Перейти к основному содержанию

Боковая панель

Merion Academy

0

Уведомления

Уведомлений нет

Смотреть все

0

Личный кабинет

О пользователе

Оценки

Сообщения

Настройки

Выход

OCT-1

Участники

Значки

Компетенции

Добро пожаловать!

Введение в сетевые технологии

TCP и UDP

Принципы построения коммутируемых сетей

Про VLAN (Virtual Local Area Network)

Про DHCP (Dynamic Host Configuration Protocol)

Работа с маршрутизатором

Протокол динамической маршрутизации EIGRIP (Enhanced Interior Gateway Routing Protocol)

Протокол динамической маршрутизации OSPF (Open Shortest Path First)

Протокол динамической маршрутизации BGP (Border Gateway Protocol)

Говорим про Route Redistribution

Листы контроля доступа (ACL)

Протокол Spanning Tree (STP)

Агрегация по технологии EtherChannel

Настройка VPN (Site-To-Site IPSec, DMVPN)

WLAN (беспроводные сети)

Частный траблшутинг и устранение неисправностей

Финальный тест

Личный кабинет

Домашняя страница

Календарь

Личные файлы

Мои курсы

Сетевой инженер: основы сетевых технологий

Личный кабинет

Мои курсы

OCT-1

Принципы построения коммутируемых сетей

Принципы коммутации и маршрутизации

Печатать книгу

Печатать эту главу

Принципы коммутации и маршрутизации

Базовые принципы коммутации и маршрутизации, базовый подход к траблшутингу и обслуживанию сетей

◄ Предыдущая: 9. Настройка времени на Cisco: NTP и руками Покинуть книгу ▲

10. Повышаем безопасность коммутаторов и маршрутизаторов Cisco

Сетевая инфраструктура (роутеры, коммутаторы, МСЭ, АТС и так далее)
являются очень важными ресурсами организации, и поэтому очень важно
корректно настроить доступ к данным устройствам – для достижения нужного
уровня защиты.

Множество корпораций фокусируются на защите своих серверов,
приложений, баз данных и прочих компонентов сети, но они могут
совершенно забыть о том, что часть установленных у них устройств
содержат, к примеру, дефолтные логин и пароль.

К примеру, скомпрометированный маршрутизатор может доставить
гигантское количество проблем – злоумышленники могут получить доступ к
информации, трафик может улетать на другое направление и так далее. Так
что корректная настройка устройств с точки зрения сетевой безопасности
является крайне важным моментом при обеспечении защиты информации вашей
организации.

К примеру Cisco разделяет любое сетевое устройство на 3 функциональных плоскости, а именно:

Плоскость менеджмента – это все о том, как непосредственно
управлять железкой. То есть данная плоскость используется для доступа,
настройки и мониторинга устройства. В нашей статье мы непосредственно
расскажем, как защитить данную плоскость;

Плоскость управления – данная плоскость содержит в себе
сигнальные протоколы и процессы, которые отвечают за связность между
устройствами – например такие известные вам протоколы как OSPF, EIGRP и
так далее;

Плоскость данных – плоскость, ответственная за перемещение
информации по сети от источника до ее назначения. В данной плоскости и
происходит, как правило, обмен пакетами между устройствами;

Из этих трех плоскостей наиболее защитить первую и вторую плоскости,
однако в нашей статье мы сконцентрируемся на плоскости менеджмента и
обсудим 10 важных шагов по улучшению защищенности сетевого устройства
Cisco с IOS.

Десять пунктов ниже не являются избыточными, но они включают в себя
наиболее важные команды и настройки, которые позволят «закрыть»
устройство от нежелательного доступа и повысить степень защищенности.
Данные пункты применимы как к маршрутизаторам, так и к коммутаторам.

Создание секретного пароля

В целях предоставления доступа к IOS устройству только людям, имеющим
право (например, сисадмину/эникею/инженеру) всегда нужно создавать
сложный «секретный» пароль (enable secret). Мы советуем
придумать/сгенерировать пароль минимум 12 знаков, содержащий цифры,
буквы и специальные символы. Проверьте, что вы вводите именно

enable secret
- тогда в конфиге пароль будет отображаться в зашифрованном виде.

Router# config terminal
Router(config)# enable secret сложныйпароль

Зашифруйте пароли на устройстве

Все пароли, настроенные на устройстве (за исключением «секретного»),
не шифруются от слова совсем и легко видны в конфиге. Чтобы зашифровать
все пароли в конфиге, необходимо использовать глобальную команду

service password encryption

Router# config terminal
Router(config)# service password-encryption

Используйте внешний сервер авторизации для аутентификации пользователей

Вместо использования локальных учетных записей на каждом устройстве
для доступа администратора, мы рекомендуем использование внешнего AAA
сервера (TACACS+ или RADIUS) для обеспечения Аутентификации,
Авторизации и Учета (вольный перевод Authentication, Authorization,
Accounting).

