上一篇：黑客经常更改的系统配置文件及注册表

底层安全——路由篇

注:本文已发表于2005年黑客x档案第9 期路由器是网络中的神经中枢，在网络中占据着主要的地位，我们的广域网就是靠一个个路由器连接起来组成的。随着企事业单位的网络不断扩大，可靠性、安全性以成为人们的主要须求，曾经神秘的路由器，现在已经飞入寻常百姓家了。随着路由器的增多，路由器的安全性也逐渐成为大家探讨的一个热门话题了，本文主要针对我们公司的cisco3640要说一下路由配置需要注意的几点，（软件版本不命令也会有些差别）公司基本网络拓扑结构如图1。

此文也是本人在工作过程中所整理的，本人技术还不成熟就算是抛砖引玉吧！
首先呢！我们的路由要有一个强壮的密码，（为了方便我把密码简单化了）进入配置模式的密码：
cisco-3640#configure
terminal
enter configuration commands, one per line.　end with
cntl/z.
cisco-3640(config)#enable secret
hackerxfiles
cisco-3640(config)#enable password destiny　
//当secret密码机制失效时启用他
配置它console接口密码为cisco及telnet登录密码为hackbase：
cisco-3640(config)#line
console 0
cisco-3640(config-line)#password
cisco
cisco-3640(config-line)#login
cisco-3640(config-line)#exit
cisco-3640(config)#line
vty 0 4
cisco-3640(config-line)#password
hackbase
cisco-3640(config-line)#login
指定他的连接超时时间为30秒：
cisco-3640(config)#line
console 0
cisco-3640(config-line)#exec-timeout 0
30
虽说密码是设置完了，可是除secret密码其它的密码是明文的，当得到配置文件时那密码将一览无疑了，用“show
running-config”命令可以看到如图2。

解决办法：我们可以在配置模式运行“service password-encryption”为其它密码加密。
禁止掉不须要的服务，在这里我只写三种，使用方法和ios版本有关可以参照随机手册。禁止cdp(cisco
discovery protocol)、禁止http、服务dns服务。
cisco-3640 (config)#no cdp run
cisco-3640 (config)# no ip http
cisco-3640 (config)# no ip
domain-lookup server
由于我们网络只有两个管理员，他们的ip分别是172.16.1.254、10.1.2.254，
现在我们用访问列表只让这两个ip，telnet上我们的设备：
cisco-3640(config)#access-list
1 permit 10.1.2.254
cisco-3640(config)#access-list 1 permit
172.16.1.254
cisco-3640(config)#line vty 0
4
cisco-3640(config-line)#access-class 1
in
当然，我们也可以禁止任何人telnet登录我们的设备，如果您工作在一楼而机房又在n楼，此方法就不太可用了。
我们不禁止非授权用户从内网访问服务器群：
cisco-3640(config)#access-list 2
permit 10.1.2.254
cisco-3640(config)#access-list 2 permit
10.1.2.253
cisco-3640(config)#access-list 2 permit 10.1.2.252　
//以上三个ip是授权用户
cisco-3640(config)#interface fastethernet
0/0
cisco-3640(config-if)#ip access-group 2 in
避免非管理员拿设备连接到网管所在接网络口上对路由配置：我们也可以在接入这二个地址的交换机上设置一个接口对应一个mac地址，违反规则关掉此接口：
center-switch01(config-if)#port
security max-mac-count 1
center-switch01(config-if)#port security action
shutdown
当然，我们还可以在每个接口上配置每个接口绑定一个mac地址、使用户不能改变ip地址、用vlan来过滤，但这已不是我们今天所讨论的问题了，如有机会下期会写出来和大家见面的。
还有一点注意的是，要经常备份我们路由的配置文件，这些文件放在安全的在存储设备上，如果配置文件保存在tftp服务器上说不定那天tftp服务器就被你自己人拿下了。由于篇幅原因只能就此搁笔了，还有很多没有涉及到，本文技术浅薄大牛匆笑。

（）

下一篇：黑客实施攻击的步骤与方法

↓相关文章：