个用户名登录logout退出终端mbranch向树形下端分支跟踪多路由广播mrbranch向树形上端分支跟踪反向多路由广播name-connection给一个存在的网络连接命名no关闭调试功能。
思科路由配置
思科路由配置1. 概述路由器是网络中最基本和关键的设备之一，用于将数据包从源地址转发到目标地址。
思科路由器是市场上最常见和广泛使用的路由器品牌之一。
本文将为您提供有关思科路由器配置的详细指南。
我们将涵盖从基本的硬件设置到路由器软件配置的各个方面。
2. 硬件设置首先，我们需要确保正确设置并连接路由器的硬件。
以下是一些重要的硬件设置步骤：a. 将路由器连接到电源并确保电源线连接良好。
b. 将一端连接到路由器的WAN（广域网）端口，将另一端连接到您的互联网服务提供商（ISP）提供的调制解调器。
c. 使用以太网电缆将计算机连接到路由器的LAN（局域网）端口。
d. 确保所有连接都安全可靠，并检查LED指示灯以确保设备未出现故障。
3. 访问路由器一旦硬件设置完成，我们需要访问路由器的管理界面来进行进一步的配置。
按照以下步骤访问路由器：a. 打开您喜欢的Web浏览器（如Chrome，Firefox等）。
b. 在浏览器的地址栏中输入默认网关地址。
默认网关通常是路由器的IP地址，默认为192.168.1.1或192.168.0.1。
c. 按下回车键后，将显示一个登录界面。
根据您的路由器型号和设置，您可能需要输入用户名和密码。
d. 输入正确的用户名和密码，或者使用路由器的默认凭据。
如果您不确定，请查看路由器的用户手册或咨询您的ISP。
4. 基本配置一旦成功登录到路由器的管理界面，我们可以进行基本的配置。
以下是一些常见的基本配置设置：a. 更改管理员密码：为了保护路由器免受未经授权的访问，我们应该更改默认的管理员密码。
b. 设置无线网络：如果您的路由器具有无线功能，您可以设置无线网络名称（SSID）和密码来保护您的无线网络。
c. 配置LAN设置：您可以更改路由器的LAN IP地址，子网掩码和DHCP服务器设置。
5. 路由配置路由配置是路由器最重要的功能之一。
在这一步中，我们可以配置路由器来将数据包转发到不同的网络。
以下是一些常见的路由配置步骤：a. 配置静态路由：如果您的网络中有几个子网，并且您希望路由器知道如何将数据包转发到每个子网，请配置静态路由。
Cisco路由器交换机安全配置
Cisco路由器交换机安全配置1. DDOS攻击2. 非法授权访咨询攻击。
口令过于简单，口令长期不变，口令明文创送，缺乏强认证机制。
….利用Cisco Router和Switch能够有效防止上述攻击。
二、爱护路由器2.1 防止来自其它各省、市用户Ddos攻击最大的威逼：Ddos, hacker操纵其他主机，共同向Router访咨询提供的某种服务，导致Router利用率升高。
如SMURF DDOS 攻击确实是用最简单的命令ping做到的。
利用IP 地址欺诈，结合ping就能够实现DDOS攻击。
防范措施：应关闭某些缺省状态下开启的服务，以节约内存并防止安全破坏行为/攻击以上均差不多配置。
防止ICMP-flooging攻击以上均差不多配置。
除非在专门要求情形下，应关闭源路由:Router(config-t)#no ip source-route以上均差不多配置。
禁止用CDP发觉邻近的cisco设备、型号和软件版本如果使用works2000网管软件，则不需要此项操作此项未配置。
使用CEF转发算法，防止小包利用fast cache转发算法带来的Router 内存耗尽、CPU利用率升高。
Router(config-t)#ip cef2.2 防止非法授权访咨询通过单向算法对“enable secret”密码进行加密应该操纵到VTY的接入，不应使之处于打开状态;Console应仅作为最后的治理手段:2.3三、爱护网络3.1防止IP地址欺诈黑客经常冒充地税局内部网IP地址，获得一定的访咨询权限。
在省地税局和各地市的W AN Router上配置：防止IP地址欺诈--使用基于unicast RPF(逆向路径转发)包发送到某个接口，检查包的IP地址是否与CEF表中到达此IP地址的最佳路由是从此接口转发，若是，转发，否则，丢弃。
注意：通过log日志能够看到内部网络中哪些用户试图进行IP地址欺诈。
此项已配置。
防止IP地址欺诈配置访咨询列表防止外部进行对内部进行IP地址防止内部对外部进行IP地址欺诈四、爱护服务器关于地税局内部的某些Server,如果它不向各地提供服务能够在总局核心Cisco Router上配置空路由。
思科路由器安全配置规范
思科路由器安全配置规范1. 前言路由器是网络安全的重要组成部分。
随着技术的不断进步，路由器的功能越来越多，但同时也给网络安全带来了更多的威胁。
