Cisco路由器安全配置命令有哪些

　　每位管理員都其自己的“正確”配置每臺路由器的命令。下面是小編整理的十條命令是在每臺路由器上都配置的，希望對你有幫助!

　　1、在路由器上配置一個(gè)登錄帳戶(hù)

　　我強烈建議在路由器和交換機上配置一個(gè)真實(shí)的用戶(hù)名和口令帳號。這樣做，意味著(zhù)你需要用戶(hù)和口令來(lái)獲得訪(fǎng)問(wèn)權。

　　除此之外，我建議為用戶(hù)名使用一個(gè)秘密口令，而不僅有一個(gè)常規口令。它用MD5加密方法來(lái)加密口令，并且大大提高了安全性。舉例如下:

　　Router(config)#username root secret My$Password

　　在配置了用戶(hù)名后，你必須啟用使用該用戶(hù)名的端口。舉例如下:

　　Router(config)#line con 0

　　Router(config-line)#loginlocal

　　Router(config)#lineaux 0

　　Router(config-line)#loginlocal

　　Router(config)#linevty 0 4

　　Router(config-line)#loginlocal

　　2、在路由器上設置一個(gè)主機名

　　我猜測路由器上缺省的主機名是router。你可以保留這個(gè)缺省值，路由器同樣可以正常運行。然而，對路由器重新命名并唯一地標識它才有意義。舉例如下:

　　Router(config)#hostnameRouter-Branch-23

　　除此之外，你可以在路由器上配置一個(gè)域名，這樣它就知道所處哪個(gè)DNS域中。舉例如下:

　　Router-Branch-23(config)#ipdomain name TechRepublic.com

　　3、為進(jìn)入特權模式設置口令

　　當談到設置進(jìn)入特權模式的口令時(shí)，許多人想到使用enablepassword命令。然而，代替使用這個(gè)命令，我強烈推薦使用enablesecret命令。

　　這個(gè)命令用MD5加密方法加密口令，所以提示符不以明文顯示。舉例如下:

　　Router(config)#enablesecret My$Password

　　4、加密路由器口令

　　Cisco路由器缺省情況下在配置中不加密口令。然而，你可以很容易地改變這一點(diǎn)。舉例如下:

　　Router(config)#servicepassword-encryption

　　5、禁用Web服務(wù)

　　Cisco路由器還在缺省情況下啟用了Web服務(wù)，它是一個(gè)安全風(fēng)險。如果你不打算使用它，最好將它關(guān)閉。舉例如下:

　　Router(config)#noip http server

　　6、配置DNS，或禁用DNS查找

　　讓我們討論Cisco路由器中我個(gè)人認為的一個(gè)小毛病:缺省情況下，如果在特權模式下誤輸入了一個(gè)命令，路由器認為你試圖Telnet到一個(gè)遠程主機。然而它對你輸入的內容卻執行DNS查找。

　　如果你沒(méi)有在路由器上配置DNS，命令提示符將掛起直到DNS查找失敗。由于這個(gè)原因，我建議使用下面兩個(gè)方法中的一個(gè)。

　　一個(gè)選擇是禁用DNS。做法是:

　　Router(config)#noip domain-lookup

　　或者，你可以正確地配置DNS指向一臺真實(shí)的DNS服務(wù)器。

　　Router(config)#ipname-server

　　7、配置命令別名

　　許多網(wǎng)絡(luò )管理員都知道在路由器上配置命令的縮寫(xiě)(也就是別名)。舉例如下:

　　Router(config)#aliasexec s sh run

　　這就是說(shuō)你現在可以輸入s，而不必輸入完整的showrunning-configuration命令。

　　8、設置路由器時(shí)鐘，或配置NTP服務(wù)器

　　多數Cisco設備沒(méi)有內部時(shí)鐘。當它們啟動(dòng)時(shí)，它們不知道時(shí)間是多少。即使你設置時(shí)間，如果你將路由器關(guān)閉或重啟，它不會(huì )保留該信息。

　　首先設置你的時(shí)區和夏令時(shí)。例子如下:

　　Router(config)#clocktimezone CST-6

　　Router(config)#clocksummer-time CDT recurring

　　然后，為了確保路由器的事件消息顯示正確的時(shí)間，設置路由器的時(shí)鐘，或者配置一個(gè)NTP服務(wù)器。設置時(shí)鐘的例子如下:

　　Router# clock set10:54:00 Oct 5 2005

　　如果你已經(jīng)在網(wǎng)絡(luò )中有了一個(gè)NTP服務(wù)器(或可以訪(fǎng)問(wèn)Internet的路由器)，你可以命令路由器將之作為時(shí)間源。這是你最好的選擇，當路由器啟動(dòng)時(shí)，它將通過(guò)NTP服務(wù)器設置時(shí)鐘。舉例如下:

　　Router(config)# ntpserver 132.163.4.101

　　9、不讓日志消息打擾你的配置過(guò)程

　　CiscoIOS中另一個(gè)我認為的小毛病就是在我配置路由器時(shí)，控制臺界面就不斷彈出日志消息(可能是控制臺端口，AUX端口或VTY端口)。要預防這一點(diǎn)，你可以這樣做。

　　所以在每一條端口線(xiàn)路上，我使用日志同步命令。舉例如下:

　　Router(config)#linecon 0

　　Router(config-line)#loggingsynchronous

　　Router(config)#lineaux 0

　　Router(config-line)#loggingsynchronous

　　Router(config)#linevty 0 4

　　Router(config-line)#loggingsynchronous

　　除此之外，你可以在端口上修改這些端口的執行超時(shí)時(shí)間。例如，我們假設你想禁用VTY線(xiàn)路上默認的十分鐘超時(shí)時(shí)間。在線(xiàn)路配置模式下使用exec-timeout00命令，使路由器永不退出。

　　10、在路由器緩沖區或系統日志服務(wù)器中記錄系統消息

　　捕獲路由器的錯誤和事件以及監視控制臺是解決問(wèn)題的關(guān)鍵。默認情況下，路由器不會(huì )將緩沖的事件記錄發(fā)送到路由器內存中。

　　然而，你可以配置路由器將緩沖的事件記錄發(fā)送到內存。舉例如下:

　　Router(config)#loggingbuffered 16384

　　你還可以將路由器事件發(fā)送到一個(gè)系統日志服務(wù)器。由于該服務(wù)器處在路由器外部，就有一個(gè)附加的優(yōu)點(diǎn)：即使路由器斷電也會(huì )保留事件記錄。

【Cisco路由器安全配置命令有哪些】相關(guān)文章：

Cisco路由器安全配置命令03-04

Cisco路由器配置命令大全06-12

CISCO路由器配置命令詳解設置試題08-28

cisco交換機安全配置設定命令大全03-05

CISCO路由器配置命令廣域網(wǎng)協(xié)議設置試題03-07

CISCO路由器CHAP認證配置06-17

華為路由器配置命令04-10

cisco路由器voip配置解析201603-30

Cisco路由器配置信息及口令的清除03-03