信息安全知識競賽培訓(xùn)-網(wǎng)絡(luò)設(shè)備(已改無錯(cuò)字)
2023-02-21 22:19:45 本頁面
【正文】 no service config CISCO設(shè)備安全維護(hù) 路由器快照 ?為防止意外情況的發(fā)生，可對運(yùn)行的路由器進(jìn)行快照保存。 ?路由器的快照需要保存兩個(gè)信息： ? 當(dāng)前的配置 running config ? 當(dāng)前的開放端口列表 CISCO設(shè)備安全維護(hù) 常用命令 ?Terminal monitor ?Show users ?Show version ?Show clock ?Show logging ?Show arp ?Clear line vty ? … JUNIPER設(shè)備安全設(shè)置 ?JUNIPER設(shè)備通用安全知識 ?JUNIPER設(shè)備安全設(shè)置 訪問控制列表 ?JUNIPER設(shè)備安全設(shè)置 路由協(xié)議安全 ?JUNIPER設(shè)備安全設(shè)置 網(wǎng)管安全 ?JUNIPER設(shè)備安全設(shè)置 SNMP協(xié)議安全 ?JUNIPER設(shè)備安全設(shè)置 日志 ?JUNIPER設(shè)備安全設(shè)置 特定安全配置 JUNIPER設(shè)備通用安全知識 ?作為電信行業(yè)常見的路由設(shè)備， JUNIPER設(shè)備除了能提供強(qiáng)大的數(shù)據(jù)交換功能外，還可以提供最基礎(chǔ)的網(wǎng)絡(luò)安全防護(hù)功能。 ?由于 JUNIPER設(shè)備負(fù)擔(dān)著運(yùn)營商業(yè)務(wù)、經(jīng)營等數(shù)據(jù)，如何保證 JUNIPER設(shè)備自身的安全，是網(wǎng)絡(luò)管理人員首當(dāng)其沖面臨的安全問題。 ?充分的利用 JUNIPER設(shè)備自身的安全特性，合理的使用 JUNIPER設(shè)備的安全配置，可保證運(yùn)營商網(wǎng)絡(luò)JUNIPER設(shè)備的運(yùn)行安全。 JUNIPER設(shè)備通用安全知識 ? 訪問控制： JUIPER路由器具有強(qiáng)大的訪問控制能力，在設(shè)備的訪問控制能力包括：遠(yuǎn)程登錄控制能力、 snmp的認(rèn)證、路由協(xié)議的認(rèn)證、 IP地址限制、流量控制等。 ? 數(shù)據(jù)加密： JUNOS除了普通的明文 tel連接之外，能提供標(biāo)準(zhǔn)的 SSH連接。 JUNOS可支持 SSHv1和 /或 SSHv2，但需要確認(rèn)系統(tǒng)加載的版本是否具有安全加密的功能。 ? 日志： JUIPER路由器具有強(qiáng)大的日志功能，可以通過日志記錄各種路由器的相關(guān)信息，內(nèi)容包括登陸日志、系統(tǒng)操作命令、異常事件日志、系統(tǒng)故障信息等，并具有通過SYSLOG或 snmp trap進(jìn)行通信的能力。 JUNIPER設(shè)備安全設(shè)置 訪問控制列表 ?JUNOS的訪問控制列表（ ACL）功能（ JUNOS稱之為Firewall Filter）非常強(qiáng)大，可以靈活的創(chuàng)建，以實(shí)現(xiàn)眾多功能。 Juniper路由器采用 ASIC芯片來執(zhí)行 ACL的，而且 ACL檢查都先于轉(zhuǎn)發(fā)處理，不會影響設(shè)備的轉(zhuǎn)發(fā)效能和路由處理。 ?建議 ACL的設(shè)置應(yīng)盡量往網(wǎng)絡(luò)邊緣靠，如在接入層設(shè)備和全網(wǎng)出口處。這樣能起到更好的防范效果，也包證了網(wǎng)絡(luò)的整體轉(zhuǎn)發(fā)效能不受影響。 JUNIPER設(shè)備訪問控制列表 訪問地址限制 ?只允許合法的網(wǎng)管網(wǎng)段或網(wǎng)管和維護(hù)主機(jī)地址作為源地址發(fā)起對設(shè)備的遠(yuǎn)程連接，如 Tel、 SSH、Http、 SNMP、 Syslog等。 ?只允許需要的協(xié)議端口能進(jìn)入（如 OSPF、 BGP等） 。 ?禁止所有以設(shè)備端口 IP地址為目的地址的非法數(shù)據(jù)包。 JUNIPER設(shè)備訪問控制列表 自身防護(hù)功能 ? ICMP數(shù)據(jù)包：目前網(wǎng)絡(luò)上泛濫著大量的使用 ICMP數(shù)據(jù)包的 DoS攻擊，建議創(chuàng)建 ACL來屏蔽所有的 ICMP數(shù)據(jù)流，再加添高優(yōu)先級的ACL來允許特殊類型或具體源 /目地址的 ICMP包通過。 ? 病毒數(shù)據(jù)包：針對已知的病毒配置 ACL，實(shí)現(xiàn)對已知攻擊模式的病毒攻擊的防護(hù)。 ? 非法地址屏蔽：屏蔽不應(yīng)在 Inter上出現(xiàn)的 IP地址 回環(huán)地址()； RFC1918私有地址； DHCP自定義地址()；科學(xué)文檔作者測試用地址 ()；不用的組播地址 ()； SUN公司的古老的測試地址(。)；全網(wǎng)絡(luò)地址 ()等等。 ? 服務(wù)端口屏蔽：屏蔽不應(yīng)在 Inter上出現(xiàn)的服務(wù)端口。 JUNIPER設(shè)備安全設(shè)置 路由協(xié)議安全 ?路由協(xié)議是數(shù)據(jù)網(wǎng)絡(luò)最常用的技術(shù)。大部分的路由協(xié)議都會周期發(fā)送組播或廣播 PDU來維持協(xié)議運(yùn)作。組播和廣播模式自身就存在嚴(yán)重安全隱患，而且路由協(xié)議的 PDU攜帶有敏感的路由信息。一旦路由協(xié)議 PDU被竊聽或冒充后，不對的或被惡意篡改的路由信息將直接導(dǎo)致網(wǎng)絡(luò)故障，甚至網(wǎng)絡(luò)癱瘓。路由協(xié)議運(yùn)作過程中的安全防護(hù)是保證全網(wǎng)安全的重要一環(huán)。 JUNIPER設(shè)備路由協(xié)議安全 協(xié)議認(rèn)證 ? JUNIPER設(shè)備的路由協(xié)議 OSPF、 ISIS和 BGP都具有 MD5認(rèn)證功能。默認(rèn)不啟用 。建議啟用該項(xiàng)功能。 ? 建議在與不可信網(wǎng)絡(luò)建立路由關(guān)系時(shí)，或鄰居關(guān)系承載在不可信鏈路上時(shí)，加添路由策略來限制只與可信設(shè)備間建立路由鄰接關(guān)系，以及只發(fā)送盡可能簡潔和必要的路由信息，和只接受必要的外部路由更新。將路由協(xié)議的交互工作置于受控狀態(tài)。 ? 設(shè)備基本都能提供強(qiáng)大的路由策略配置能力，再配合 ACL的過濾，能對路由更新的發(fā)送和接受起到精確控制。建議應(yīng)根據(jù)需要來啟用 IP端口對 OSPF或 ISIS的支持。這樣可以凈化鏈路流量，也有助于提高網(wǎng)絡(luò)安全性。 ? 雙方配置的認(rèn)證字段與解密 id必須完全一致，否則將會中斷路由協(xié)議運(yùn)行，建議雙方路由器的配置最好同時(shí)進(jìn)行，保證路由中斷最少時(shí)間。 JUNIPER設(shè)備路由協(xié)議安全 被動端口 ?為了使某一直連網(wǎng)段能夠通過協(xié)議宣告出去，但又不用路由策略來做直連網(wǎng)段的分發(fā)限制，而隨意將該 IP端口加入路由域的作法不值得提倡。建議在此情況下應(yīng)該將該端口設(shè)為 Passive模式來滿足需要。 JUNIPER設(shè)備路由協(xié)議安全 源路由 ? 為了防止利用 IP Spoofing手段假冒源地址進(jìn)行的 DoS攻擊對整個(gè)網(wǎng)絡(luò)造成的沖擊，建議在所有的邊緣路由設(shè)備（即直接與終端用戶網(wǎng)絡(luò)互連的路由設(shè)備）上，根據(jù)用戶網(wǎng)段規(guī)劃添加源路由檢查。 ?Juniper設(shè)備提供全局模式下啟用 URPF（ UnicastReversePathForward
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1