netscreen防火墻安全配置指導手冊-wenkub
2023-05-25 00:49:56 本頁面
【正文】 US 服務器用它來生成密鑰，以便對NetScreen和 RADIUS設備之間的信息流進行加密。 RADIUS客戶端（即 NetScreen設備）通過客戶端與服務器之間的一系列通信對用戶進行認證。以下以 RADIUS 為例介紹AAA服務器認證的配置方法。 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：登錄名和密碼都區(qū)分大小 寫，每個都必須為一個單詞、字母或數(shù)字，但是不能有符號。同樣的，密碼必須至少使用四種可用字符類型中的三種：小寫字母、大寫字母、數(shù)字和符號，而且密碼不得包含用戶名或用戶全名的一部分。臨時帳號使用完后應及時刪除。 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：管理客戶端 IP 地址的指派立即生效。 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【具 體配置】： 進入 Netscreen防火墻的操作系統(tǒng) CLI命令行界面 輸入命令： set admin root access console 訪問限制 啟用只接受管理流量的邏輯管理 IP地址 任何綁定到安全區(qū)段的接口都至少可以具有兩個 IP 地址：一個連接到網(wǎng)絡的接口 IP 地址；一個用于接收管理流量的邏輯管理 IP 地址。 啟用 SSH 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：配置 SCS后，工作站需采用支持 SSH2的客戶端軟件，對防火墻進行管理。 要求采用 SSH協(xié)議來取代 Tel進行設備的遠程登錄， SSH與 Tel一樣，提供遠程連接登錄的手段。 1/20 1 網(wǎng)管及認證問題 遠程登錄 一般而言，維護人員都習慣使用 CLI來進行設備配置和日常管理，使用 Tel工具來遠程登錄設備，并且大部分設備都提供標準的 Tel接口，開放 TCP 23端口。但是 SSH 傳送的數(shù)據(jù)（包括帳號和密碼）都會被加密 ，且密鑰會自動更新，極大提高了連接的安全性。 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 選擇菜單 Configuration Admin Management 選擇 Enable SCS并應用 選擇 Network Interfaces，針對每個 interface 進行配置 在 Network Interfaces (Edit) Properties: Basic Service Options 2/20 Management Services 選擇 SCS，禁用 tel 限制登錄嘗試次數(shù) 為了防止窮舉式密碼試探，要求設置登錄嘗試次數(shù)限制，建議為 3次。從網(wǎng)絡用戶流量 3/20 分離管理流量大大增加了管理安全性，并確保了穩(wěn)定的管理帶寬。如果通過網(wǎng)絡連接對設備進行管理，而工作站不包括在指派中，則 NetScreen 設備立即終止當前會話，并且不再能從該工作站管理設備。登錄帳號及密碼的保管和更新應由專人負責，并注意 4/20 保密。一般情況下密碼至少包含 8 個字符。 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 選擇菜單 Configuration Admin Administrators Edit 將系統(tǒng)缺省的初始登陸名 screen和初始密碼 screen更改為新的登陸名和密碼，然后單擊 OK 限制密碼最短長度 要求密碼最短長度為 8位。 本機認證和授權 在 NetScreen 設備上定義用戶時， NetScreen 設備將用戶名和密碼輸入到其本地數(shù)據(jù)庫中。通常， RADIUS會 要求登錄人員輸入其用戶名和密碼。此外，還要將 NetScreen 詞典文件加載到 RADIUS 服務器上，使其能支持下列供應商專用屬性 (VSA) 的查詢：用戶組、管理權限、遠程 L2TP和 XAuth設置。將其共享機密定義為 “A56htYY97kl”。 Name: radius1 IP/Domain Name: Backup1: Backup2: Timeout: 30 Account Type: Admin RADIUS:（選擇） RADIUS Port: 4500 Shared Secret: A56htYY97kl SNMP 協(xié)議 SNMP協(xié)議是目前數(shù)據(jù)網(wǎng)管理中普遍使用的協(xié)議，但 SNMP協(xié)議本身也存在安全問題。要獲得最新的 MIB 文件，請從 下載。為了保障 HTTP的安全，可通過在虛擬專用網(wǎng) (VPN)通道中封裝 HTTP流量或通過 “安全套接字層 ”(SSL)協(xié)議保障安全，還可以通過將管理流量與網(wǎng)絡用戶流量完全分離來保障它的安全。 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 獲得 SSL證書并在 NetScreen 設備上加載 啟用 SSL 管理：選擇菜單 Configuration Admin Management：輸入以下內(nèi)容 ，然后單擊 Apply： Certificate：選擇您要從下拉列表中使用的證書。 2 安全審計 防火墻的日志數(shù)據(jù)能夠幫助系統(tǒng)管理員進行歷史信息流跟蹤、事件關聯(lián)分析和網(wǎng)絡故障 診斷，因此利用 NetScreen防火墻提供的各種功能加強對日志的管理，將有助于及時發(fā)現(xiàn)和判斷安全問題。要減少這種數(shù)據(jù)損失，可將事件和信息流日志存儲在外部的系統(tǒng)日志或 WebTrends 服務器中，或NetScreenGlobal PRO 數(shù)據(jù)庫中。 ? SELF日志：用于監(jiān)控并記錄所有丟棄的封包（如被某個策略拒絕的封包）以及在 NetScreen設備上自行終止的信息流（如管理信息流）。 【具體配置】： 進入 Netscreen防火墻的操作系統(tǒng) WebUI界面 選擇菜單 Configuration Admin Management 選擇 Log Packets Terminated to Self，然后單擊 Apply 將日志轉發(fā)至 SYSLOG服務器 【應用網(wǎng)絡層次】：所有層面防火墻設備 【影響】：無 【注意事項】：設置 Include Traffic Log 有效時，將會把策略中記錄的流量日志，同時發(fā)送到 Syslog服務器，可按具體情況配置。新購買的 NetScreen防火墻可以通過網(wǎng)上注冊得到 3個月免費的登錄帳戶，更長時間的帳戶需要向 NetScreen購買服務。要求在備份前確認備份介質(zhì)的可用性和可靠性，并在備份完升級前進行驗證。 找到要保存配置文件的位置，然后單擊 Save。包括：設備各模塊硬件、工作狀態(tài)、模塊端口及工作狀態(tài)、路由協(xié)議、路由 13/20 表等。 【具體配置】： 使用 Web瀏覽器進入 Netscreen防火墻的操作系統(tǒng) WebUI界面； 選擇菜單 Configuration Update ScreenOS/Keys 選擇 Firmware Update，在 Load File 處添加軟件升級軟件 系統(tǒng)自動重啟，在 CONSOLE終端上可以觀察到升級過程。 2. ICMP Flood（ ICMP 泛濫）：當 I
法律信息相關推薦
鄂ICP備17016276號-1