reference中國移動通信集團網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思-在線瀏覽
2025-06-03 13:10本頁面
【正文】 ...........................................................................184 特定的安全配置 ...........................................................18 其他特定的安全配置 ..............................................................................................18 禁止未使用或空閑的端口 ..............................................................................18 banner 的設(shè)置要求 ..........................................................................................18 源地址路由限制 ..............................................................................................194 / 22第一部分 概述和介紹1 概述本文檔對中國移動網(wǎng)絡(luò)思科防火墻－pix 安全配置 標準進行描述，規(guī)范涉及適用范圍、對應(yīng)網(wǎng)絡(luò)設(shè)備本身安全機制的介紹和設(shè)備安全配置標準三個部分，在規(guī)范中針對設(shè)備的六大安全規(guī)范主題進行描述，除了提供詳細的安全配置標準外，同時 考慮設(shè)備型號和適用網(wǎng)絡(luò)層次的不同，并 對實際配置過程中應(yīng)注意的問題進行詳細描述。 項目背景該項目是為了規(guī)范網(wǎng)絡(luò)設(shè)備的安全配置標準，提高中國移動網(wǎng)絡(luò)設(shè)備的安全性而提出的。 項目目標該項目的目標是對中國移動網(wǎng)絡(luò)中使用的網(wǎng)絡(luò)思科防火墻－pix 安全配置標準進行規(guī)范，實現(xiàn)規(guī)范和指 導(dǎo)各省各應(yīng)用系統(tǒng)網(wǎng)絡(luò)設(shè)備安全配置的作用。2 適用的軟件版本本規(guī)范適用的設(shè)備版本如下表：設(shè)備名稱 設(shè)備型號 IOS 版本 備注Cisco PIX 系列防火墻50506E、515E、505152535型號CISCO PIX 及以上版本注意：考慮到思科設(shè)備的小版本號繁多，并且不易分辨。6 / 22第二部分 設(shè)備的安全機制該部分內(nèi)容對思科 PIX 防火墻自身的安全機制進行簡單描述，對每種安全機制可以解決什么問題進行闡述。Ciso PIX Firewall 是基于這兩種技術(shù)結(jié)合的防火 墻。通過管道技術(shù)，出境訪問列表，可以有效地控制內(nèi)、外部各資源的訪問。PIX Firewall 提供的完全防火墻保護以及 IP 安全（ IPsec）虛擬專網(wǎng)能力特別適合于保護企業(yè)總部的邊界。靜 態(tài)安全性雖然比較簡單，但與包過濾相比，功能卻更加強勁；與應(yīng)用層代理防火墻相比，其性能更高，擴展性更強。只有存在已確定連接關(guān)系的正確連接時 ，訪問才被允許通過。另外，PIX Firewall 實現(xiàn)了在 Inter 或所有 IP 網(wǎng)絡(luò)上的安全保密通信。該產(chǎn)品可以同時連接高達 4 個 VPN 層，為用戶提供完整的 IPsec標準實施方法，其中 IPsec 保證了保密性、完整性和認證能力。PIX Firewall 是一個可靠的、便于維護的平臺，可以提供多種配置、監(jiān)控和診斷方式。 Cisco PIX CLI 讓用戶可以利用現(xiàn)有的 PIX CLI 技術(shù)，方便地進行安裝和管理，可以通過多種方式訪問，包括控制臺端口、遠程登陸 和 CLI。PIX Firewall 設(shè)備管理器（PDM）可以為管理員提供一個直 觀的、基于 Web 的界面，從而使他們可以方便地配置和監(jiān)控一臺 PIX Firewall，而不需要在管理員的計算機上安裝任何軟件（除了一個標準的 Web 瀏覽 器以外）。管理員還可以通過 Cisco VPN/安全管理解決方案（VMS）中提供的 Cisco 安8 / 22全策略管理器（CSPM ）方便地對很多 PIX Firewall 防火墻進行遠程管理。9 / 22第三部分 設(shè)備安全配置建議設(shè)備安全配置建議是本規(guī)范重要的一個部分，該部分將對思科 PIX 防火墻安全配置的細節(jié)進行描述，并 對配置適用的網(wǎng)絡(luò)層次、對設(shè)備性能的影響和配置實施的注意點進行詳細說明。雖然 Tel 在連接建立初期需要進行帳號和密碼的核查，但是在此過程，以及后續(xù)會話中，都是明文方式傳送所有數(shù)據(jù)，容易造竊聽而泄密。要求采用 SSH 協(xié)議來取代 Tel 進行設(shè)備的遠程登錄，SSH 與 Tel 一樣，提供遠程連接登錄的手段。 SSH 可以非常有效地防止竊聽、防止使用地址欺騙手段實施的連接嘗試。10 / 22 tel 服務(wù)的配置在默然情況下，PIX 的以太端口是不允許 tel 的，這一點與路由器有區(qū)別。如果不設(shè)置 tel 的相關(guān)屬性，對 PIX 的配置只能通過 CONSOLE 進行。【應(yīng)用網(wǎng)絡(luò)層次】：在所有層面防火墻設(shè)備 【影響】：只有指定的網(wǎng)管網(wǎng)段可以登陸設(shè)備，其他地址將被限制【具體配置】：！開啟 tel 服務(wù)：PIX(Config)tel inside PIX(Config)tel outside！對 tel 訪問地址進行限制：PIX(Config)tel PIX(config) tel timeout 20！關(guān)閉 tel 服務(wù)：PIX(Config)no tel xxxx xxxx inside SSH 配置【應(yīng)用網(wǎng)絡(luò)層次】：所有層面防火墻設(shè)備 【影響】：需使用支持 SSHD 終端登陸，如 SecureCRT 等【具體配置】：PIX(config)domainname PIX(config) ca generate rsa key 1024 PIX(config) ca save all 11 / 22!生成 RSA 密鑰對PIX(config) show ca mypubkey rsa !查看本地生成的公鑰PIX(config) ssh outside_ip_addr outside PIX(config) ssh timeout 20!配置限制訪問地址可以 SSH 進來，另 設(shè) SSH 的超 時時間為 20 分鐘PIX(config) username test password testPIX(config) aaa authenticate ssh console LOCAL!認證方式采用本地方式，也可以用 RADIUS/TACACS+進行認證。當外方人員需要登錄設(shè)備時， 應(yīng)創(chuàng)建臨時帳號，并指定合適的權(quán)限。登 錄帳號及密碼的保管和更新應(yīng)由專人負責，并注意保密。為了提高安全性，在方便記憶的前提下， 帳號名字應(yīng) 盡量混用字符的大小寫、數(shù)字和符號，提高猜度的難度。一般情況下密碼至少包含 8 個字符。12 / 22要考慮有些設(shè)
公司管理相關(guān)推薦
鄂ICP備17016276號-1