Cisco路由器交换机的常规安全配置模版

Cisco路由器和交换机的安全配置模板一、设备命名规范为统一网络设备命名，方便今后网络项目实施和运维管理，拟对网络设备进行统一命名，详细命名规则如下：设备名称组成部分网络系统中具体一台设备的命名由如下五个部分组成：Hostname: AABBCCDDEEAA：表示各分行的地区名称简写，如：上海：SHBB：表示功能区域名称CC：表示设备所在的网络层次DD：表示设备类型EE：表示设备的序列号，01表示第一台，02为第二台。

设备名称中的英文字母全部采用大写，各部分之间使用下划线连接。

每个字母具体范围如下：各分行地区名称如下表示（AA）：功能区域或地域名称规则表如下所示（BB）：网络设备所在层命名规则表如下所示（CC）：网络设备类型命名规则表如下所示（DD）：网络设备序列号编号规则表如下所示(EE)：二、路由器配置一,路由器访问控制的安全配置1,严格控制可以访问路由器的管理员。

任何一次维护都需要记录备案。

2,建议不要远程访问路由器。

即使需要远程访问路由器，建议使用访问控制列表和高强度的密码控制。

3,严格控制CON端口的访问。

具体的措施有：A,如果可以开机箱的，则可以切断与CON口互联的物理线路。

B,可以改变默认的连接属性，例如修改波特率(默认是96000，可以改为其他的)。

C,配合使用访问控制列表控制对CON口的访问。

如：Router(Config)#Access-list 1 permit 192.168.0.1Router(Config)#line con 0Router(Config-line)#Transport input noneRouter(Config-line)#Login localRouter(Config-line)#Exec-timeoute 5 0Router(Config-line)#access-class 1 inRouter(Config-line)#endD,给CON口设置高强度的密码。

4,如果不使用AUX端口，则禁止这个端口。

默认是未被启用。

禁止如：Router(Config)#line aux 0Router(Config-line)#transport input noneRouter(Config-line)#no exec5,建议采用权限分级策略。

如：Router(Config)#username lanstar privilege 10 lanstarRouter(Config)#privilege EXEC level 10 telnetRouter(Config)#privilege EXEC level 10 show ip access-list6,为特权模式的进入设置强壮的密码。

不要采用enable password设置密码。

而要采用enable secret命令设置。

并且要启用Service password-encryption。

7,控制对VTY的访问。

如果不需要远程访问则禁止它。

如果需要则一定要设置强壮的密码。

由于VTY在网络的传输过程中为加密，所以需要对其进行严格的控制。

如：设置强壮的密码；控制连接的并发数目；采用访问列表严格控制访问的地址；可以采用AAA设置用户的访问控制等。

8,IOS的升级和备份，以及配置文件的备份建议使用FTP代替TFTP。

如：Router(Config)#ip ftp username lanstarRouter(Config)#ip ftp password lanstarRouter#copy startup-config ftp:9,及时的升级和修补IOS软件。

二,路由器网络服务安全配置1,禁止CDP(Cisco Discovery Protocol)。

如：Router(Config)#no cdp runRouter(Config-if)# no cdp enable2,禁止其他的TCP、UDP Small服务。

Router(Config)# no service tcp-small-serversRouter(Config)# no service udp-samll-servers3,禁止Finger服务。

Router(Config)# no ip fingerRouter(Config)# no service finger4,建议禁止HTTP服务。

Router(Config)# no ip http server如果启用了HTTP服务则需要对其进行安全配置：设置用户名和密码；采用访问列表进行控制。

如：Router(Config)# username lanstar privilege 10 lanstarRouter(Config)# ip http auth localRouter(Config)# no access-list 10Router(Config)# access-list 10 permit 192.168.0.1Router(Config)# access-list 10 deny anyRouter(Config)# ip http access-class 10Router(Config)# ip http serverRouter(Config)# exit5,禁止BOOTp服务。

Router(Config)# no ip bootp server禁止从网络启动和自动从网络下载初始配置文件。

Router(Config)# no boot networkRouter(Config)# no servic config6,禁止IP Source Routing。

Router(Config)# no ip source-route7,建议如果不需要ARP-Proxy服务则禁止它，路由器默认识开启的。

Router(Config)# no ip proxy-arpRouter(Config-if)# no ip proxy-arp8,明确的禁止IP Directed Broadcast。

Router(Config)# no ip directed-broadcast9,禁止IP Classless。

Router(Config)# no ip classless10,禁止ICMP协议的IP Unreachables,Redirects,Mask Replies。

Router(Config-if)# no ip unreacheablesRouter(Config-if)# no ip redirectsRouter(Config-if)# no ip mask-reply11,建议禁止SNMP协议服务。

在禁止时必须删除一些SNMP服务的默认配置。

或者需要访问列表来过滤。

如：Router(Config)# no snmp-server community public RoRouter(Config)# no snmp-server community admin RWRouter(Config)# no access-list 70Router(Config)# access-list 70 deny anyRouter(Config)# snmp-server community MoreHardPublic Ro 70Router(Config)# no snmp-server enable trapsRouter(Config)# no snmp-server system-shutdownRouter(Config)# no snmp-server trap-anthRouter(Config)# no snmp-serverRouter(Config)# end12,如果没必要则禁止WINS和DNS服务。

Router(Config)# no ip domain-lookup如果需要则需要配置：Router(Config)# hostname RouterRouter(Config)# ip name-server 202.96.209.513,明确禁止不使用的端口。

Router(Config)# interface eth0/3Router(Config)# shutdown三,路由器路由协议安全配置1,首先禁止默认启用的ARP-Proxy，它容易引起路由表的混乱。

Router(Config)# no ip proxy-arp 或者Router(Config-if)# no ip proxy-arp2,启用OSPF路由协议的认证。

默认的OSPF认证密码是明文传输的，建议启用MD5认证。

并设置一定强度密钥(key,相对的路由器必须有相同的Key)。

Router(Config)# router ospf 100Router(Config-router)# network 192.168.100.0 0.0.0.255 area 100! 启用MD5认证。

! area area-id authentication 启用认证，是明文密码认证。

！area area-id authentication message-digestRouter(Config-router)# area 100 authentication message-digestRouter(Config)# exitRouter(Config)# interface eth0/1！启用MD5密钥Key为routerospfkey。

！ip ospf authentication-key key 启用认证密钥，但会是明文传输。

！ip ospf message-digest-key key-id(1-255) md5 keyRouter(Config-if)# ip ospf message-digest-key 1 md5 routerospfkey3,RIP协议的认证。

只有RIP-V2支持，RIP-1不支持。

建议启用RIP-V2。

并且采用MD5认证。

普通认证同样是明文传输的。

Router(Config)# config terminal! 启用设置密钥链Router(Config)# key chain mykeychainnameRouter(Config-keychain)# key 1！设置密钥字串Router(Config-leychain-key)# key-string MyFirstKeyStringRouter(Config-keyschain)# key 2Router(Config-keychain-key)# key-string MySecondKeyString！启用RIP-V2Router(Config)# router ripRouter(Config-router)# version 2Router(Config-router)# network 192.168.100.0Router(Config)# interface eth0/1! 采用MD5模式认证，并选择已配置的密钥链Router(Config-if)# ip rip authentication mode md5Router(Config-if)# ip rip anthentication key-chain mykeychainname4,启用passive-interface命令可以禁用一些不需要接收和转发路由信息的端口。