reference中國移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思-免費(fèi)閱讀
【正文】 操作步驟如下： 設(shè)置防火墻【實(shí)施命令】：monitoraddr (路由器的 ip 地址)monitorserv （tftp 服 務(wù)器的 IP 地址）monitorfile （上傳文件的名稱） PC 設(shè)置（TFTP 服務(wù)器設(shè)置）TFTP 服務(wù)器的 IP 地址屬性 設(shè)置如下：20 / 22ip 地址 掩碼 網(wǎng)關(guān) （是路由器的 ip 地址） 上傳舊的軟件【實(shí)施命令】：monitor reload 重啟路由器【實(shí)施命令】：monitorreset 恢復(fù)配置正常進(jìn)入路由器后，把配置文件從網(wǎng)絡(luò)服務(wù)器拷貝到路由器 NVRAM【實(shí)施命令】：PIXcopy tftp startupconfig PIXcopy tftp runningconfig4 特定的安全配置 其他特定的安全配置 禁止未使用或空閑的端口【適用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：增加系統(tǒng)安全性21 / 22【具體配置】：！對(duì)端口 interface eth 3 端口進(jìn)行 shutdownPIX(Config) interface eth3PIX(Configif) shutdown banner 的設(shè)置要求對(duì)遠(yuǎn)程登陸的 banner 的設(shè) 置要求必須包含非授權(quán)用戶禁止登錄的字樣?！居绊憽浚罕Ｕ袭?dāng)系統(tǒng)升級(jí)故障時(shí)可恢復(fù)【具體配置】：！顯示首先顯示 IOS 文件的文件名，確定是否需要升級(jí) IOS：PIX(Config)show ver ！拷貝系統(tǒng)文件到 TFTP Server 或者 ftp server：PIX(Config)copy flash tftp (拷貝到 tftp server)或者PIX(Config)copy flash ftp (拷貝到 ftp server)！拷貝配置文件到 TFTP Server 或者 FTP Ssever 中：18 / 22PIX(Config)write 或者PIX(Config)copy runningconfig ftp (當(dāng)前運(yùn)行的存 儲(chǔ)在 RAM 中的配置)PIX(Config)copy startupconfig ftp （存儲(chǔ)在 NVRAM 中的配置）！考慮到 FLASH 空間的限制，在無法裝下兩個(gè) IOS 軟件時(shí)，應(yīng)將原有的 IOS 軟件刪除。在在升級(jí)前，首先確認(rèn)要升級(jí)的軟件是否通過集團(tuán)公司的入網(wǎng)許可，并且與廠家確認(rèn)你所要升級(jí)設(shè)備的硬件滿足升級(jí) IOS 的要求， 考慮到思科設(shè)備的小版本號(hào)繁多，并且不易分辨，最好從集成商那獲取最新的 IOS 軟件。AAA loging 可以記錄撥號(hào)連接信息、用戶登陸信息、退出信息、 訪問信息、權(quán)限 變動(dòng)信息、命令執(zhí)行信息和其他時(shí)間。PIX Firewall 只支持 SNMP GET 命令，此命令只允許執(zhí)行只讀接入。建議采用集中認(rèn)證和授權(quán)模式，通過 AAA 服務(wù)器還 可以彌補(bǔ)設(shè)備本省對(duì)執(zhí)行權(quán)限管理的不足。一般情況下密碼至少包含 8 個(gè)字符?！緫?yīng)用網(wǎng)絡(luò)層次】：在所有層面防火墻設(shè)備 【影響】：只有指定的網(wǎng)管網(wǎng)段可以登陸設(shè)備，其他地址將被限制【具體配置】：！開啟 tel 服務(wù)：PIX(Config)tel inside PIX(Config)tel outside！對(duì) tel 訪問地址進(jìn)行限制：PIX(Config)tel PIX(config) tel timeout 20！