ibm—中國移動華為路由器交換機安全配置手冊-免費閱讀

　　

【正文】 說明：ICMP Flood攻擊防范功能最多能夠同時配置對1000個IP進行保護。 注意：真正開啟SYN Flood攻擊防范功能必須滿足三點：1. 使能受保護IP所在出接口攻擊防范功能；2. 打開SYN Flood攻擊防范功能全局開關；3. 配置具體的SYN Flood攻擊防范功能。1. 配置SYN Flood攻擊防范功能全局開關請在系統視圖下進行下列配置。圖33 使能或關閉Smurf攻擊防范功能操作命令使能Smurf攻擊防范功能firewall defend smurf enable關閉Smurf攻擊防范功能undo firewall defend smurf enable打開對應出接口攻擊防范使能開關firewall defend enable關閉對應出接口攻擊防范使能開關undo firewall defend enable缺省為關閉Smurf攻擊防范功能。圖31 使能或關閉IP欺騙攻擊防范功能操作命令使能IP欺騙攻擊防范功能firewall defend ipspoofing關閉IP欺騙攻擊防范功能undo firewall defend ipspoofing打開對應入接口攻擊防范使能開關firewall defend enable關閉對應入接口攻擊防范使能開關undo firewall defend enable缺省為關閉IP欺騙攻擊防范功能。TCP SYN攻擊的防范：利用TCP連接機制的攻擊。對于流出的ICMP流，我們可以允許ECHO、Parameter Problem、Packet too big。華為公司的核心路由器的各種板卡均支持URPF功能。缺省情況下，BGP在建立TCP連接時，不進行MD5認證。相關配置可參考命令areaauthenticationmode，domainauthenticationmode。ip：IP認證密碼。使用純文本認證方式時，路由域認證密碼是被封裝在Level2的LSP、CSNP和PSNP報文中的；采用MD5認證時，則對這些報文經MD5加密后發送出去。simple：密碼以純文本方式發送。md5 keyid：MD5密文驗證方式時的驗證字標識符，取值范圍為1~255。缺省情況下，區域不支持驗證屬性。其中，采用MD5密文驗證方式時有兩種報文格式，一種是在RFC 1723中所描述的，提出的時間較早；另一種在RFC 2082中專門闡述。usual：指定MD5密文驗證報文使用通用報文格式。在增加了對于路由協議報文的加密認證會略微增加設備的CPU利用率，由于對于路由協議報文的處理在主控板，而對于數據的轉發是由接口板直接處理，所以路由協議增加了對報文的加密驗證，不會影響設備的轉發。 保持系統日志的打開華為設備的系統日志會記錄設備的運行信息，維護人員做了哪些操作，執行了哪些命令。鑒別協議可通過MD5或SHA，加密協議可通過DES。禁止IP Classless。禁止Finger、NTP服務。為了避免這些病毒對于設備運行的影響，建議在設備上配置ACL，對已知的病毒所使用的TCP、UDP端口號進行過濾。[Quidwayradiusshiva] radiusserver authentication 1812 [Quidwayradiusshiva] radiusserver accounting 1813 配置Radius 備認證、計費服務器和端口。對于特權模式，應該采用enable secret命令設置強壯的密碼，而不要采用enable password設置密碼，enable secret 命令用于設定具有管理員權限的口令，而enable password采用的加密算法比較弱。【配置實例】 配置會話建立標題。 例如，設置CON口的優先級為3，從VTY 0的優先級為2。如果風扇框上的防塵網上積累了過多的灰塵，或者風扇運轉不順暢，都會影響風扇的通風排熱效果，建議每月檢查一次設備風扇運轉是否良好，是否有隱患，風扇框上的防塵網是否積累了過多灰塵。所以建議每天檢查機房內的溫度和濕度，如果發現機房空調損壞，要及時的修理，減少設備在不良環境下的工作時間。 NetEngine 16E/08E/05 系列高端路由器 面向電信級運營網絡和企業級核心網絡，有強大的專線接入及VPN業務能力，提供豐富的業務功能，具備完善QOS和安全特性，適用于運營商、政府、教育、金融、電力、企業的內部網和業務網，包括NE16E、NE08E、NE05三款產品。u 作為分布式第五代路由器采用了業界高性能網絡處理器技術，基于分布式硬件處理，具備高性能的業務能力，勝任高性能P/PE應用，提供高品質、安全和多層次的MPLS VPN解決方案；提供高性能組播能力；提供千兆線速NAT等各種業務。u 作為分布式第五代路由器采用了業界高性能網絡處理器技術，充分繼承了第四代全分布式硬件處理的架構，有機地結合了軟件的靈活性和硬件的高性能，又具備快速良好的業務升級和擴展能力。 NetEngine 5000 系列核心路由器 面向IP網國家骨干網絡節點、各省的網絡出口節點以及各網絡之間互聯中心節點的核心路由器產品。u 支持多種方式VPN（L2TP、GRE、MPLS VPN等），具備豐富的NAT功能，提供以太網/VLAN、PPP/MP、PPPoE、Frame Relay、HDLC、ATM、HDLC和LAPB等豐富的互聯功能，支持備份中心，并提供對語音、組播等業務的支持。 Quidway174。Quidway174。它從外部廣域網收集向本企業網絡尋址的信息，轉發到企業網絡中有關的網絡段；另一方面集中企業網絡中各個LAN段向外部廣域網發送的報文，對相關的報文確定最好的傳輸路徑。后一個功能是通過網絡地址分解完成的。（2）選擇最合理的路由，引導通信。由此可見，選擇最佳路徑的策略即路由算法是路由器的關鍵所在。路由器負責在兩個局域網的網絡層間接幀傳輸數據，轉發幀時需要改變幀中的地址。Quidway174。l 支持基于源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口、協議的L2~L7復雜流分類。Quidway174。物理編址（相對應的是網絡編址）定義了設備在數據鏈路層的編址方式；網絡拓撲結構包括數據鏈路層的說明，定義了設備的物理連接方式，如星型拓撲結構或總線拓撲結構等；錯誤校驗向發生傳輸錯誤的上層協議告警；數據幀序列重新整理并傳輸除序列以外的幀；流控可以延緩數據的傳輸能力，以使接收設備不會因為在某一時刻接收到了超過其處理能力的信息流而崩潰。從規模應用上又可分為企業級交換機、部門級交換機和工作組交換機等。Quidway174。l 具有64Gbps背板帶寬，32Gbps交換容量， 24Mpps轉發能力，最大支持32K路由表項，基于最長匹配的路由方式，保證了所有報文均獲得相同的轉發性能；l 支持高性能SFP光接口，支持GE電口、單/多模光口模塊的混合配置，支持模塊熱插拔；并可提供堆疊接口模塊，可以和系列交換機堆疊，能夠提供更靈活的組網模式；l 提供以64Kbit/s為步長的流控粒度，可以對不同業務進行更細致的管理，支持豐富的流分類，豐富的Qos策略是構建高質量“三網合一”網絡的基礎。 S3000 系列智能二層交換機采用高性能的ASIC，采用靈活的模塊化結構，提供二到七層的智能的流分類和完善的服務質量（QoS），實現完備的業務控制和用戶管理能力，可作為關注業務管理控制和網絡安全保障能力的企業網和城域網的接入層交換機。l 支持基于端口的VLAN，支持isolateuservlan；l 支持HGMP，實現群組管理；支持HGMP Client，實現受控組播；l 支持HGMP的級連方式，如一臺S2026B不直接與管理設備相連，而是通過級連的其他交換機與管理設備相連，同樣能夠實現遠程管理維護功能；l 為樓道工作環境量身定做：機身小巧，便于樓道安裝；端口密度低，節省運營商投資；散熱采用低噪音風扇，靜音設計；指示燈設計在機箱頂板上，便于壁掛維護；用戶側10M端口傳輸距離200米，方便布線。路由器分本地路由器和遠程路由器，本地路由器是用來連接網絡傳輸介質的，如光纖、同軸電纜、雙絞線；遠程路由器是用來連接遠程傳輸介質，并要求相應的設備，如電話線要配調制解調器，無線要通過無線接收機、發射機。2．動態路徑表 　　動態（Dynamic）路徑表是路由器根據網絡系統的運行情況而自動調整的路徑表。 （3）路由器在轉發報文的過程中，為了便于在網絡間傳送報文，按照預定的規則把大的數據包分解成適當大小的數據包，到達目的地后再把分解的數據包包裝成原有形式。中間節點路由器在網絡中傳輸時，提供報文的存儲和轉發。u 關鍵硬件組件都提供全面冗余，所有組件具備熱插拔功能。u 基于分布式硬件處理，具備高性能的網絡業務能力，勝任高性能P/PE應用，提供高品質、安全和多層次的MPLS VPN解決方案；提供高性能組播能力；提供千兆線速NAT等各種業務。 NetEngine 20 系列高端多業務路由器面向運營商、行業網及企業網的高性能的第五代多業務路由器；采用NP硬件技術實現，具有卓越的轉發性能；包括NE20NE20NE202三款產品。