С централизованным ААА сервером гораздо проще управлять учетными
записями, реализовывать политики безопасности, мониторить использование
аккаунтов и многое другое.

Ниже на схеме вы можете видеть как настроить TACACS+ и RADIUS серверы с использованием enable secret пароля в случае отказа этих серверов.

TACACS+
Router# config terminal
Router(config)# enable secret K6dn!#scfw35 //создаем “секретный ” пароль
Router(config)# aaa new-model //включаем ААА службу
Router(config)# aaa authentication login default group tacacs+ enable //Используем TACACS сервер и обычный пароль на случай отказа
Router(config)# tacacs-server host 192.168.1.10 //указываем внутренний ААА сервер
Router(config)# tacacs-server key ‘secret-key’ //указываем секретный ключ для ААА сервера
Router(config)# line vty 0 4
Router(config-line)# login authentication default //применяем ААА аутентификацию для линий удаленного доступа (telnet, ssh)
Router(config-line)# exit
Router(config)# line con 0 //применяем ААА аутентификацию для консольного порта
Router(config-line)# login authentication default
RADIUS
Router# config terminal
Router(config)# enable secret K6dn!#scfw35 //создаем “секретный ” пароль
Router(config)# aaa new-model //включаем ААА службу
Router(config)# aaa authentication login default group radius enable //Используем RADIUS сервер и обычный пароль на случай отказа
Router(config)# radius-server host 192.168.1.10 //указываем внутренний ААА сервер
Router(config)# radius-server key ‘secret-key’ //указываем секретный ключ для ААА сервера
Router(config)# line vty 0 4
Router(config-line)# login authentication default //применяем ААА аутентификацию для линий удаленного доступа (telnet, ssh)
Router(config-line)# exit
Router(config)# line con 0 //применяем ААА аутентификацию для консольного порта
Router(config-line)# login authentication default

Создайте отдельные аккаунты для пользователей

Если у вас отсутствует возможность использовать внешний ААА сервер,
по инструкции, описанной в предыдущем шаге, то как минимум, вам
необходимо создать несколько отдельных локальных аккаунтов для всех, у
кого должен быть доступ к устройству. Приведем пример создания трех
локальных аккаунтов для троих системных администраторов.

Кроме того, в версии IOS начиная с 12.2(8)T и позднее, есть
возможность настроить повышенную надежность паролей (Enhanced Password
Security) для локальных учетных записей – это зашифрует пароли с помощью
MD5 хэша.

Ниже пример настройки трех учетных записей:

Router# config terminal
Router(config)# username efstafiy-admin secret Lms!a2eZf*%_rete
Router(config)# username evlampiy-admin secret d4N3%sffeger
Router(config)# username vova-admin secret 54sxSFT*&_(!zsd

Настройте лимит возможных попыток подключения

Для того, чтобы избежать взламывания вашей учетной записи на
маршрутизаторе с помощью брутфорса, вы можете настроить ограничение
количества попыток подключения, когда после определенного предела
система заблокирует пользователя. Это работает для локальных учетных
записей.

Router# config terminal
Router(config)# username john-admin secret Lms!a2eZSf*%
Router(config)# aaa new-model
Router(config)# aaa local authentication attempts max-fail 5 //max 5 failed login attempts
Router(config)# aaa authentication login default local

Открытие доступа на управление устройством только для определенных IP – адресов

Данный пункт является одним из наиболее важных для сетевых устройств
Cisco – необходимо оставить доступ к Telnel или SSH только для
определенных сетевых адресов (например, рабочей станции системного
администратора). В нашем примере сисадмин находится в пуле
192.168.1.0/28

Router# config terminal
Router(config)# access-list 10 permit 192.168.1.0 0.0.0.15
Router(config)# line vty 0 4
Router(config)# access-class 10 in //применить ограничения на все VTY линии (SSH/Telnet)

Включить логирование

Логирование является очень полезной функцией для отслеживания, аудита
и контроля инцидентов. Вы можете включить логирование во внутренний
буфер устройства или на внешний лог-сервер. Вторая опция является более
предпочтительной, так как вы можете хранить там больше информации и
проще производить различного рода аналитику.

Всего существует 8 уровней логирования (от 0 до 7), каждый из которых
делает лог более насыщенным деталями. Лучше всего избегать 7 уровень
логирования (дебаг), т.к это может легко потратить все ресурсы вашего
устройства.

Ниже пример, как включить логирование и на внешний сервер, и на сам девайс (можно использовать два варианта одновременно).

