边界路由器安全设定笔记

R1(参看)#没有cdp run ,,#在边界路由器上关闭CDP协议,防止非法用户通过CDP检测内部网络

R1(参看)#没有服务tcp-small-service ,# echo 17;chargen 19;白天13;

R1(参看)#没有服务udp-small-service #关闭低端口服务,如防止* * *发送流量灌水到chargen服务端口,占用CPU资源,防止DoS * * *

R1(参看)#没有ip finger ,#关闭手指,防止* * *通过手指检查路由器登录的用户

R1(参看)#没有ip identd # identd允许远程设备为了识别目的查询的一个TCP端口,端口号为113;

R1(参看)#没有ip source-route #关闭IP源路,防止* * *利用IP源由选择路由来绕过防火墙;

R1(参看)#没有FTP服务器启用#关闭FTP服务器功能,防止* * *在路由器上建立FTP服务器;

R1(参看)#没有IP bootp server #防止* * *通过路由器作为引导启动;

R1(参看)#没有服务垫#垫(包组装/拆卸)用于25网络

R1(参看)#没有引导网络#禁止通过路由器作为TFTP启动

R1(参看)#没有服务配置#关闭服务器设定

R1(参看)#没有ip代理地址转换协议#有一种情况下,不应该关闭ARP代理:当路由器端远程接入IPSec×××连接时,当地设备要通过×××远程防问客户端,路由器响应来自本地设备的ARP请求,这种情况下要打开4月代理功能,

R1(参看)#没有ip定向广播# Dos * * *利用广播定向功能向特定的网络或是子网进行洪水* * *,

R1(参看)#没有ip访问# * * *使用Dos * * *来使路由器生成ICMP不可达消息;

R1(参看)#没有ip redirect # * * *可能利用ip重定向方法,让路由产生环路由,造成网络瘫痪;

R1(参看)#没有ip mask-reply #利用子网消息请求功能,* * *可进行定向广播DoS * * *子网;

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

ACL参数说明: