reference中國(guó)移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思-資料下載頁(yè)
2025-04-16 13:10本頁(yè)面
【正文】 考慮實(shí)施升級(jí)和補(bǔ)丁裝載時(shí)系統(tǒng)重啟對(duì)業(yè)務(wù)的影響，充分考慮網(wǎng)絡(luò)結(jié)構(gòu)的雙機(jī)或雙鏈路結(jié)構(gòu)對(duì)業(yè)務(wù)的保護(hù)，最大限度減少業(yè)務(wù)中斷時(shí)間。如果防火墻只配有單臺(tái)，建議安排現(xiàn)場(chǎng)升級(jí)或必須有具備技術(shù)能力的現(xiàn)場(chǎng)配17 / 22合人員；并在條件許可的情況下，有備用防火墻在現(xiàn)場(chǎng)。若設(shè)備配有雙防火墻，可以遠(yuǎn)程執(zhí)行，但也應(yīng)安排一般的現(xiàn)場(chǎng)人員提供必要的配合。 設(shè)置 FTP 服務(wù)器使用 FTP 方式，需要在設(shè)備上作好相應(yīng)配置，如下：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施。【影響】：比 TFTP 方式更具安全性【具體配置】：PIX(Config)ip ftp username xxxxxxxPIX(Config)ip ftp password xxxxxxx 數(shù)據(jù)備份為確保升級(jí)過(guò)程的可恢復(fù)性，對(duì)原 IOS 和配置數(shù)據(jù)有必要進(jìn)行完全備份。要求在備份前確認(rèn)備份介質(zhì)的可用性和可靠性，并在備份完升級(jí)前進(jìn)行驗(yàn)證?！具m用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施?！居绊憽浚罕Ｕ袭?dāng)系統(tǒng)升級(jí)故障時(shí)可恢復(fù)【具體配置】：！顯示首先顯示 IOS 文件的文件名，確定是否需要升級(jí) IOS：PIX(Config)show ver ！拷貝系統(tǒng)文件到 TFTP Server 或者 ftp server：PIX(Config)copy flash tftp (拷貝到 tftp server)或者PIX(Config)copy flash ftp (拷貝到 ftp server)！拷貝配置文件到 TFTP Server 或者 FTP Ssever 中：18 / 22PIX(Config)write 或者PIX(Config)copy runningconfig ftp (當(dāng)前運(yùn)行的存 儲(chǔ)在 RAM 中的配置)PIX(Config)copy startupconfig ftp （存儲(chǔ)在 NVRAM 中的配置）！考慮到 FLASH 空間的限制，在無(wú)法裝下兩個(gè) IOS 軟件時(shí)，應(yīng)將原有的 IOS 軟件刪除。刪除命令如下：PIX(Config) erase flashErase flash device﹖[confirm] y 注意事項(xiàng)升級(jí) PIX 的 IOS 時(shí)，最好能使用串口接到 PIX 的 CONSOL 口上，TFTP 服務(wù)器軟件安裝在該計(jì)算機(jī)上，以利于將 IOS 文件可靠的傳送。TFTP 服務(wù)器的 IP 的地址要和 PIX 的以太網(wǎng)口在一個(gè)網(wǎng)段上。 升級(jí)操作 升級(jí) IOS 或裝載補(bǔ)丁按下列步驟進(jìn)行思科 pix 防火墻的 IOS 裝載：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施?！居绊憽浚捍嬖谏?jí)失敗的可能性，需做好恢復(fù)準(zhǔn)備【具體配置】：！拷貝系統(tǒng)文件到 Flash memory：PIX(Config)copy tftp flash！把配置文件從網(wǎng)絡(luò)服務(wù)器拷貝到 PIX NVRAM。PIX(Config)copy tftp runningconfig （拷貝到 RAM 中）19 / 22PIX(Config)copy tftp startupconfig （拷貝到 NVRAM 中）或者PIX(Config)copy ftp runningconfig （拷貝到 RAM 中）PIX(Config)copy ftp startupconfig （拷貝到 NVRAM 中）！