Cisco 安全技术系列之二：IOS设备安全管理

Cisco IOS 设备的安全加固包括了管理层面、控制层面和数据层面的三方面的内容，管理层面指通过 SSH 或 SNMP 对设备的管理，控制层面指路由协议 IGP 以及 BGP 的管理，数据层面指用户的正常数据通讯，下面主要介绍一下管理层面的安全技术。

 

1、  管理层面

密码管理：

service password-encryption        // 启用密码加密服务

username cisco secret cisco         //MD5 加密用户密码

aaa authentication attempts loging         // 限制用户登陆的尝试次数

 

禁用以下服务：

no ip domain-lookup                    // 禁用 DNS 解析服务

no ip http server                          // 禁用 HTTP 服务

no service config                  // 禁用网络下载配置服务

no cdp run                           // 禁用 CDP 服务

 

使用 AAA 服务：

aaa new-model

aaa authentication login default group tacacs+ enable

tacacs-server host <ip-address-of-tacacs-server>

tacacs-server key <key>

 

aaa authorization exec default group tacacs none

aaa authorization commands 0 default group tacacs none

aaa authorization commands 1 default group tacacs none

aaa authorization commands 15 default group tacacs none

 

aaa accounting exec default start-stop group tacacs

aaa accounting commands 0 default start-stop group tacacs

aaa accounting commands 1 default start-stop group tacacs

aaa accounting commands 15 default start-stop group tacacs

SNMP管理：

Access-list 99 permit 192.168.100.1            //定义允许访问SNMP服务的地址
   

Snmp-server community READONLY RO 99     // 定义 SNMP 只读字符串

 

日志管理：

Logging host 192.168.100.1         // 定义 syslog 主机地址

Logging trap 6                            // 定义网络日志等级

Logging buffered 6               // 定义缓存日志等级

No logging console               // 禁用控制台日志功能

No logging monitor               // 禁用远程登陆日志功能

Logging source-interface loopback 0    // 定义日志源地址

Service timestamps log datetime mesc show-timezone // 定义日志时间格式

 

配置管理：

Archive                        // 定义每天自动保存配置到 flash

 path disk0:archived-config

 maximum 14

 time-period 1440

 write-memory

 

archive                         // 定义记录配置更改并发送 syslog 日志

 log config

  logging enable

  logging size 200

  hidekeys

  notify syslog

 

参考资料：

http://www.cisco.com/en/US/tech/tk648/tk361/technologies_tech_note09186a0080120f48.shtml#gc