为了保证网络的安全性，我们需要对路由器进行安全配置。
本文将介绍如何对思科路由器进行安全配置。
2. 密码设置2.1 登录密码登录密码是路由器安全性的第一道防线。
默认的密码较为简单，容易被入侵者破解。
建议初始化路由器时立即修改密码，并定期更改以提高安全性。
密码应该具有一定的复杂性，包含字母、数字和特殊符号，长度不少于8位。
2.2 特权密码特权密码用于进入特权模式，对路由器进行更改。
特权密码的复杂性等级应该和登录密码相同，长度不少于8位。
2.3 SNMP密码SNMP（简单网络管理协议）是一种用于管理网络设备的协议。
如果SNMP未加密传输，则其他人有可能获取到SNMP密码。
因此，建议将SNMP密码加密，并定期更改。
3. 端口安全路由器提供了很多端口，每个端口都具有一定的安全风险。
因此，对端口进行安全配置至关重要。
3.1 关闭不必要的端口有些端口由于功能不需要或者安全风险较大，建议关闭。
比如，路由器的Telnet端口，建议关闭，使用SSH代替。
3.2 使用ACL过滤ACL（访问控制列表）是一种机制，用于限制流入路由器的数据。
路由器的ACL功能非常强大，可以使用多种方式限制数据流，以保护网络安全。
4. 协议安全4.1 SSH代替TelnetSSH是一个安全的协议，可以取代不安全的Telnet。
使用SSH代替Telnet可以保护路由器的安全。
4.2 HTTPS代替HTTPHTTPS（超文本传输安全协议）是HTTP的安全版本。
使用HTTPS可以确保数据传输的安全性。
5. 系统安全5.1 定期备份定期备份路由器配置文件可以保证在路由器出现问题时，数据不会全部丢失。
建议至少每周备份一次。
5.2 版本管理定期检查路由器的固件版本，并根据需要进行更新。
更新路由器固件可以解决一些已知漏洞，提高安全性。
Cisco路由器安全配置方案
Cisco路由器安全配置方案一、路由器网络服务安全配置1禁止CDP(CiscoDiscoveryProtocol)。
如：Router(Config)#nocdprunRouter(Config-if)#nocdpenable2禁止其他的TCP、UDPSmall服务。
Router(Config)#noservicetcp-small-serversRouter(Config)#noserviceudp-samll-servers3禁止Finger服务。
Router(Config)#noipfingerRouter(Config)#noservicefinger4建议禁止HTTP服务。
Router(Config)#noiphttpserver如果启用了HTTP服务则需要对其进行安全配置：设置用户名和密码；采用访问列表进行控制。
5禁止BOOTp服务。
Router(Config)#noipbootpserver6禁止IPSourceRouting。
Router(Config)#noipsource-route7建议如果不需要ARP-Proxy服务则禁止它，路由器默认识开启的。
Router(Config)#noipproxy-arpRouter(Config-if)#noipproxy-arp8禁止IPDirectedBroadcast。
Router(Config)#noipdirected-broadcast9禁止IPClassless。
Router(Config)#noipclassless10禁止ICMP协议的IPUnreachables,Redirects,MaskReplies。
Router(Config-if)#noipunreacheablesRouter(Config-if)#noipredirectsRouter(Config-if)#noipmask-reply11建议禁止SNMP协议服务。
思科路由器配置教程
引言概述：在现代网络中，路由器是连接计算机网络的关键设备之一。
其中思科路由器是业界认可的品牌，并且广泛应用于企业和家庭网络中。
本文将详细介绍如何配置思科路由器，帮助读者了解和掌握路由器配置的基本知识和技巧。
正文内容：一、连接路由器1.检查硬件连接：确保所有线缆正确插入路由器和计算机的相应端口。
2.配置本地网络：通过计算机的网络设置，将本地IP地质和子网掩码设置为与路由器相同的网段。
二、路由器基本设置1.登录路由器：通过输入默认的IP地质（一般为192.168.1.1或192.168.0.1）在浏览器中访问路由器的登录页面，输入管理员用户名和密码。
2.修改管理员密码：为了增加路由器的安全性，第一次登录时应该修改管理员密码。
3.更新路由器固件：使用最新的路由器固件可以提供更好的性能和安全性。
4.配置时间和日期：确保路由器的时间和日期正确，这对于日志记录和网络安全非常重要。
