1 內置服務設置 IOS中的許多服務對于ISP來說，都不是必須具備的東西。出于安全的考慮，應該將這類服務關閉，只在有需要時才開放。參見下面配置： no service finger no service pad no service udp-small-server no service tcp-small-server no ip bootp server no ip http server （或者使用 ip http server；ip http port xxx修改WEB訪問端口） 另外，某些服務對ISP的網絡有很大的幫助，應該要打開： service nagle service tcp-keepalives-in service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone ------------------------------------------------------------------------------------------------------------ 注1：部分服務在最新的IOS中已經關閉，敲入上述命令后，假如看不到的話，就表示默認是關閉的。 注2：Nagle服務有助于提高telnet到某一設備，或者從某一設備上telnet到其他設備時的性能。標準TCP協議中，對telnet的處理，是將所鍵入的字符逐字發送，這在網絡擁塞時，會加劇網絡的負擔。而Nagle算法則對此進行了改進，一旦建立連接后，鍵入的第一個字符仍按一個封包發出，但其后的字符會先送到緩沖中，直到前一個連接的acknowledge包返回后，再發出。這樣可以大大提高網絡效率。 注3：時間戳在缺省配置中，是采用設備的up時間來記錄的。因此在show log時，有可能會看到類似于 26W3day：……的東西，這樣不利于判定告警發生的時間。建議按上文配置，修改為按系統本地時間來記錄，以便快速知曉LOG中的告警產生的具體時間。 ------------------------------------------------------------------------------------------------------------- 2 端口安全配置 IOS中的一些功能在校園網或者企業應用中有實際的作用，但對于ISP的骨干網來說，卻沒有多大意義。這些功能的濫用，有可能會增加ISP的安全風險。
ISP骨干網設備的端口配置中，建議進行如下配置： Interface e0/0 Description Cisco Router Standard Configuration Guide no ip redirects no ip PRoxy-arp no ip mroute-cache -------------------------------------------------------------------------------------------------------------------------- 注1：當某一接口下有多臺同一地址段的路由器存在時，建議不要禁用ip redirects； --------------------------------------------------------------------------------------------------------------------------
4.5 GSR GRP冗余方式 建議將GSR的GRP板冗余方式均設置為 redundancy mode rpr-plus 配置后，需要重啟處于STANDBY狀態的那塊板，但不影響業務。 4.6 NTP SERVER 建議統一從國家骨干設備上獲取時間源進行校正。其配置如下： ntp clock-period 17179798 ntp source Loopback0 ntp update-calendar ntp server 202.97.32.32 prefer ntp server 202.97.32.72 5 anti-spoofing及病毒包過濾 目前網絡中的蠕蟲病毒越來越多，對網絡的沖擊也越來越大。建議在城域網出口處設置相應的ACL過濾。 建議的ACL配置如下： ip access-list extended noattack deny tcp any any eq 135 deny tcp any any eq 445 deny tcp any any eq 139 deny tcp any any eq 593 deny tcp any any eq 5554 deny tcp any any eq 1434 deny tcp any any eq 2745 deny tcp any any eq 44445 deny udp any any eq 135 deny udp any any eq netbios-ns deny udp any any eq 1434 deny udp any any eq 2745 deny udp any any eq 44445 deny ip 127.0.0.0 0.0.0.255 any deny ip host 0.0.0.0 any deny ip 10.0.0.0 0.255.255.255 any deny ip 169.254.0.0 0.0.255.255 any deny ip 172.16.0.0 0.15.255.255 any deny ip 192.168.0.0 0.0.255.255 any deny tcp any any eq 4444 permit ip any any
6 建議配置模板 以下是需要進行修改的，部分不需修改的配置沒有寫出。 no service finger no service pad no service udp-small-server no service tcp-small-server no ip bootp server no ip http server no ip finger service tcp-keepalives-in service password-encryption service timestamps debug datetime msec localtime show-timezone service timestamps log datetime msec localtime show-timezone /* 注重：timestamps要選用datetime選項，以便于查看LOG告警發生的時間 ! ！----- 關于LOG的相關設置--------------------------- logging buffered 256000 debugging logging source-interface Loopback 0 logging 202.103.224.119 logging x.x.x.x no logging 1.1.1.1 no logging 1.1.1.1 /*注重：1.1.1.1已不使用，配置中可以去掉這兩臺設備的信息。同時，對于骨干層設備，請增加logging 1.1.1.1，這是新的syslog服務器。各分公司也可以再加入自己的syslog服務器。
！------------ enable密碼設置 --------------------------- enable secret 5 $1$ICDr$OBATr2ubZEi5So670n6KQ0 enable password 0 cisco /*注重：使用MD5加密的secret，同時建議也配上password選項 ! ！------------- 端口安全設置 ----------------------------- interface Ethernet0/0 Description Cisco Router Standard Configuration Guide no ip redirects no ip proxy-arp no ip mroute-cache /*注重：description選項對維護工作十分有利，建議在所有端口下，明確地寫出該端口的作用。建議不要只用設備名來表示，而是明確地寫出從什么樣的設備到什么樣的設備。 ! ！====== SNMP安全設置——針對的SNMP網管機配置 =============== access-list 50 permit 1.1.1.1 access-list 50 permit 1.1.1.1 /* 以上兩段地址是為維護及網管機調試方便，建議開放 access-list 50 permit 1.1.1.1 access-list 50 permit 1.1.1.1 /*以上兩段地址是總公司網管用機IP，注重要開放 snmp-server community 總公司使用的網管字串 RO 50