Router# config terminal
Router(config)# logging trap 6 //Включить 6 уровень логирования для логов, отправляемых на внешний сервер
Router(config)# logging buffered 5 //Включить 5 уровень логирования для логов, хранимых на самом девайсе
Router(config)# service timestamps log datetime msec show-timezone //Включить таймстампы с милисекундной точностью
Router(config)# logging host 192.168.1.2 //Отправлять логи на внешний сервер
Router(config)# logging source-interface ethernet 1/0 //Использовать интерфейс Eth1/0 для отправки логов

Включение NTP (Network Time Protocol)

Данный шаг необходим для корректной работы логирования – т.к вам
необходимо синхронизированное и точное системное время на всех сетевых
устройствах, для правильного понимания ситуации при траблшутинге. Вы
можете использовать как публичный, так и свой собственный NTP cервер.

Router# config terminal
Router(config)# ntp server 3.3.3.3
Router(config)# ntp server 4.4.4.4

Использование безопасных протоколов управления

По умолчанию, протоколом, с помощью которого можно управлять
устройством является Telnet. Однако весь трафик передается в
незашифрованном виде – поэтому предпочтительно использовать SSH.

Важно – для использования SSH необходимо настроить хостнейм и
доменное имя, а также сгенерировать SSH ключи. Также следует разрешить
только протокол SSH на VTY линиях

Защитить SNMP доступ

Про SNMP мы писали в одной из наших статей – это протокол для
управления сетью, который, однако, также может служить «дырой» для
доступа в вашу сеть. Для защиты данного направления, вам необходимо
установить сложную Community String (что-то вроде пароля для SNMP) и разрешить доступ только с определенных рабочих станций.

Давайте настроим две Community String – одну с правами на чтение, и
другую с правами на чтение и изменение. Также добавим ACL с нужными
сетевыми адресами.

Router# config terminal
Router(config)# access-list 11 permit 192.168.1.0 0.0.0.15
Router(config)# access-list 12 permit 192.168.1.12
Router(config)# snmp-server community Mer!0nET RO 11 //создание community string с правами на чтение и использование ACL 11 для SNMP доступа
Router(config)# snmp-server community Mer!0NeTRules RW 12 //создание community string с правами на чтение/запись и использование ACL 12 для SNMP доступа

Команды выше позволят сети сисадмина 192.168.1.0/28 иметь доступ на
чтение и хосту 192.168.1.12 иметь полный доступ на SNMP чтение / запись к
устройствам.

◄ Предыдущая: 9. Настройка времени на Cisco: NTP и руками Покинуть книгу ▲

◄ Закрепим знания тестом по TCP и UDP

Перейти на...