三、WAN设置1.配置接入类型：根据网络服务提供商的要求，选择正确的接入类型，例如DHCP、静态IP等。
2.配置PPPoE连接：如果使用PPPoE方式拨号上网，需要输入提供商提供的用户名和密码进行配置。
3.配置动态DNS：如果需要使用动态DNS功能，可以在此处输入相应的信息。
四、LAN设置1.设置局域网IP地质：为路由器设置一个唯一的IP地质，在同一网段内没有重复的IP。
2.配置DHCP服务器：启用DHCP服务器功能，为连接到路由器的设备动态分配IP地质。
3.设置无线网络：为无线网络设置SSID和安全密码，并配置其他相关选项，如频段、通道等。
五、高级设置1.配置端口转发：如果需要将外部访问域名映射到内部服务器，可以在此处进行端口转发配置。
2.配置虚拟专用网络（VPN）：为用户提供远程访问网络的安全通道。
3.设置防火墙规则：根据网络需求设置适当的防火墙规则来保护网络安全。
4.配置质量服务（QoS）：可以通过设置QoS规则提高特定应用程序或设备的网络性能。
cisco路由器设置教程
cisco路由器设置教程Cisco路由器是一种可用于构建企业网络的重要设备，它提供了将网络连接起来的功能。
在开始使用Cisco路由器之前，您需要进行一些基本的设置。
以下是一个简单的Cisco路由器设置教程，以帮助您完成这些步骤。
1. 连接路由器：首先，将您的计算机与路由器连接。
您可以通过以太网线连接计算机的网络接口卡（NIC）和路由器上的LAN口。
确保连接稳固。
2. 进入路由器配置界面：打开您的计算机上的任意浏览器，并输入路由器的默认IP 地址（通常是192.168.1.1或192.168.0.1）到浏览器的地址栏中。
按下Enter键。
3. 输入用户名和密码：如果您是第一次访问路由器，并且未进行过任何设置更改，则默认的用户名和密码通常是“admin”。
输入这些信息以登录到路由器的配置界面。
4. 创建登录密码：接下来，您将被要求创建一个新的登录密码。
这是为了保护您的路由器免受未经授权的访问。
选择一个强密码，并确保牢记它。
5. 配置无线网络：如果您计划设置无线网络，您需要在配置界面中选择相应的选项。
您可以设置无线网络的名称（也称为SSID），选择加密类型（如WPA2），并设置密码来保护无线网络免受非法访问。
6. 配置网络地址转换（NAT）：NAT允许多台设备使用同一个外部IP地址连接到互联网。
您可以在路由器配置界面中启用NAT，并设置端口转发规则以允许特定的服务进入您的网络。
7. 设置DHCP服务（可选）：DHCP服务可以自动分配IP地址给连接到路由器的设备，并配置其他网络设置。
您可以在路由器配置界面中启用DHCP 服务，并设置IP地址范围和其他参数。
8. 保存和应用配置：在完成所有设置后，务必保存配置更改。
在路由器配置界面中，选择“保存”或“应用”选项，以确保您的设置生效。
以上是一个简单的Cisco路由器设置教程，帮助您完成基本的路由器设置。
请注意，每个Cisco路由器型号及软件版本可能会有所不同，因此某些步骤可能会略有不同。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一,路由器访问控制的安全配置1,严格控制可以访问路由器的管理员。
任何一次维护都需要记录备案。
2,建议不要远程访问路由器。
即使需要远程访问路由器，建议使用访问控制列表和高强度的密码控制。
3,严格控制CON端口的访问。
具体的措施有:4,如果不使用AUX端口，则禁止这个端口。
默认是未被启用。
禁止如:5,建议采用权限分级策略。
如:6,为特权模式的进入设置强壮的密码。
不要采用enable password设置密码。
而要采用enable secret命令设置。
并且要启用Service password-encryption。
7,控制对VTY的访问。
如果不需要远程访问则禁止它。
如果需要则一定要设置强壮的密码。
由于VTY在网络的传输过程中为，所以需要对其进行严格的控制。
如:设置强壮的密码;控制连接的并发数目;采用访问列表严格控制访问的地址;可以采用AAA设置用户的访问控制等。
8,IOS的升级和备份，以及配置文件的备份建议使用FTP代替TFTP。
如:9,及时的升级和修补IOS软件。
二,路由器网络服务安全配置Router(Config)#no cdp runRouter(Config-if)# no cdp enable2,禁止其他的TCP、UDP Small服务。
Router(Config)# no service tcp-small-servers Router(Config)# no service udp-samll-servers3,禁止Finger服务。
Router(Config)# no ip fingerRouter(Config)# no service finger4,建议禁止HTTP服务。
Router(Config)# no ip http server如果启用了HTTP服务则需要对其进行安全配置:设置用户名和密码;采用访问列表进行控制。
如:Router(Config)# username BluShin privilege 10G00dPa55w0rdRouter(Config)# ip http auth localRouter(Config)# no access-list 10Router(Config)# access-list 10 permit 192.168.0.1 Router(Config)# access-list 10 deny anyRouter(Config)# ip http access-class 10Router(Config)# ip http serverRouter(Config)# exit5,禁止BOOTp服务。
Router(Config)# no ip bootp server禁止从网络启动和自动从网络下载初始配置文件。
Router(Config)# no boot networkRouter(Config)# no servic config6,禁止IP Source Routing。
Router(Config)# no ip source-route7,建议如果不需要ARP-Proxy服务则禁止它，路由器默认识开启的。
Router(Config)# no ip proxy-arpRouter(Config-if)# no ip proxy-arp8,明确的禁止IP Directed Broadcast。
Router(Config)# no ip directed-broadcast9,禁止IP Classless。
Router(Config)# no ip classless10,禁止ICMP协议的IP Unreachables,Redirects,Mask Replies。
Router(Config-if)# no ip unreacheablesRouter(Config-if)# no ip redirectsRouter(Config-if)# no ip mask-reply11,建议禁止SNMP协议服务。
在禁止时必须删除一些SNMP 服务的默认配置。
或者需要访问列表来过滤。
如:Router(Config)# no snmp-server community public RoRouter(Config)# no snmp-server community admin RWRouter(Config)# no access-list 70三,路由器路由协议安全配置(责任编辑2,启用OSPF路由协议的认证。
默认的OSPF认证密码是明文传输的，建议启用MD5认证。
并设置一定强度密钥(key,相对的路由器必须有相同的Key)。
Router(Config)# router ospf 100Router(Config-router)# network 192.168.100.00.0.0.255 area 100! 启用MD5认证。
! area area-id authentication 启用认证，是明文密码认证。
!area area-id authentication message-digestRouter(Config-router)# area 100 authentication message-digestRouter(Config)# exitRouter(Config)# interface eth0/1!启用MD5密钥Key为routerospfkey。
!ip ospf authentication-key key 启用认证密钥，但会是明文传输。
!ip ospf message-digest-key key-id(1-255) md5 keyRouter(Config-if)# ip ospf message-digest-key 1 md5 routerospfkey3,RIP协议的认证。
只有RIP-V2支持，RIP-1不支持。
建议启用RIP-V2。
并且采用MD5认证。
普通认证同样是明文传输的。