u 支持包過濾防火墻及動態防火墻ASPF，支持用戶的認證和路由協議的驗證， 支持標準協議的IPSEC和IKE，支持ISPKeeper DOS防御系統。當主用主控板發生故障時，可以切換到備用的主控板，不會發生包丟失，也不會影響對端路由器。路由能力強大，支持高達170萬條的大路由表，支持豐富的路由協議包括RIP、OSPF、ISIS、BGP4和多播路由協議。u 提供高品質、安全和多層次的MPLS VPN解決方案，支持MPLS TE，可以作為高性價比MPLS PE設備使用。第2章 華為路由器交換機物理安全管理 定期檢查機房的溫度和濕度數據通信設備的長期穩定運行是需要一個良好的環境，為保證路由器正常工作和延長使用壽命，機房內需維持一定的溫度和濕度。建議定期（每半年或一年一次）檢查接地線是否完好，接地電阻是否正常，接地的標準見各個產品的接地要求，在檢查時，對于設備的接地，機柜的接地，地線的腐蝕情況，地排的腐蝕情況都要進行全面的檢查。管理級：關系到系統基本運行，系統支撐模塊的命令，這些命令對業務提供支撐作用，包括文件系統、FTP、TFTP、XModem下載、配置文件切換命令、電源控制命令、備板控制命令、用戶管理命令、級別設置命令、系統內部參數設置命令（非協議規定、非RFC規定）等。對于安全級別比較高的設備，建議采用AAA方式到RADIUS去認證。華為以太網交換機提供強大的遠程登錄安全管理能力，包括：禁止遠程用戶登錄、啟用安全的遠程登錄，設置連接超時時間、設置登錄嘗試次數限制、設置并發用戶數目，設置根據源地址的登錄用戶過濾機制。RADIUS認證的設置RADIUS（Remote access DialIn user service）可以提供遠程用戶的認證機制，為遠程登錄用戶提供統一的認證手段。[Quidway–aaa]accountingscheme radius[Quidway–aaaaccounting]accountingmode radius 配置huawei域，在域下采用radius認證方案、radius計費方案、shiva的radius模板。禁止其他的TCP、UDP Small服務。禁止BOOTp服務。 在使用SNMP協議時候的安全建議在不使用網管的時候，建議關閉SNMP協議。并且在配置munity時，將RO和RW的munity分開，不要配置成相同的名字。 路由協議采用加密認證現網上已經發現有對BGP的攻擊，導致BGP鏈路異常斷鏈。id：MD5密文驗證標識符，取值范圍為1~255。undo rip authenticationmode命令用來取消對RIP2的認證。[Quidway] interface pos1/0/0[QuidwayInterface pos1/0/0] rip version 2[QuidwayInterface pos1/0/0] rip authenticationmode md5 keystring aaa[QuidwayInterface pos1/0/0] rip authenticationmode md5 type usual OSPF認證包括區域認證、接口認證 authenticationmode命令authenticationmode [ simple | md5 ]undo authenticationmode [ simple | md5 ]【視圖】OSPF區域視圖【參數】simple：使用明文驗證方式。【舉例】！進入區域0視圖。相關配置可參考命令authenticationmode。【描述】domainauthenticationmode命令用來設置ISIS路由域認證密碼，undo domainauthenticationmode命令用來禁用路由域密碼認證。level2：為L2設置認證密碼。如果設置了密碼，但沒有指定其它參數，則缺省使用levelsimple和osi。simple：以明文形式顯示設置的密碼。[Quidwaybgp] peer password simple huawei 在設備上開啟URPF功能URPF通過獲取報文的源地址和入接口，以源地址為目的地址，在轉發表中查找源地址對應的接口是否與入接口匹配，如果不匹配，認為源地址是偽裝的，丟棄該報文。對于這種攻擊的防范首先要明確瓶頸在哪里。Smurf攻擊的防范：Smurf攻擊是向一個子網的廣播地址發一個帶有特定請求（如ICMP回應請求）的包，并且將源地址偽裝成想要攻擊的主機地址。華為