IOS-login----安全知识分享

IOS login安全

一、

IOS安全特性

Stateful firewall

Intrusion prevention system

Vpn routing and forwarding-aware(vrf-aware)firewall

Virtual private nerworks

二、

ISR的增强特性，它能够支持以下特点：

Integrated vpn acceleration

Dedicated voice hardware

Advanced integration modules

Usb port

同时，ISR还支持的其他扩展模块

Wan connectivity network modules（广域网模块）

Cisco HWIC-AP（无线模块）

Cisco IDS network module（硬件IPS模块）

Cisco content engineg ( web cache )

Analysis module（网络分析模块）

三、

路由器登陆管理方式

Console 直接通过终端连接（常用）

Aus 通过电话网络，拨到modem，然后反向telnet到router进行远程网管（少

用）

Vty 通过虚拟终端telnet 远程网管

四、

Cisco对密码的建议

密码最短长度为10个字符

复杂性要求

密码不能在字典中找打

周期性更新密码

五、

三种密码类型以及相关配置命令

Enable secret （MD5 hash不可逆加密技术）

Enable password （向前兼容，可能版本太旧了，无法支持MD5加密技术） Vty password （telnet or ssh connection）

service password-encryption （思科私有算法，实现enable password的乱码加密，但是不安全，很容易破解的，它只是防止别人在旁边偷看到密码而已） No service password-recovery（做密码恢复的时候配置全部丢失，无法找到原先的所有配置，所以这个命令建议大家不要使用）

本地用户名数据库配置---usename xxx password/secret xxx

最短密码长度限制---security passwords min-length 6 （至少配置6个密码

字符）

设置登陆超时时间---exec-timeout 2 30 （表示2分30秒不动就自动跳出来）

六、

privilege命令介绍

cisco 级别介绍---总共有0~15级（16个级别），分为三个部分；第一部分为0级（包含5个命令）、第二部分为1级（包含40多个命令）、第三部分为2~15

级（包含N个命令）

privilege命令作用和特点----把命令从一个级别抠出来送到另外一个级别

privilege配置实例---举个例子

1）clear line 1（清除线路1，把别人踢出去，结果显示你敲的命令无效，要知道，清线的命令是15级的，现在你得把这个命令抠出来放到1级的位置，那么你在1级的位置，也就是用户模式下就可以使命令生效了）

2）privilege exec level 1 clear line （意思是把clear line这个15级别的命令抠出来放到1级的位置，那么你在1级的位置就使得命令生效，以实现清

线）

七、

Role-based CLI views （基于角色的CLI命令）

它类似于privilege，但是该技术能够更加细度的控制用户所打的命令，起配置

步骤如下：

1）aaa new-model （全局配置模式下激活AAA）

2）enable secret

（配置加密密码命令，只有加密才有权利进入root view）

3）enable view

（进入root view模式）

4）配置view “test”

R(config)#parser view test (命名)

R(config-view)#secret xxx(加密)

R(config-view)#commands exec include all copy （允许所有copy）