Router(Config)# config terminal! 启用设置密钥链Router(Config)# key chain mykeychainnameRouter(Config-keychain)# key 1!设置密钥字串Router(Config-leychain-key)# key-string MyFirstKeyStringRouter(Config-keyschain)# key 2Router(Config-keychain-key)# key-string MySecondKeyString!启用RIP-V2Router(Config)# router ripRouter(Config-router)# version 2Router(Config-router)# network 192.168.100.0Router(Config)# interface eth0/1! 采用MD5模式认证，并选择已配置的密钥链Router(Config-if)# ip rip authentication mode md5Router(Config-if)# ip rip anthentication key-chain mykeychainname4,启用passive-interface命令可以禁用一些不需要接收和转发路由信息的端口。
建议对于不需要路由的端口，启用passive-interface。
但是，在RIP协议是只是禁止转发路由信息，并没有禁止接收。
在OSPF协议中是禁止转发和接收路由信息。
! Rip中，禁止端口0/3转发路由信息Router(Config)# router RipRouter(Config-router)# passive-interface eth0/3!OSPF中，禁止端口0/3接收和转发路由信息Router(Config)# router ospf 100Router(Config-router)# passive-interface eth0/35,启用访问列表过滤一些垃圾和恶意路由信息,控制网络的垃圾信息流。
Router(Config)# access-list 10 deny 192.168.1.0 0.0.0.255Router(Config)# access-list 10 permit any! 禁止路由器接收更新192.168.1.0网络的路由信息Router(Config)# router ospf 100Router(Config-router)# distribute-list 10 in!禁止路由器转发传播192.168.1.0网络的路由信息Router(Config)# router ospf 100Router(Config-router)# distribute-list 10 out6,建议启用IP Unicast Reverse-Path Verification。
它能够检查源IP地址的准确性，从而可以防止一定的IP Spooling。
但是它只能在启用CEF(Cisco Express Forwarding)的路由器上使用。
Router# config t! 启用CEFRouter(Config)# ip cef!启用Unicast Reverse-Path VerificationRouter(Config)# interface eth0/1Router(Config)# ip verify unicast reverse-path四,路由器其他安全配置1,及时的升级IOS软件，并且要迅速的为IOS安装补丁。
2,要严格认真的为IOS作安全备份。
3,要为路由器的配置文件作安全备份。
4,购买UPS设备，或者至少要有冗余电源。
5,要有完备的路由器的安全访问和维护记录日志。
6,要严格设置登录Banner。
必须包含非授权用户禁止登录的字样。
7, IP欺骗得简单防护。
如过滤非公有地址访问内部网络。
过滤自己内部网络地址;回环地址(127.0.0.0/8);RFC1918私有地址;DHCP自定义地址(169.254.0.0/16);科学文档作者测试用地址(192.0.2.0/24);不用的组播地址(224.0.0.0/4);SUN公司的古老的测试地址(20.20.20.0/24;204.152.64.0/23);全网络地址(0.0.0.0/8)。
Router(Config)# access-list 100 deny ip 192.168.0.0 0.0.0.255 any logRouter(Config)# access-list 100 deny ip 127.0.0.0 0.255.255.255 any logRouter(Config)# access-list 100 deny ip 192.168.0.0 0.0.255.255 any logRouter(Config)# access-list 100 deny ip 172.16.0.0 0.15.255.255 any logRouter(Config)# access-list 100 deny ip 10.0.0.0 0.255.255.255 any log。