xxxx年mdcn網(wǎng)絡(luò)擴(kuò)容項(xiàng)目縣級(jí)匯聚交換機(jī)入網(wǎng)方案(編輯修改稿)
2025-05-19 22:23 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 md/yndm 訪問(wèn)控制? VTY 控制安全目標(biāo)：防止非法用戶(hù)通過(guò) Tel 獲取云南移動(dòng) MDCN 城域網(wǎng)設(shè)備的控制能力。6 / 16攻擊手段：? 非法用戶(hù)獲得網(wǎng)管或維護(hù)終端的控制能力，通過(guò)網(wǎng)管或維護(hù)終端登陸到城域網(wǎng)設(shè)備進(jìn)行操作控制。? 無(wú)法獲取 VTY 通道，直接進(jìn)行 DoS 攻擊，致使正常的 VTY 連接受到影響。保護(hù)手段：? Access 端口上通過(guò)分組過(guò)濾策略過(guò)濾非法的 Tel 數(shù)據(jù)包。? Access 端口上通過(guò)嚴(yán)格反向路徑查找過(guò)濾掉進(jìn)行 DoS 攻擊的偽造源地址數(shù)據(jù)包。? 對(duì) Tel 或 SSH 進(jìn)行最大連接數(shù)限制，idletimeout 設(shè)置為 5 分鐘，最多允許同時(shí) 5 個(gè)在線防止攻擊。? 加強(qiáng)密碼管理，采用集中認(rèn)證技術(shù)，同時(shí)進(jìn)行認(rèn)證、授權(quán)、審計(jì)操作。? SNMP 控制安全目標(biāo)：防止非法用戶(hù)通過(guò) SNMP 管理接口獲取設(shè)備信息或?qū)υO(shè)備進(jìn)行控制。攻擊手段：盜取 SNMP 密碼，獲得 SNMP 訪問(wèn)通道，利用 SNMP 管理接口獲取設(shè)備信息或?qū)υO(shè)備進(jìn)行控制。保護(hù)手段：? Access 端口上通過(guò)分組過(guò)濾和嚴(yán)格反向路徑查找過(guò)濾非法的 SNMP 數(shù)據(jù)包；? 采用 SNMP V2/V3 安全版本，使用 MD5 認(rèn)證算法，利用 MIB View 關(guān)閉大數(shù)據(jù)量的表類(lèi)型變量（如路由表和轉(zhuǎn)發(fā)表） ；? 考慮到目前大部分網(wǎng)管系統(tǒng)需要設(shè)備開(kāi)放 SNMP 寫(xiě)權(quán)限，因此不關(guān)閉設(shè)備 SNMP 的寫(xiě)控制；? SNMP 使用的團(tuán)體屬性密碼與現(xiàn)網(wǎng)保持一致。 設(shè)備高可靠性措施網(wǎng)絡(luò)設(shè)備是組成多業(yè)務(wù)城域網(wǎng)的基本節(jié)點(diǎn)，其可靠性是整網(wǎng)可靠性的基礎(chǔ)。主流網(wǎng)絡(luò)設(shè)備的關(guān)鍵部件，包括主控單元、交換單元、電源、制冷系統(tǒng)等，大多采用熱備份冗余設(shè)計(jì)，這是保證電信級(jí)城域網(wǎng)可靠性的最基本要求。主備引擎冗余配置：配置控制卡之間的配置文件和動(dòng)態(tài)數(shù)據(jù)同步，配置控制卡在故障情況下的無(wú)縫倒換。設(shè)置主備引擎為最優(yōu)保護(hù)方式。7 / 16 設(shè)備端口配置 MTU 值設(shè)計(jì)由于縣級(jí)交換機(jī)和地州營(yíng)業(yè)廳接入交換機(jī) 4503 之間沒(méi)有特殊的協(xié)議部署，4503 與縣級(jí)交換機(jī)之間采用默認(rèn)的 MTU 值 GE 端口配置GE 端口的參數(shù)配置規(guī)范如下：1. 關(guān)閉 GE 端口自動(dòng)協(xié)商，配置為強(qiáng)制千兆全雙工模式。 配置需求1. 配置 Hostname、時(shí)區(qū)為東 8 區(qū)；2. 定義 OSPF 的 routerid，為第一上行接口地址；3. 配置 2 個(gè)級(jí)別的管理組，分別為全部權(quán)限和只讀權(quán)限；4. 配置 console 口令，配置 console 口反向 tel 方式；5. 設(shè)備配置 tel vty 并發(fā)連接數(shù)為 5，空閑時(shí)間為 5 min，加訪問(wèn)控制列表只允許特定網(wǎng)段訪問(wèn)（具體 ACL 名字見(jiàn)命名規(guī)范） ；6. 配置系統(tǒng)的所有告警日志，保存到本地；系統(tǒng)所有登陸日志，保存到本地；7. 考慮將所有設(shè)備的系統(tǒng)日志要求預(yù)先設(shè)置發(fā)送至總部網(wǎng)管中心日志服務(wù)器。 配置模板? 設(shè)備基本信息配置sysname hostname1slave autoupdate configslave switchover enablerouter id //第一上行接口 IP 地址userinterface maximumvty 5 //設(shè)置登錄用戶(hù)的最大數(shù)目userinterface con 0authenticationmode aaauserinterface aux 08 / 16userinterface vty 0 4 //缺省最大同時(shí)在線數(shù)為 5 個(gè)acl 3000 inboundauthenticationmode aaaidletimeout 5 0 //設(shè)置用戶(hù)界面斷連的超時(shí)時(shí)間 5登陸賬戶(hù)：配置遠(yuǎn)程登陸信息。說(shuō) 明：請(qǐng)分集成商配置臨時(shí)賬戶(hù)，并告訴總集成商配置規(guī)范：username Kchwg719 privilege 15 password 7 012A08075605031B731C1E515825username liubotao13888955089 privilege 15 password 7 023605481831003368username wangdongxu15908188151 privilege 15 password 7 03335F13575B7615185Ausername huanggongxun13888969231 privilege 15 password 7 12290404013C03160Eusername ccyn
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1