關(guān)閉 tel 服務(wù)：PIX(Config)no tel xxxx xxxx inside SSH 配置【應(yīng)用網(wǎng)絡(luò)層次】：所有層面防火墻設(shè)備 【影響】：需使用支持 SSHD 終端登陸，如 SecureCRT 等【具體配置】：PIX(config)domainname PIX(config) ca generate rsa key 1024 PIX(config) ca save all 11 / 22!生成 RSA 密鑰對(duì)PIX(config) show ca mypubkey rsa !查看本地生成的公鑰PIX(config) ssh outside_ip_addr outside PIX(config) ssh timeout 20!配置限制訪問地址可以 SSH 進(jìn)來，另 設(shè) SSH 的超 時(shí)時(shí)間為 20 分鐘PIX(config) username test password testPIX(config) aaa authenticate ssh console LOCAL!認(rèn)證方式采用本地方式，也可以用 RADIUS/TACACS+進(jìn)行認(rèn)證。要求采用 SSH 協(xié)議來取代 Tel 進(jìn)行設(shè)備的遠(yuǎn)程登錄，SSH 與 Tel 一樣，提供遠(yuǎn)程連接登錄的手段。PIX Firewall 設(shè)備管理器（PDM）可以為管理員提供一個(gè)直 觀的、基于 Web 的界面，從而使他們可以方便地配置和監(jiān)控一臺(tái) PIX Firewall，而不需要在管理員的計(jì)算機(jī)上安裝任何軟件（除了一個(gè)標(biāo)準(zhǔn)的 Web 瀏覽 器以外）。另外，PIX Firewall 實(shí)現(xiàn)了在 Inter 或所有 IP 網(wǎng)絡(luò)上的安全保密通信。通過管道技術(shù)，出境訪問列表，可以有效地控制內(nèi)、外部各資源的訪問。 項(xiàng)目目標(biāo)該項(xiàng)目的目標(biāo)是對(duì)中國移動(dòng)網(wǎng)絡(luò)中使用的網(wǎng)絡(luò)思科防火墻－pix 安全配置標(biāo)準(zhǔn)進(jìn)行規(guī)范，實(shí)現(xiàn)規(guī)范和指 導(dǎo)各省各應(yīng)用系統(tǒng)網(wǎng)絡(luò)設(shè)備安全配置的作用。 參考資料? CISCO 公司提供《Improving Security on Cisco Routers 》? 思科官方網(wǎng)站 5 / 22? 中國 IT 認(rèn)證實(shí)驗(yàn) 室網(wǎng)站 參與該分冊(cè)編寫的人員有：福建移動(dòng)通信公司：洪順安、林秀 感謝：泰訊網(wǎng)絡(luò)給予大力支持。PIX Firewall 可連接多個(gè)不同的網(wǎng)絡(luò)，每個(gè)網(wǎng)絡(luò)都可定義一個(gè)安全級(jí)別，級(jí)別低的相對(duì)于級(jí)別高的總是被視為外部網(wǎng)絡(luò)，但最低的必須是全球統(tǒng)一的 IP 地址。它集成了 VPN 的主要功能——隧道、數(shù)據(jù)加密、安全性和防火墻，能夠提供一種安全、可擴(kuò)展的平臺(tái)來更好、更經(jīng)濟(jì)高效地使用公共數(shù)據(jù)服務(wù)實(shí)現(xiàn)遠(yuǎn)程訪問、遠(yuǎn)程辦公和外部網(wǎng)連接。管理員可以利用PIX Firewall 所提供的命令行界面（CLI），通過多種方式（包括遠(yuǎn)程登陸、安全解釋程序（SSH），以及通過控制端口實(shí)現(xiàn)的帶外接入）對(duì) PIX Firewall 進(jìn)行遠(yuǎn)程配置、監(jiān)控和診斷。但是 SSH 傳送的數(shù)據(jù)（包括帳號(hào)和密碼）都會(huì)被加密，且密鑰會(huì)自動(dòng)更新，極大提高了連接的安全性。PIX(config) sh ssh sessionSession ID Client IP Version Encryption State Username 0 DES 6 tes
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1