CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
Danh sách nội dung [Ẩn]
Để tối đa hóa tính linh hoạt, lệnh Cisco AutoSecure hỗ trợ hai chế độ khác nhau tùy thuộc vào nhu cầu và tính linh hoạt cần thiết của bạn:
AutoSecure Interactive Mode : Chế độ này nhắc người dùng các tùy chọn bật/tắt dịch vụ và các tính năng bảo mật khác được hỗ trợ bởi phiên bản iOS mà bộ định tuyến đang chạy.
AutoSecure Non-Interactive Mode : Tự động thực thi lệnh Cisco AutoSecure bằng cách sử dụng cài đặt mặc định của Cisco được đề xuất (các phương pháp bảo mật tốt nhất của Cisco).
Chế độ AutoSecure Interactive của Cisco cung cấp khả năng kiểm soát tốt hơn đối với các tính năng liên quan đến bảo mật so với non-interactive mode . Tuy nhiên, khi quản trị viên cần nhanh chóng bảo mật bộ định tuyến mà không cần nhiều sự can thiệp của con người, chế độ không tương tác sẽ phù hợp.
Chúng ta sẽ sớm kiểm tra sự khác biệt thực tế giữa hai lệnh. Hiện tại, chúng ta hãy xem các chức năng mà Cisco AutoSecure thực hiện:
Rõ ràng là Cisco AutoSecure làm được nhiều hơn là thực thi một vài lệnh.
Đây là chế độ được khuyến nghị để bảo mật Router Cisco của bạn. Khi sử dụng AutoSecure Interactive của Cisco, Router sẽ nhắc một số câu hỏi liên quan đến cấu trúc liên kết hiện tại, cách nó được liên kết với Internet, giao diện nào kết nối với Internet, v.v. Việc cung cấp thông tin này là cần thiết vì AutoSecure sẽ sử dụng thông tin này để khóa bộ định tuyến và vô hiệu hóa các dịch vụ theo yêu cầu của các phương pháp bảo mật tốt nhất của Cisco.
Dưới đây là lệnh cần thiết để bắt đầu tính năng AutoSecure Interactive. Bạn có thể hủy phiên bất kỳ lúc nào bằng cách nhấn Ctrl-C hoặc nhấn ? để được giúp đỡ
R1# auto secure
--- AutoSecure Configuration ---
*** AutoSecure configuration enhances the security of
the router, but it will not make it absolutely resistant
to all security attacks ***
AutoSecure will modify the configuration of your device.
All configuration changes will be shown. For a detailed
explanation of how the configuration changes enhance security
and any possible side effects, please refer to Cisco.com for
Autosecure documentation.
At any prompt you may enter '?' for help.
Use ctrl-c to abort this session at any prompt.
Gathering information about the router for AutoSecure
Is this router connected to internet? [no]: yes
Enter the number of interfaces facing the internet [1]: 1
Interface IP-Address OK? Method Status Protocol
FastEthernet0/0 10.0.0.100 YES NVRAM up up
FastEthernet0/1 192.168.151.10 YES NVRAM up up
NVI0 10.0.0.100 YES unset up up
Enter the interface name that is facing the internet: FastEthernet0/1
Securing Management plane services...
Disabling service finger
Disabling service pad
Disabling udp & tcp small servers
Enabling service password encryption
Enabling service tcp-keepalives-in
Enabling service tcp-keepalives-out
Disabling the cdp protocol
Disabling the bootp server
Disabling the http server
Disabling the finger service
Disabling source routing
Disabling gratuitous arp
Configure NTP Authentication? [yes]: no
Enter the new enable password: *****
% Invalid Password length - must contain 6 to 25 characters. Password configuration failed
Enter the new enable password: **********
Confirm the enable password: **********
Configuring AAA local authentication
Configuring Console, Aux and VTY lines for
local authentication, exec-timeout, and transport
Securing device against Login Attacks
Configure the following parameters
Blocking Period when Login Attack detected: 15
Maximum Login failures with the device: 3
Maximum time period for crossing the failed login attempts: 20
Configure SSH server? [yes]: no
Configuring interface specific AutoSecure services
Disabling the following ip services on all interfaces:
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
Disabling mop on Ethernet interfaces
Securing Forwarding plane services...
Enabling unicast rpf on all interfaces connected to internet
Configure CBAC Firewall feature? [yes/no]: yes
This is the configuration generated:
no service finger
no service pad
no service udp-small-servers
no service tcp-small-servers
service password-encryption
service tcp-keepalives-in
service tcp-keepalives-out
no cdp run
no ip bootp server
no ip http server
no ip finger
no ip source-route
no ip gratuitous-arps
no ip identd
security passwords min-length 6
security authentication failure rate 10 log
enable password 7 11584B5643475D
aaa new-model
aaa authentication login local_auth local
line con 0
login authentication local_auth
exec-timeout 5 0
transport output telnet
line aux 0
login authentication local_auth
exec-timeout 10 0
transport output telnet
line vty 0 15
login authentication local_auth
transport input telnet
line tty 1
login authentication local_auth
exec-timeout 15 0
login block-for 15 attempts 3 within 20
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
logging facility local2
logging trap debugging
service sequence-numbers
logging console critical
logging buffered
interface FastEthernet0/0
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
no mop enabled
interface FastEthernet0/1
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
no mop enabled
access-list 101 permit udp any any eq bootpc
interface FastEthernet0/1
ip verify unicast source reachable-via rx allow-default 101
ip inspect audit-trail
ip inspect dns-timeout 7
ip inspect tcp idle-time 14400
ip inspect udp idle-time 1800
ip inspect name autosec_inspect cuseeme timeout 3600
ip inspect name autosec_inspect ftp timeout 3600
ip inspect name autosec_inspect http timeout 3600
ip inspect name autosec_inspect rcmd timeout 3600
ip inspect name autosec_inspect realaudio timeout 3600
ip inspect name autosec_inspect smtp timeout 3600
ip inspect name autosec_inspect tftp timeout 30
ip inspect name autosec_inspect udp timeout 15
ip inspect name autosec_inspect tcp timeout 3600
ip access-list extended autosec_firewall_acl
permit udp any any eq bootpc
deny ip any any
interface FastEthernet0/1
ip inspect autosec_inspect out
ip access-group autosec_firewall_acl in
!