Перейти на...
Как проходить курс
ИТ термины
Как делать лабораторные работы (Cisco Packet Tracer)
10 нужных инструментов для сетевого администратора
Как проходить тесты
Объявления
1. Модель OSI – это просто!
2. Маршрутизатор. Коммутатор. Хаб. Что это и в чем разница?
3. Что такое LAN и чем отличается от WAN?
4. Что такое IP - адрес и можно ли по нему кого-то вычислить?
5. Что такое MAC - адрес и как его узнать?
6. TCP и UDP – в чем разница?
7. Ethernet на пальцах - что это?
8. Что такое инкапсуляция данных в сети?
9. DNS сервер - что это и как работает?
10. Разбиение сети на подсети: VLSM
11. Address Resolution Protocol - что это?
12. NAT на пальцах: что это?
13. Введение: IPv6 - это просто
14. Что такое VPN и как он обходит блокировки?
15. Режимы передачи данных в сетях
16. Сегментация сети – почему это важно?
17. Что такое витая пара и как ее обжать?
18. Иерархическая модель сети от Cisco
19. Консоль, Терминал, Telnet и SSH - что это и зачем нужно?
20. Про операционную систему Cisco IOS
21. Интерфейс командной строки Cisco IOS
22. Структура команд Cisco IOS
23. Troubleshooting в Cisco IOS
24. Типы сетевых атак
25. QoS в сетях
Рассмотрение моделей TCP/IP и OSI в действии
Тестирование по блоку "Введение в сетевые технологии"
Протоколы TCP/IP 4 уровня: TCP и UDP
Популярные приложения TCP/IP
Установление и прекращение TCP соединения
Нужно знать: про TCP и UDP
Закрепим знания тестом по TCP и UDP
Тестирование по блоку "Принципы построения коммутируемых сетей"
VLAN (Virtual Local Area Network)
Настройка сетей VLAN
Настройка маршрутизации между сетями VLAN с использованием конфигурации ROS (Router-on-a-Stick)
Тестирование по блоку "VLAN (Virtual Local Area Network)"
Все, что вам нужно знать про DHCP
Настройка DHCP на оборудовании Cisco
Пример настройки DHCPv6
Настройка DHCP Snooping и Dynamic Arp Inspection на Cisco
Траблшутинг DHCP на оборудовании Cisco
Настройка протокола DHCP с помощью команд Cisco IOS
Тестирование по блоку "DHCP (Dynamic Host Configuration Protocol)"
Базовая конфигурация маршрутизатора
Настройка статических маршрутов
Настройка NAT на Cisco
Port Forwarding: теория и настройка Cisco
Тестирование по знаниям работы с маршрутизатором
EIGRIP (Enhanced Interior Gateway Routing Protocol)
Полное руководство по EIGRP в PDF
Базовая настройка протокола EIGRP для IPv4
Тестирование по Протоколу динамической маршрутизации EIGRIP
OSPF (Open Shortest Path First)
Настройка базового протокола OSPFv2 для одной области
Поиск и устранение неполадок в работе OSPFv2 для одной области
Настройка OSPFv2 для нескольких областей
Протокол динамической маршрутизации OSPF (Open Shortest Path First)
BGP (Border Gateway Protocol)
Полное руководство по BGP в PDF
Тестирование по знаниям BGP
Перераспределение маршрутов (Route redistribution)
Тестирование по знаниям Route Redistribution
Основы IPv4 Access Control Lists
Соответствие пакетов в IP ACL
Wildcard в ACL: бинарные обратные маски
Стандартные листы контроля доступа (ACL)
Расширенные листы контроля доступа (Extended ACL)
ACL check - анализ списков доступа сетевого оборудования Cisco
Настройка стандартных именованных ACL-списков
Настройка расширенных ACL-списков
Тестирование по блоку "Листы контроля доступа (ACL)"
Протокол Spanning Tree (STP)
Тестирование по блоку "Протокол Spanning Tree (STP)"
Настройка EtherChannel на Cisco
Настройка EtherChannel на Cisco с минимальным даунтаймом
Устранение неисправностей EtherChannel
Настройка EtherChannel
Поиск и устранение неполадок в работе EtherChannel
Тестирование по блоку "Агрегация по технологии EtherChannel"
Настройка Site-To-Site IPSec VPN на Cisco
Настройка DMVPN на оборудовании Cisco
Настройка сетей VPN (дополнительно)
Итоговый тест по теме "Настройка VPN (Site-To-Site IPSec, DMVPN)"
Сравнение проводных и беспроводных сетей
Топологии беспроводных сетей
Анатомия защищенного соединения в беспроводных сетях
TKIP, CCMP и GCMP. Про безопасность Wi-Fi
Тест по WLAN (беспроводные сети)
Траблшутинг NAT/PAT на Cisco
Устранение неисправностей DHCP на Cisco
FHRP траблшутинг на Cisco
Траблшутинг Network Management Protocols
Сброс пароля на коммутаторах и маршрутизаторах Cisco
Troubleshooting в Cisco IOS
Проверка и отладка настроек NAT
Тестирование по знаниям траблшутинга и устранения неисправностей
Финальный тест
Сертификат
Обратная связь

Тестирование по блоку "Принципы построения коммутируемых сетей" ►

Пропустить Оглавление

Оглавление

1. Нужно знать: про маршрутизацию и коммутацию

2. Базовая настройка коммутатора Cisco

3. Настройка интерфейсов коммутатора Cisco

4. Настройка IPv4-адресации для удаленного доступа к устройствам Cisco

5. Протокол ICMP - что это и для чего нужен?

6. Устранение неполадок коммутации Cisco

7. Обслуживание и траблшутинг сетей

8. Port-Security

9. Настройка времени на Cisco: NTP и руками

10. Повышаем безопасность коммутаторов и маршрутизаторов Cisco

Собеседники

Выбранные сообщения:
1

×

Собеседники

0

Настройки

Собеседники

Запросы

0

Нет контактов

Нет запросов на добавление в контакты

Запрос на добавление в контакты отправлен

Личное пространство

Сохраните черновики сообщений, ссылок, заметок и т.п. К ним можно будет вернуться позже.

Delete for me and for everyone else

Блок

Разблокировать

Удалить

Добавить

Удалить

Удалить

Отправить запрос на добавление в контакты

Принять и добавить в контакты

Отказаться

OK
Отмена

Помеченные

()

Нет помеченных разговоров

Группа

()

Нет групповых разговоров

Личное

()

Нет личных разговоров

Собеседники

Собеседники отсутствуют

Загрузить больше

Сообщения

Загрузить больше

Нет результатов

Поиск пользователей и сообщений

Приватность

Вы можете ограничить круг лиц, которые могут отправлять вам сообщения

Принимать сообщения от:

Только мои контакты

Мои контакты и любой в моих курсах

Настройка уведомлений

Основные

Использовать Enter для отправки

Удалить выбранные сообщения

Отправить запрос на добавление в контакты

Вы заблокировали этого пользователя

Разблокировать пользователя

Вы не можете отправить сообщение этому пользователю

Смотреть все

Вы зашли под именем Выход)

OCT-1

Сводка хранения данных
Скачать мобильное приложение
Политики