众所周知，Cisco提供的网络设备，如路由器或防火墙，为网络管理员提供了管理和维护的接口，但也给企业网络带来了一些安全隐患。


如果非法入侵者能够成功的访问管理界面，所以界面将成为他们的聚宝盆，路由器，防火墙及相关设置会被偷走，甚至恶意的变化。它清除他们进一步入侵企业网络的方法。


在小编辑器下，关于这个主题的一些建议可能会有所帮助。


口令保护管理接口的安全性


在Cisco的网络设备中，默认情况下控制台不是默认设置的，因此，作为一种基本的、易于使用的安全措施，在网络管理员启动网络设备之后，第一项任务是立即为接口设置密码。


作为一个路由器，有两种操作模式，用户模式和特权级模式，分别。其中，用户级模式是默认的访问模式，在这种模式下，网络管理员可以执行一些查询命令，但不能修改路由器的相关配置，也不能利用调试工具。在特权模式下，网络管理员可以管理和维护路由器，修改相关的配置和调试工具来提高路由器的性能。


为了通过控制台接口提高路由器的安全性，我建议为这两种模式设置相应的密码，而且在用户模式下，特权模式下的密码与密码不一致。同时，在特权模式下，由于网络设备的配置可以改变，密码变得更加复杂，还需要注意的是，在Cisco的网络产品中，密码是区分大小写的。


通常，这些密码都存储在明文形式的路由器的配置文件。因此，如果网络管理员对安全性的要求较高，最好使用密码加密技术来存储密码以密文的形式。在实际工作中，我们可以加强两种现有的明文密码安全。


一个是通过启用密码命令，该命令仅加密特权密码，该密码不适用于用户级模式的密码。


二是服务的密码加密的使用命令。这个命令与前一个命令的唯一区别是加密的路由器所有的密码，包括特权模式和用户模式的密码。在这种情况下，没有人可以通过查看路由器的配置文件看到路由器的密码。但有一点要注意的是，虽然密码可以加密以提高其安全性，他仍然可以破解它。


为了提高解决方案的难度，在设置密码时需要增加一些复杂度，如使用字母、数字和特殊字符来设置密码，这样可以提高密码破解的难度。







两。设置管理会话超时


在管理操作系统的安全性时，我们可以使用屏幕保护程序来防止用户离开操作系统时的安全性，事实上，在路由器的管理中也有必要这样做，网络管理员可以在路由器维护的中间做其他事情。


在这个时候，一些员工有不可告人的目的，如不满意，网络管理员可以很容易地花时间当管理员离开。它不需要太多的时间来改变网络设备如路由器和其他网络设备的影响网络的正常运行，只要时间配置不到一分钟。


在工作的小编辑，也遇到了类似的情况。当时，作者指出，如果你想使用QQ，你必须申请。一般来说，QQ等即时通讯软件无法使用的公司。所以，我禁用QQ软件在路由器的防火墙。但有一次，我已经在保持路由器的过程中留下了半个小时。在这一点上，一个程序员改变路由器的配置，他的电脑可以上QQ。


后来发现，作者也为此受到惩罚，因此，在路由器等网络设备的管理中也要建立管理会话。


当管理员端仍保持连接，网络管理员不再是因为一些原因去做任何事情。在这一点上，一个自动注销机制应该用来确保没有人可以使用终端，在这种情况下，配置的变化。


简单地说，就是当一个网络管理员没有一段时间做任何操作，路由器和其他网络设备将自动取消管理员用户。通过设置管理会话超时，关键网络设备如路由器可以提供更好的安全机制。为了使用管理员超时机制，执行超时命令可用于Cisco网络设备。


后面的第一个参数是一分钟，第二个参数是第二个。一般来说，设置一分钟几乎是一分钟，不需要对第二个参数精确。


三。限制telnet访问相关接口


在网络设备的维护中，我们不仅可以通过控制台访问网络设备，还可以通过一些远程连接来访问和管理路由器，如果telnet程序可以与路由器建立远程连接，就可以进行一些维护工作。


telnet程序与路由器建立远程连接后，网络管理员可以登录到用户模式，也可以登录到特权模式。


在这一点上，路由器上的Telnet端口也被称为虚拟终端。所以名字给他，主要是因为虚拟终端模拟控制台终端的功能。一般来说，路由器还允许五个用户连接到路由器通过人才计划执行管理任务。







但是远程连接有自身的漏洞，为了提高远程连接的安全性，最好采取相应的安全措施。


例如，Telnet连接的安全可以通过访问列表增强访问控制列表可以限制主机只有少数特定的IP地址或MAC地址，如管理员主机，所以他们可以连接到路由器等关键网络设备的远程操作。在这种情况下，其他未经授权的用户将无法登录到路由器，即使他们有机会通过非法手段管理员用户和密码。


此外，telnet程序没有自己的安全。因为在传输的过程中，它是通过明文传输的，所以它是被别有用心的人窃取用户名和密码很容易。因此，在可行的情况下，网络管理员不应该使用Telnet和其他远程连接路由器。如果这是必要的，最好是采用更安全的SSH协议。这也是一种类似telnet远程连接工具。


只有在连接过程中，无论是密码还是命令，都是加密的，因此它比telnet程序更安全。


四。关注HTTP访问的安全性


在Cisco的最新版本中，IOS（网络操作系统）已经能够通过Web服务器配置路由器和其他网络设备，这种图形化管理模式使路由器和其他网络设备更便于管理，或者称之为傻瓜管理。


然而，我们都知道HTTP协议是不安全的，如果允许网络管理员访问像路由器这样的关键设备，一旦允许网络管理员访问HTTP，就应该提高其安全性能。


因为如果我们使用HTTP来管理路由器等网络设备，其他用户可以很容易地通过网络设备的浏览器界面监控路由器和其他网络设备，甚至改变路由器和其他设备的配置。在这种情况下，当管理员不知道，路由器的配置变化实现的恶作剧或入侵目的。


为此，通过Web服务器模式管理路由器会更直观，也失去了许多命令，但思科还是不推荐这种方式来管理网络设备。默认情况下，此HTTP管理模式是封闭的。如果网络管理员在他们的网络安全的信心，他们可以使用http服务器命令开放HTTP服务。


如果有其他的网络路由器和其他网络管理，通过网络，他们还通过路由器认证。为了提高其安全性，最好使用一些独立的认证方法。例如，AAA服务器，tacac服务器等可用于管理用户身份的认证。这是必要的改善路由器的安全性。这些方式可以抵消HTTP使用管理的安全风险。


同时，通过访问控制列表进一步限制了HTTP连接的用户，就像telnet的远程连接一样，只有经过授权的用户（由IP地址或MAC地址授权）才可以进行远程连接，这样就可以大大提高web管理的安全性。







然而，小编辑器不建议网络管理员通过HTTP管理路由器之类的网络设备。对于Cisco路由器之类的网络设备，一个小编辑器首先建议用户通过控制台进行管理。


如果网络管理员无法在网络设备（如路由器和其他设备）前面，则通过SSH远程管理它们。


而且，如果您使用远程管理，则必须使用访问列表和其他功能来限制远程连接的用户。如果网络管理员能够遵循这一建议，一般保证网络设备管理接口的安全性。