【文章內(nèi)容簡介】 t ip route default ！設(shè)置登陸密碼10 / 28FJFZSWITCH02 (enable)set password！設(shè)置空閑時長 3 分鐘FJFZSWITCH02 (enable)set logout 3 訪問地址限制只允許合法的網(wǎng)管網(wǎng)段或網(wǎng)管和維護(hù)主機(jī)地址作為源地址發(fā)起對設(shè)備的遠(yuǎn)程連接。【應(yīng)用網(wǎng)絡(luò)層次】：在所有層面設(shè)備 【影響】：只有網(wǎng)管網(wǎng)段才能登陸【具體配置】：！設(shè)置訪問控制列表，只允許網(wǎng)管網(wǎng)段登陸FJFZSWITCH02 (enable) set ip permit tel！啟用訪問控制列表FJFZSWITCH02 (enable) set ip permit enable tel 設(shè)置遠(yuǎn)程管理 VLAN管理 VLAN 默認(rèn)在 VALN1，存在著不安全性，要求修改管理 VLAN?！緫?yīng)用網(wǎng)絡(luò)層次】：在所有層面設(shè)備 【影響】：無【具體配置】：FJFZSWITCH02 (enable) set interface sc0 12 ； 帳號和密碼管理要求應(yīng)在日常維護(hù)過程中周期性地（至少按季度）更改登錄密碼，甚至登錄帳11 / 28號。當(dāng)外方人員需要登錄設(shè)備時， 應(yīng)創(chuàng)建臨時帳號，并指定合適的權(quán)限。臨時帳號使用完后應(yīng)及時刪除。登錄帳號及密碼的保管和更新應(yīng)由專人負(fù)責(zé)，并注意保密。帳號名字應(yīng)該與使用者存在對應(yīng)關(guān)系，如能反 應(yīng)使用者的級別、從屬關(guān)系。為了提高安全性，在方便記憶的前提下， 帳號名字應(yīng)盡量混用字符的大小寫、數(shù)字和符號，提高猜度的難度。同樣的，密碼必須至少使用四種可用字符 類型中的三種：小寫字母、大寫字母、數(shù)字和符號，而且密碼不得包含用戶名或用戶全名的一部分。一般情況下密碼至少包含 8 個字符。我 們建議用密碼生成器軟件（如 ）來制造隨機(jī)密碼。Catalyst 交換機(jī)支持 AAA 認(rèn)證，最好的口令 處理方法是將 這些口令保存在TACACS+或 RADIUS 認(rèn)證 服務(wù)器上。Catalyst 交換 機(jī)的密碼是采用密文存放的，這和思科路由器不一樣?！緫?yīng)用網(wǎng)絡(luò)層次】：在所有層面設(shè)備 【影響】：無【具體配置】：FJFZSWITCH02 (enable) set password ；設(shè)置登陸密碼FJFZSWITCH02 (enable) set enablepass ；設(shè)置 enable 密碼 帳號認(rèn)證和授權(quán)Catalyst 交換機(jī)支持 RADIUS、TACACS 或者 Kerboros 認(rèn)證，通過認(rèn)證可以方便實現(xiàn)對大量設(shè)備的登錄帳號和密碼的管理。建議采用集中認(rèn)證和授權(quán)模式。通過服務(wù)器還可以彌補(bǔ)設(shè)備本身對執(zhí)行權(quán)限管理的不足。12 / 28 RADIUS 認(rèn)證方式RADIUS 的全稱為(Remote Access DailIn User Service),它是對遠(yuǎn)程撥號用戶訪問進(jìn)行認(rèn)證的一種協(xié)議。主要進(jìn)行 Authentication Authorization Accounting (AAA) 三方面的工作。【應(yīng)用網(wǎng)絡(luò)層次】：根據(jù)需要實施，在所有層面設(shè)備可以實施該建議?！居绊憽浚簾o【具體配置】：FJFZSWITCH02 (enable) set radius server authport 1645FJFZSWITCH02 (enable) set radius key xxxxxx！tel 認(rèn)證FJFZSWITCH02 (enable) set authentication login radius enable tel TACACS 認(rèn)證方式終端訪問控制器訪問控制系統(tǒng)（Terminal Access Controller Access Control System，TACACS）安全協(xié)議，對認(rèn)證和授權(quán)處理提供詳細(xì)的記帳信息和靈活的管理控制?！緫?yīng)用網(wǎng)絡(luò)層次】：根據(jù)需要實施，在所有層面設(shè)備可以實施該建議?！居绊憽浚簾o【具體配置】：FJFZSWITCH02 (enable) set tacacs server FJFZSWITCH02 (enable) set tacacs key xxxxxx！tel 認(rèn)證FJFZSWITCH02(enable) set authentication login tacacs enable tel13 / 28 Kerboros 認(rèn)證方式Kerberos 是秘密密 鑰網(wǎng)絡(luò)認(rèn)證協(xié)議 ，使用數(shù)據(jù)加密標(biāo)準(zhǔn)（DES ）加密算法進(jìn)行加密和認(rèn)證。Kerberos 是為對網(wǎng)絡(luò)資源的請求進(jìn)行認(rèn)證而設(shè)計的。