Cisco路由器安全配置必用10條命令

當談到配置一臺新的CISCO路由器，多數配置依賴於路由器的類型以及它將服務的用途。然而，每位管理員都有其本身的「正確」配置每臺路由器的命令列表。筆者將和你分享他本身配置路由器的十條命令列表。
　　

　　當談到配置一臺新的Cisco路由器，多數配置依賴於路由器的類型以及它將服務的用途。然而，有一些東西是你在每臺新的Cisco路由器上都應該配置的。
　　
　　有哪一個命令的標準是你但願思科在每臺路由器上都使用的嗎?每位管理員都其本身的「正確」配置每臺路由器的命令。
　　
　　這是我認爲你應該在每臺路由器上都配置的十條命令的列表(沒有特別的順序)。
　　
　　在路由器上配置一個登陸賬戶
　　
　　我強烈建議在路由器和交換機上配置一個真實的用戶名和口令賬號。這樣作，意味着你須要用戶和口令來得到訪問權。
　　
　　除此以外，我建議爲用戶名使用一個祕密口令，而不只有一個常規口令。它用MD5加密方法來加密口令，而且大大提升了安全性。舉例以下 :
　　
　　 Router(config)# username root secret My$Password
　　
　　在配置了用戶名後，你必須啓用使用該用戶名的端口。舉例以下:

Router(config)# line con 0
　　
　　 Router(config-line)# login local
　　
　　 Router(config)# line aux 0
　　
　　 Router(config-line)# login local
　　
　　 Router(config)# line vty 0 4
　　
　　 Router(config-line)# login local
　　
　　在路由器上設置一個主機名
　　
　　我猜想路由器上缺省的主機名是router。你能夠保留這個缺省值，路由器一樣能夠正常運行。然而，對路由器從新命名並惟一地標識它纔有意 義。舉例以下 :
　　
　　 Router(config)# hostname Router-Branch-23
　　
　　除此以外，你能夠在路由器上配置一個域名，這樣它就知道所處哪一個DNS域中。舉例以下 :
　　
　　 Router-Branch-23(config)# ip domain name TechRepublic.com
　　
　　爲進入特權模式設置口令
　　
　　當談到設置進入特權模式的口令時，許多人想到使用enable password命令。然而，代替使用這個命令，我強烈推薦使用enable secret命令。
　　
　　這個命令用MD5加密方法加密口令，因此提示符不以明文顯示。舉例以下 :
　　
　　 Router(config)# enable secret My$Password
　　
　　加密路由器口令
　　
　　Cisco路由器缺省狀況下在配置中不加密口令。然而，你能夠很容易地改變這一點。舉例以下 :
　　
　　 Router(config)# service password-encryption
　　
　　禁用Web服務
　　
　　Cisco路由器還在缺省狀況下啓用了Web服務，它是一個安全風險。若是你不打算使用它，最好將它關閉。舉例以下 :
　　
　　 Router(config)# no ip http server
　　
　　配置DNS，或禁用DNS查找
　　
　　讓咱們討論Cisco路由器中我我的認爲的一個小毛病:缺省狀況下，若是在特權模式下誤輸入了一個命令，路由器認爲你試圖TELNET到一個遠程 主機。然而它對你輸入的內容卻執行DNS查找。
　　
　　若是你沒有在路由器上配置DNS，命令提示符將掛起直到DNS查找失敗。因爲這個緣由，我建議使用下面兩個方法中的一個。
　　
　　一個選擇是禁用DNS。作法是 :
　　
　　 Router(config)# no ip domain-lookup
　　
　　或者，你能夠正確地配置DNS指向一臺真實的DNS服務器。
　　
　　 Router(config)# ip name-server
　　
　　配置命令別名
　　
　　許多網絡管理員都知道在路由器上配置命令的縮寫(也就是別名)。舉例以下 :
　　
　　 Router(config)# alias exec s sh run
　　
　　這就是說你如今能夠輸入s，而沒必要輸入完整的show running-configuration命令。
　　
　　設置路由器時鐘，或配置NTP服務器
　　
　　多數Cisco設備沒有內部時鐘。當它們啓動時，它們不知道時間是多少。即便你設置時間，若是你將路由器關閉或重啓，它不會保留該信息。
　　
　　首先設置你的時區和夏令時。例子以下 :
　　
　　 Router(config)# clock timezone CST -6
　　
　　 Router(config)# clock summer-time CDT recurring
　　
　　而後，爲了確保路由器的事件消息顯示正確的時間，設置路由器的時鐘，或者配置一個NTP服務器。設置時鐘的例子以下 :
　　
　　 Router# clock set 10:54:00 Oct 5 2005
　　
　　若是你已經在網絡中有了一個NTP服務器(或能夠訪問Internet的路由器)，你能夠命令路由器將之做爲時間源。這是你最好的選擇，當路由器啓動時，它將經過NTP服務器設置時鐘。舉例以下 :
　　
　　 Router(config)# ntp server 132.163.4.101
　　
　　不讓日誌消息打擾你的配置過程
　　
　　CISCO ios 中另外一個我認爲的小毛病就是在我配置路由器時，控制檯界面就不斷彈出日誌消息(多是控制檯端口，AUX端口或VTY端口)。要預 防這一點，你能夠這樣作。
　　
　　因此在每一條端口線路上，我使用日誌同步命令。舉例以下 :
　　
　　 Router(config)# line con 0
　　
　　 Router(config-line)# logging synchronous
　　
　　 Router(config)# line aux 0