CCNA2.0笔记_安全管理设备

设备安全

配置Console密码

Switch(config)#line console 0
Switch(config-line)#login
Switch(config-line)#password cisco

配置vty线路密码

Switch(config)#line vty 0 4
Switch(config-line)#login
Switch(config-line)#password cisco

配置enable密码

Switch(config)#enable password cisco

配置secret密码

Switch(config)#enable secret cisco

全局启用加密

Switch(config)#service password-encryption

端口安全：用于二层接口(只能用于Access模式)
　　怎样才能阻止非授权用户的主机接入到交换机的端口上呢？更重要的是，怎样才能防止非授权用户将集线器、交换机或接入点设备插入办公室的Ethernet插座上？默认时，MAC地址只是动态地显示在MAC转发/过滤数据库中，通过使用端口安全，就可以阻止它们。安全的交换机端口可以与1~8192个MAC地址中的任何一个联系起来，但是50系列的交换机只能支持192个.

Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access 
Switch(config-if)#switchport access vlan 20
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 1    //最大的安全地址数量，连接 交换机/集线器 的端口，建议改变maximum数量，如果有10台PC，则改成10
Switch(config-if)#switchport port-security mac-address sticky     //自动学习（再加入CAM表）
Switch(config-if)#switchport port-security mac-address AAAA.BBBB.CCCC    //配置静态MAC地址
Switch(config-if)#switchport port-security violation shutdown    //违规操作关闭端口

//maximum设置为1，意味着在该接口上只能使用一个MAC地址。如果用户试图在那个网段上添加另一台主机，交换机端口就将被关闭。如果发生了这种情况，就需要手工地在交换机上进行配置，就是使用命令no shutdown来重新启用端口。
//sticky通过自动学习接口上的MAC地址信息，将其自动添加到安全地址中。在上面的例子中，通过"sticky"自动学习到的地址属于静态地址，不管在命令中设置的时间长度如何，它将永不过期

查看命令

Switch#show mac address-table    //查看CAM表
Switch#show port-security address    //查看端口安全
Switch#show port-security interface fastEthernet 0/1    //显示接口port-security摘要信息

 

Cisco Router SSH配置

简单本地认证：

(config)#username admin password cisco    //建立用户admin密码为cisco的本地用户(默认权限等级为1)
(config)#line vty 0 4
(config-line)#login local    //调用本地认证
以上方法配置之后，远程登录后默认进入的是用户模式">"，需要提供en密码才能进入“#”
(config)#username admin privilege 15 password cisco    //建立权限等级为15的用户admin
//用此方法设置之后，远程登录后可直接进入特权模式"#"，无需再提供en密码    

AAA本地认证：

(config)#username admin privilege 15 password cisco    //建立权限等级为15的用户admin
(config)#aaa new-model    //开启aaa本地验证
(config)#aaa authentication login default local    //调用local用户名和密码认证，包括console口也可调用local来认证
(config)#aaa authorization exec default local    //可选
(config)#aaa authorization network default local    //可选
(config)#aaa session-id common    //可选
//启用本地验证后，所有登陆线路[ssh/telnet/console]访问均可调用本地用户名密码，忽略线路单独设置的密码
(config)#line vty 0 4
(config-line)#login authentication default    //调用本地认证

 

SSH配置汇总:

启用AAA认证

(config)#aaa new-model    //开启aaa本地验证
(config)#aaa authentication login default local    //调用local用户名和密码认证，包括console口也用local来认证
 
(config)#hostname cisco    //配置ssh时，主机名一定要先修改掉
(config)#enable secret root   //设置enable密码为root
(config)#username admin privilege 15 password cisco    //建立权限等级为15的用户admin
 
(config)#ip domain-name cisco.com  　　 //配置域名，可随便填写
(config)#crypto key generate rsa general-keys modulus 1024　　　　//生成rsa密钥,长度1024，适用于SSH v2
或：
(config)#crypto key generate rsa
How many bits in the modulus [512]: 1024　　　　//如果使用SSH v1,则填512长度；如果使用SSH v2(推荐),则填1024长度.
 
(config)#ip ssh version 2     // 指定SSH协议版本2 （如果使用ssh v1, 则ip ssh version 1）
(config)#ip ssh time-out 120    //设置ssh超时时间 （0-120秒）
(config)#ip ssh authentication-retries 5     //设置重试验证次数

Console登录口令：

(config)#line console 0
(config-line)#login authentication default    //调用本地认证

Vty登陆设置：

(config)#line vty 0 4     //进入vty线路设置
(config-line)#transport input ssh    //仅允许SSH登陆
(config-line)#login authentication default    //调用本地认证

SSH其他命令：

路由器间SSH登陆

ssh -v 2 -l admin 10.0.0.1    //SSH登陆10.0.0.1，用户名为admin，SSH版本为2

去除已生成的rsa密钥：

(config)#crypto key zeroize rsa

 

RSA加密(非对称加密)：当A要给Server发送数据前，Server会给A发送一个公钥，A用这个公钥加密数据并发出。server收到该数据后，用自己的私钥来解密，这就是RSA

 

对称加密：公钥和私钥都在两台设备上，因此不安全

 

官方配置参考：

在Cisco Native IOS上启用SSH，禁止Telnet
命令	描述
username admin1 privilege 15 password 0 Admin-Password	建立一个叫做admin1的系统管理员，每一个管理都必须重复。
aaa new-model	使用一个本地数据库，设置为AAA模式
aaa authentication login default local
aaa authorization exec default local
aaa authorization network default local
aaa session-id common
ip domain name MyDomain.com	建立一个用于认证的名字
crypto key generate rsa	建立数字证书。使用至少768位的Diffie-Hellman关键字
line vty 0 4	进入vty配置
transport input ssh	仅仅允许SSH登录

 

在 Cisco Catalyst OS上启用SSH，禁止Telnet
命令	描述
set crypto key rsa 1024	生成一个1024位的RSA key
set ip permit 10.0.10.0 255.255.255.0 ssh	明确仅允许指定IP范围内的地址SSH
set ip enable