重新啟動(dòng) PIX軟件裝載結(jié)束，用“reload”命令重新啟動(dòng) PIX 即可。PIX(Config) reload 應(yīng)急保障措施描述升級(jí)中出現(xiàn)問(wèn)題時(shí)，如何實(shí)施應(yīng)急保障和恢復(fù)，并提供對(duì)應(yīng)的命令。在升級(jí)遇到問(wèn)題時(shí)，由于已經(jīng)刪除了舊的操作系統(tǒng)，設(shè)備沒(méi)有操作系統(tǒng)，重啟后，進(jìn) 入 ROMMON 狀 態(tài)，此時(shí)，可以用 tftpdnld 方式導(dǎo)入舊的軟件，將計(jì)算機(jī)串口和路由器 Console 口相連，計(jì)算機(jī)網(wǎng)口與路由器以太口（一定要與第一個(gè)以太口）相連。操作步驟如下： 設(shè)置防火墻【實(shí)施命令】：monitoraddr (路由器的 ip 地址)monitorserv （tftp 服 務(wù)器的 IP 地址）monitorfile （上傳文件的名稱） PC 設(shè)置（TFTP 服務(wù)器設(shè)置）TFTP 服務(wù)器的 IP 地址屬性 設(shè)置如下：20 / 22ip 地址 掩碼 網(wǎng)關(guān) （是路由器的 ip 地址） 上傳舊的軟件【實(shí)施命令】：monitor reload 重啟路由器【實(shí)施命令】：monitorreset 恢復(fù)配置正常進(jìn)入路由器后，把配置文件從網(wǎng)絡(luò)服務(wù)器拷貝到路由器 NVRAM【實(shí)施命令】：PIXcopy tftp startupconfig PIXcopy tftp runningconfig4 特定的安全配置 其他特定的安全配置 禁止未使用或空閑的端口【適用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：增加系統(tǒng)安全性21 / 22【具體配置】：！對(duì)端口 interface eth 3 端口進(jìn)行 shutdownPIX(Config) interface eth3PIX(Configif) shutdown banner 的設(shè)置要求對(duì)遠(yuǎn)程登陸的 banner 的設(shè) 置要求必須包含非授權(quán)用戶禁止登錄的字樣?！具m用網(wǎng)絡(luò)層次】：所有層次的思科 PIX 防火墻【影響】：增加系統(tǒng)的可管理性【注意事項(xiàng)】：在所有設(shè)備上實(shí)施該配置，內(nèi)容不包括與設(shè)備特征有關(guān)的信息，如層次、IP 地址、類(lèi)型、歸屬網(wǎng)絡(luò)、管理 員等?！揪唧w配置】：！登錄思科 PIX，管理員權(quán)限下：PIX(Config)banner login“xxxxxxxxxxxxxxxxxxx” 源地址路由限制單播反向路徑發(fā)送（Unicast Reverse Path Forwarding，單播 RPF）也稱為“ 反向路徑查詢”，它提供向內(nèi)和向外過(guò)濾，以便 預(yù)防 IP 欺 詐。 這個(gè)特性能夠檢查向內(nèi)傳輸?shù)陌?IP 源地址完整性，保證去往受控區(qū)域以外的主機(jī)的包擁有可以在實(shí)施實(shí)體本地路由表時(shí)由路徑驗(yàn)證的 IP 源地址。【注意事項(xiàng)】：在獲取支撐單位的技術(shù)確認(rèn)后實(shí)施【影響】：增加系統(tǒng)負(fù)載【具體配置】：！Implements Unicast RPF IP spoofing protection.22 / 22PIX(Config)ip verify reversepath interface int_namePIX(Config)no ip verify reversepath interface int_namePIX(Config)clear ip verify reversepath interface int_namePIX(Config)clear ip verifyPIX(Config)show ip verify [reversepath [interface int_name]]
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1