end
Apply this configuration to running-config? [yes]: yes
Applying the config generated to running-config
Lưu ý rằng bộ định tuyến đã từ chối mật khẩu enable, ban đầu vì nó không tuân thủ các yêu cầu bảo mật mật khẩu.
Nếu tại bất kỳ thời điểm nào bạn muốn kiểm tra các thay đổi cấu hình do tính năng Cisco AutoSecure thực hiện trước khi lưu chúng, bạn có thể sử dụng lệnh show auto secure config
R1# show auto secure config
Chế độ non-interactive của AutoSecure của Cisco là một tính năng thiết lập 'nhanh' hơn, bỏ qua bất kỳ đầu vào nào của người dùng và nhanh chóng bảo mật bộ định tuyến bằng cách sử dụng các phương pháp bảo mật tốt nhất của Cisco
Việc chạy chế độ AutoSecure không tương tác được thực hiện bằng cách nhập lệnh auto secure no-interact như hình bên dưới. Bộ định tuyến sẽ hiển thị một số thông tin và tiếp tục tự cấu hình:
R1# auto secure no-interact
Dưới đây là kết quả dự kiến sau khi lệnh tự động bảo mật không tương tác được thực thi:
--- AutoSecure Configuration ---
*** AutoSecure configuration enhances the security of
the router, but it will not make it absolutely resistant
to all security attacks ***
AutoSecure will modify the configuration of your device.
All configuration changes will be shown. For a detailed
explanation of how the configuration changes enhance security
and any possible side effects, please refer to Cisco.com for
Autosecure documentation.
Securing Management plane services...
Disabling service finger
Disabling service pad
Disabling udp & tcp small servers
Enabling service password encryption
Enabling service tcp-keepalives-in
Enabling service tcp-keepalives-out
Disabling the cdp protocol
Disabling the bootp server
Disabling the http server
Disabling the finger service
Disabling source routing
Disabling gratuitous arp
Configuring interface specific AutoSecure services
Disabling the following ip services on all interfaces:
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
Disabling mop on Ethernet interfaces
Securing Forwarding plane services...
This is the configuration generated:
no service finger
no service pad
no service udp-small-servers
no service tcp-small-servers
service password-encryption
service tcp-keepalives-in
service tcp-keepalives-out
no cdp run
no ip bootp server
no ip http server
no ip finger
no ip source-route
no ip gratuitous-arps
no ip identd
security passwords min-length 6
security authentication failure rate 10 log
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
logging facility local2
logging trap debugging
service sequence-numbers
logging console critical
logging buffered
interface FastEthernet0/0
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
no mop enabled
interface FastEthernet0/1
no ip redirects
no ip proxy-arp
no ip unreachables
no ip directed-broadcast
no ip mask-reply
no mop enabled
!
end
Applying the config generated to running-config
Đối với những người muốn khám phá tất cả các tùy chọn có sẵn của lệnh Cisco AutoSecure, hãy sử dụng lệnh auto secure , theo sau là dấu chấm hỏi ? như hình dưới đây:
R1# auto secure ?
firewall AutoSecure Firewall
forwarding Secure Forwarding Plane
full Interactive full session of AutoSecure
login AutoSecure Login
management Secure Management Plane
no-interact Non-interactive session of AutoSecure
ntp AutoSecure NTP
ssh AutoSecure SSH
tcp-intercept AutoSecure TCP Intercept
Thử các tham số và tùy chọn khác nhau sẽ giúp hiểu rõ hơn về cách AutoSecure hoạt động và các tùy chọn mà nó cung cấp để giúp bảo mật mạng của bạn một cách tốt nhất.
Sử dụng tính năng Cisco AutoSecure để bảo mật bộ định tuyến của bạn là một nhiệm vụ rất đơn giản và không nên bỏ qua, ngay cả với các kỹ sư mạng có kinh nghiệm. Với việc sử dụng các tính năng như vậy, người ta có thể tạo một mẫu cấu hình có tính đến tất cả các biện pháp bảo mật cơ bản cần thiết.
Hy vọng rằng hướng dẫn này đã giúp bạn hiểu hơn về bảo mật Router Cisco bằng tính năng Cisco AutoSecure. Nếu bạn có bất kỳ câu hỏi hoặc gặp khó khăn, đừng ngần ngại liên hệ với chúng tôi theo thông tin dưới đây để được hỗ trợ thêm.
CÔNG TY CỔ PHẦN DỊCH VỤ CÔNG NGHỆ DATECH
• Địa chỉ: Số 23E4 KĐT Cầu Diễn, Tổ 7, Phú Diễn, Bắc Từ Liêm, Hà Nội
• Điện thoại: 02432012368
• Hotline: 098 115 6699
• Email: info@datech.vn
• Website: https://datech.vn