與其它秘密密鑰系統(tǒng)一樣，Kerberos 基于可信任的第三方概念，這個第三方對用戶和服務(wù)執(zhí)行安全認(rèn)證。在 Kerberos 協(xié)議 中，這一可信任的第三方被稱為密鑰分發(fā)中心（KDC，Key Distribution Center）。【應(yīng)用網(wǎng)絡(luò)層次】：根據(jù)需要實施，在所有層面設(shè)備可以實施該建議?！居绊憽浚簾o【具體配置】：！定義 Kerberos 域FJFZSWITCH02 (enable) set kerberos localrealm ！定義 KGC 服務(wù)器FJFZSWITCH02 (enable) set kerberos server ！從 KGC 復(fù)制 SRVTAB 文件，確保交 換機(jī)與 KDC 共享秘密的密鑰FJFZSWITCH02 (enable) set kerberos srvtab remote filename ！轉(zhuǎn)發(fā)用戶認(rèn)證證書FJFZSWITCH02 (enable) set kerberos credentials forward ！使用 Kerberos 認(rèn)證FJFZSWITCH02 (enable) set authentication login kerberos enable tel snmp 協(xié)議Snmp 協(xié)議是目前數(shù)據(jù)網(wǎng)管理中普遍使用的協(xié)議，但 snmp 協(xié)議本身也存在安全問題。需要合理配置 snmp 協(xié)議的相關(guān)屬性，才能 讓 snmp 協(xié)議更好的為日常維護(hù)管理服務(wù)。14 / 28由于 snmp 協(xié)議的 MIB 存放著大量 設(shè)備狀態(tài)信息（稱之為 Object，并以 OID作為唯一標(biāo)識），既有物理 層信息（如端口狀態(tài)），也有協(xié)議層信息（如端口 IP 地址）。網(wǎng)管系統(tǒng)通過 SNMP GET 或 MGET 指令采集這些信息作為原始數(shù)據(jù)，經(jīng)分析和處理后實現(xiàn)各種網(wǎng)管功能。部分 MIB Object 還可以讓網(wǎng)管系統(tǒng)通過SNMP SET 指令來賦值。 懷有惡意的人可以通過竊取 SNMP 數(shù)據(jù)來獲得網(wǎng)絡(luò)的基本情況，并以此發(fā)起惡意攻擊，甚至通 過修改 MIB Object 賦值來進(jìn)行破壞。因此 SNMP 的防護(hù)非常重要。SNMP 自身也提供了一定的安全手段，即 Community。Community 相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP 連接合法性的識別字串。它們兩者之間的 SNMP交互都需要先做 Community 檢查后，再 執(zhí)行。有 2 種 Community：ReadOnly（簡稱 RO）和 ReadWrite（簡稱 RW）。RO 提供給 SNMP GET、SNMP MGET、SNMP TRAP 指令使用； RW 還提供給 SNMP SET 指令使用，RW 相當(dāng)危險，要求關(guān)閉snmp rw 功能。建議采取以下方法進(jìn)行保護(hù)： SNMP 服務(wù)器的關(guān)閉如不需要提供 snmp 服務(wù)的，要求禁止 SNMP 協(xié)議 服務(wù)，注意在禁止時刪除一些 SNMP 服務(wù)的默認(rèn)配置。【適用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：關(guān)閉，網(wǎng)管系統(tǒng)無法采集到相關(guān)管理數(shù)據(jù)以及告警監(jiān)控等【具體配置】：FJFZSWITCH01 (enable) set snmp trap disable15 / 28 限制發(fā)起 SNMP 連接的源地址【適用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：只有指定的網(wǎng)管網(wǎng)段才能使用 SNMP 維護(hù)設(shè)備【具體配置】：FJFZSWITCH02 (enable) set snmp trap enable ！指定 TRAP 接收服務(wù)器FJFZSWITCH02 (enable) set snmp trap 〈munity_name〉！設(shè)置 SNMP IP 過濾FJFZSWITCH02 (enable) set ip permit snmp FJFZSWITCH02 (enable) set ip permit enable snmp 設(shè)置 snmp 密碼要求設(shè)置并定期更改 SNMP Community（至少半年一次）?！具m用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：無【具體配置】：！設(shè)置只讀 COMMUNITY NAME 不使用默認(rèn)的 munity name,如publicFJFZSWITCH02(enable)set snmp munity readonly xxxxxxx！設(shè)置讀寫 COMMUNITY NAME 不使用默認(rèn)的 munity name,如privateFJFZSWITCH02(enable)set snmp munity readwrite xxxxxxx HT