【正文】 e eth 0/1Router(configif) no ip proxyarpRouter(configif) exit Router(config) interface eth 0/2Router(configif) no ip proxyarpRouter(configif) exit Router(config) interface eth 0/3Router(configif) no ip proxyarpRouter(configif) endIII. 禁用直播功能Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) interface eth 0/0Router(configif) no ip directedbroadcastRouter(configif) endIV. 禁用 IP 重定向Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) interface eth 0/0Router(configif) no ip redirectsRouter(configif) endV. 禁用 IP 掩碼響應(yīng)Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) interface eth 0/0Router(configif) no ip maskreplyRouter(configif) end2． 補(bǔ)充操作說明檢測方法1． 判定條件上述條目，在相應(yīng)版本 IOS 中是“no”掉的2． 檢測操作22 / 37I. 禁用 IP 源路由no ip sourceroute…II. 禁用 PROXY ARPint s0/0no ip proxyarp…III. 禁用直播功能, 之后默認(rèn)int s0no ip directedbroadcast…IV. 禁用 IP 重定向int s0no ip unreachableno ip redirectsV. 禁用 IP 掩碼響應(yīng)no ip maskrepy3． 補(bǔ)充說明要求編號 安全要求設(shè)備思科路由器 配置12可選適用版本 Cisco IOS Release 以上要求內(nèi)容 啟用協(xié)議的認(rèn)證，加密功能設(shè)備與 RADIUS 服務(wù)器、TACACS 服務(wù)器、NTP 服務(wù)器、SNMP V3 主機(jī)等支持認(rèn)證加密功能的主機(jī)進(jìn)行通信時，盡可能啟用協(xié)議的認(rèn)證加密功能，保證通信安全。操作指南1． 參考配置操作TACACS 服務(wù)器：Routerconfigure terminal Enter configuration mands, one per line. End with CNTL/Z.Router(config)tacacsserver host Router(config)tacacsserver key Ir3@1yh8nw9@swDRouter(config)endRouterRADIUS 服務(wù)器：Routerconfigure terminal Enter configuration mands, one per line. End with CNTL/Z.Router(config) radiusserver host Router(config) radiusserver key i*Ma5in@u9ps5wD2． 補(bǔ)充操作說明啟用 TACACS 服務(wù)器、RADIUS 服務(wù)器認(rèn)證23 / 37檢測方法1． 判定條件I. 指定了服務(wù)器II. 設(shè)定了認(rèn)證 key2． 檢測操作使用 show runningconfig 命令，如下例：routershow runningconfig…！TACACS 服務(wù)器：tacacsserver host acacsserver key Ir3@1yh8nw9@swD…！RADIUS 服務(wù)器： radiusserver host radiusserver key i*Ma5in@u9ps5wD3． 補(bǔ)充說明要求編號 安全要求設(shè)備思科路由器 配置13適用版本 Cisco IOS Release 要求內(nèi)容 啟用動態(tài) IGP（RIPVOSPF 、ISIS 等）或 EGP（BGP）協(xié)議時，啟用路由協(xié)議認(rèn)證功能，如 MD5 加密，確保與可信方進(jìn)行路由協(xié)議交互。操作指南1． 參考配置操作I. 配置 Router1 和 Router2 間 Ospf 啟用 MD5 驗(yàn)證Router1 配置：Router1 config tEnter configuration mands, one per line. End with CNTL/Z.Router1(config) router ospf 1Router1(configrouter) work area 0 Router1(configrouter) area 0 authentication messagedigestRouter1(configrouter) exit Router1(config) int eth0/1Router1(configif) ip ospf messagedigestkey 1 md5 r0utes4allRouter1(configif) end Router1Router2 配置：Router2 config t24 / 37Enter configuration mands, one per line. End with CNTL/Z.Router2(config) router ospf 1Router2(configrouter) area 0 authentication messagedigestRouter2(configrouter) work area 0 Router2(configrouter) work area 0 Router2(configrouter) exit Router2(config) int eth0 Router2(configif) ip ospf messagedigestkey 1 md5 r0utes4allRouter2(configif) end Router2II. 