reference中國移動通信集團網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思-資料下載頁
2025-04-16 13:10本頁面
【正文】 考慮實施升級和補丁裝載時系統(tǒng)重啟對業(yè)務(wù)的影響，充分考慮網(wǎng)絡(luò)結(jié)構(gòu)的雙機或雙鏈路結(jié)構(gòu)對業(yè)務(wù)的保護，最大限度減少業(yè)務(wù)中斷時間。如果防火墻只配有單臺，建議安排現(xiàn)場升級或必須有具備技術(shù)能力的現(xiàn)場配17 / 22合人員；并在條件許可的情況下，有備用防火墻在現(xiàn)場。若設(shè)備配有雙防火墻，可以遠程執(zhí)行，但也應(yīng)安排一般的現(xiàn)場人員提供必要的配合。 設(shè)置 FTP 服務(wù)器使用 FTP 方式，需要在設(shè)備上作好相應(yīng)配置，如下：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實施?！居绊憽浚罕?TFTP 方式更具安全性【具體配置】：PIX(Config)ip ftp username xxxxxxxPIX(Config)ip ftp password xxxxxxx 數(shù)據(jù)備份為確保升級過程的可恢復性，對原 IOS 和配置數(shù)據(jù)有必要進行完全備份。要求在備份前確認備份介質(zhì)的可用性和可靠性，并在備份完升級前進行驗證?！具m用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實施。【影響】：保障當系統(tǒng)升級故障時可恢復【具體配置】：！顯示首先顯示 IOS 文件的文件名，確定是否需要升級 IOS：PIX(Config)show ver ！拷貝系統(tǒng)文件到 TFTP Server 或者 ftp server：PIX(Config)copy flash tftp (拷貝到 tftp server)或者PIX(Config)copy flash ftp (拷貝到 ftp server)！拷貝配置文件到 TFTP Server 或者 FTP Ssever 中：18 / 22PIX(Config)write 或者PIX(Config)copy runningconfig ftp (當前運行的存 儲在 RAM 中的配置)PIX(Config)copy startupconfig ftp （存儲在 NVRAM 中的配置）！考慮到 FLASH 空間的限制，在無法裝下兩個 IOS 軟件時，應(yīng)將原有的 IOS 軟件刪除。刪除命令如下：PIX(Config) erase flashErase flash device﹖[confirm] y 注意事項升級 PIX 的 IOS 時，最好能使用串口接到 PIX 的 CONSOL 口上，TFTP 服務(wù)器軟件安裝在該計算機上，以利于將 IOS 文件可靠的傳送。TFTP 服務(wù)器的 IP 的地址要和 PIX 的以太網(wǎng)口在一個網(wǎng)段上。 升級操作 升級 IOS 或裝載補丁按下列步驟進行思科 pix 防火墻的 IOS 裝載：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實施?！居绊憽浚捍嬖谏壥〉目赡苄?，需做好恢復準備【具體配置】：！拷貝系統(tǒng)文件到 Flash memory：PIX(Config)copy tftp flash！把配置文件從網(wǎng)絡(luò)服務(wù)器拷貝到 PIX NVRAM。PIX(Config)copy tftp runningconfig （拷貝到 RAM 中）19 / 22PIX(Config)copy tftp startupconfig （拷貝到 NVRAM 中）或者PIX(Config)copy ftp runningconfig （拷貝到 RAM 中）PIX(Config)copy ftp startupconfig （拷貝到 NVRAM 中）！重新啟動 PIX軟件裝載結(jié)束，用“reload”命令重新啟動 PIX 即可。PIX(Config) reload 應(yīng)急保障措施描述升級中出現(xiàn)問題時，如何實施應(yīng)急保障和恢復，并提供對應(yīng)的命令。在升級遇到問題時，由于已經(jīng)刪除了舊的操作系統(tǒng)，設(shè)備沒有操作系統(tǒng)，重啟后，進 入 ROMMON 狀 態(tài)，此時，可以用 tftpdnld 方式導入舊的軟件，將計算機串口和路由器 Console 口相連，計算機網(wǎng)口與路由器以太口（一定要與第一個以太口）相連。操作步驟如下： 設(shè)置防火墻【實施命令】：monitoraddr (路由器的 ip 地址)monitorserv （tftp 服 務(wù)器的 IP 地址）monitorfile （上傳文件的名稱） PC 設(shè)置（TFTP 服務(wù)器設(shè)置）TFTP 服務(wù)器的 IP 地址屬性 設(shè)置如下：20 / 22ip 地址 掩碼 網(wǎng)關(guān) （是路由器的 ip 地址） 上傳舊的軟件【實施命令】：monitor reload 重啟路由器【實施命令】：monitorreset 恢復配置正常進入路由器后，把配置文件從網(wǎng)絡(luò)服務(wù)器拷貝到路由器 NVRAM【實施命令】：PIXcopy tftp startupconfig PIXcopy tftp runningconfig4 特定的安全配置 其他特定的安全配置 禁止未使用或空閑的端口【適用網(wǎng)絡(luò)層次】：所有設(shè)備【影響】：增加系統(tǒng)安全性21 / 22【具體配置】：！對端口 interface eth 3 端口進行 shutdownPIX(Config) interface eth3PIX(Configif) shutdown banner 的設(shè)置要求對遠程登陸的 banner 的設(shè) 置要求必須包含非授權(quán)用戶禁止登錄的字樣。【適用網(wǎng)絡(luò)層次】：所有層次的思科 PIX 防火墻【影響】：增加系統(tǒng)的可管理性【注意事項】：在所有設(shè)備上實施該配置，內(nèi)容不包括與設(shè)備特征有關(guān)的信息，如層次、IP 地址、類型、歸屬網(wǎng)絡(luò)、管理 員等?！揪唧w配置】：！登錄思科 PIX，管理員權(quán)限下：PIX(Config)banner login“xxxxxxxxxxxxxxxxxxx” 源地址路由限制單播反向路徑發(fā)送（Unicast Reverse Path Forwarding，單播 RPF）也稱為“ 反向路徑查詢”，它提供向內(nèi)和向外過濾，以便 預防 IP 欺 詐。 這個特性能夠檢查向內(nèi)傳輸?shù)陌?IP 源地址完整性，保證去往受控區(qū)域以外的主機的包擁有可以在實施實體本地路由表時由路徑驗證的 IP 源地址?！咀⒁馐马棥浚涸讷@取支撐單位的技術(shù)確認后實施【影響】：增加系統(tǒng)負載【具體配置】：！Implements Unicast RPF IP spoofing protection.22 / 22PIX(Config)ip verify reversepath interface int_namePIX(Config)no ip verify reversepath interface int_namePIX(Config)clear ip verify reversepath interface int_namePIX(Config)clear ip verifyPIX(Config)show ip verify [reversepath [interface int_name]]
公司管理相關(guān)推薦
鄂ICP備17016276號-1