配置 Router1 和 Router2 間 EIGRP 啟用 MD5 驗(yàn)證Router1 配置：Router1 config tEnter configuration mands, one per with CNTL/Z.Router1(config) router eigrp 100Router1(configrouter) work Router1(configrouter) exit Router1(config) interface eth 0/1Router1(configif) ip authentication mode eigrp 100 md5Router1(configif) ip authentication keychain eigrp 100 Router1KCRouter1(configif) exit Router1(config) key chain Router1KCRouter1(configkeychain) key 1Router1(configkeychainkey) keystring mysecretkeyRouter1(configkeychainkey) sendlifetime 00:00:00 Oct 1 202200:00:00 Jan 1 2022 Router1(configkeychainkey) acceptlifetime 00:00:00 Oct 1 202200:00:00 Jan 7 2022Router1(configkeychainkey) endRouter1Router2 配置：Router2 config tEnter configuration mands, one per line. End with CNTL/Z.Router2(config) router eigrp 100Router2(configrouter) work Router2(configrouter) work Router2(configrouter) passiveinterface eth1Router2(configrouter) exit Router2(config) interface eth 0 Router2(configif) ip authentication mode eigrp 100 md5Router2(configif) ip authentication keychain eigrp 100 Router2KCRouter2(configif) exit Router2(config) key chain Router2KCRouter2(configkeychain) key 125 / 37Router2(configkeychainkey) keystring mysecretkeyRouter2(configkeychainkey) sendlifetime 00:00:00 Oct 1 202200:00:00 Jan 1 2022 Router2(configkeychainkey) acceptlifetime 00:00:00 Oct 1 202200:00:00 Jan 7 2022Router2(configkeychainkey) endRouter22． 補(bǔ)充操作說明檢測方法1． 判定條件有 ip rip(ospf、eigrp 等) md5 的字段2． 檢測操作使用 show runningconfig 命令，如下例：routershow runningconfig…I. ！RIPV2router ripversion 2work int ether0/1ip rip authentication keychain xxxxip rip authentication mode md5…II. ！OSPFip ospf messagedigestkey 1 md5 xxxxx…III. ！EIGRPip authentication mode eigrp 1 md53． 補(bǔ)充說明要求編號 安全要求設(shè)備思科路由器 配置14可選適用版本 Cisco IOS Release 以上要求內(nèi)容 采用 BGP 協(xié)議作為 EGP 協(xié)議時，使用 Route flap damping 功能防止路由風(fēng)暴。操作指南1． 參考配置操作Router(config) router bgp 27701Router(configrouter) neighbor remoteas 26625Router(configrouter) bgp dampeningRouter(configrouter) end2． 補(bǔ)充操作說明26 / 37檢測方法1． 判定條件做了 bgp dampening 配置2． 檢測操作使用 show runningconfig 命令，如下例：routershow runningconfig…router bgp 27701neighbor remoteas 26625bgp dampening3． 補(bǔ)充說明bgp dampening 使用來抑制一些頻繁浮動路由的，當(dāng)超過抑制閥值時就被抑制，從而防止 bgp 表的抖動。要求編號 安全要求設(shè)備思科路由器 配置15適用版本 Cisco IOS Release 以上要求內(nèi)容 在網(wǎng)絡(luò)邊界運(yùn)行 IGP 或 EGP 動態(tài)路由協(xié)議時，配置路由更新策略，只接受合法的路由更新，防止非法路由注入。只發(fā)布所需的路由更新，防止路由信息泄漏。操作指南1． 參考配置操作使用 ACL 限制 EIGRP 不能向 Router(config) accesslist 10 deny Router(config) accesslist 10 permit anyRouter(config) router eigrp 100Router(configrouter) distributelist 10 out Router(configrouter) end2． 補(bǔ)充操作說明檢測方法1． 判定條件做了 distributelist 的 acl 控制2． 檢測操作使用 show runningconfig 命令，