思科认证：路由器常用ACL和一些简单防护技巧

会计考友

1 IP棍骗简单防护。如过滤非公有地址访谒内部收集。过滤自己内部收集地址；回环地址（127.0.0.0/8）；RFC1918私有地址；DHCP自界说地址 （169.254.0.0/16）；科学文档作者测试用地址（192.0.2.0/24）；不用的组播地址（224.0.0.0/4）；SUN公司的古老的测试地址（20.20.20.0/24;204.152.64.0/23）；全收集地址（0.0.0.0/8）。
$ V; }2 x& O0 F) ^& c1 z0 Y　　Router（Config）# access－list 100 deny ip 127.0.0.0 0.255.255.255 any
　　Router（Config）# access－list 100 deny ip 192.168.0.0 0.0.255.255 any
　　Router（Config）# access－list 100 deny ip 172.16.0.0 0.15.255.255 any
& a9 B1 R0 F" g2 ]- ^2 l　　Router（Config）# access－list 100 deny ip 10.0.0.0 0.255.255.255 any
% }+ m2 I8 j2 v# B/ _7 c　　Router（Config）# access－list 100 deny ip 169.254.0.0 0.0.255.255 any
　　Router（Config）# access－list 100 deny ip 192.0.2.0 0.0.0.255 any
　　Router（Config）# access－list 100 deny ip 224.0.0.0 15.255.255.255 any
　　Router（Config）# access－list 100 deny ip 20.20.20.0 0.0.0.255 any
　　Router（Config）# access－list 100 deny ip 204.152.64.0 0.0.2.255 any
. `, P, p  I% `5 ?　　Router（Config）# access－list 100 deny ip 0.0.0.0 0.255.255.255 any
9 z" ]; F9 r9 m- x5 w% V3 A　　Router（Config）# access－list 100 permit ip any any
7 N& }- P3 i+ S5 R/ j4 u1 e  H( v　　Router（Config－if）# ip access－group 100 in
* a" h9 k# X+ F6 @: V　　2 建议采用访谒列表节制流出内部收集的地址必需是属于内部收集的。（可选）如：
　　Router（Config）# no access－list 101
0 M% L5 n9 q/ C% y8 G  Q: {5 p7 o　　Router（Config）# access－list 101 permit ip 192.168.0.0 0.0.255.255 any
　　Router（Config）# access－list 101 deny ip any any
　　Router（Config）# interface eth 0/1
　　Router（Config－if）# description “internet Ethernet”
　　Router（Config－if）# ip address 192.168.0.254 255.255.255.0
* o( V  l3 f; r6 S2 n4 L/ G* M　　Router（Config－if）# ip access－group 101 in
　　其他可选项：
7 i' W0 z" C  h5 m6 j　　1、 建议启用SSH，销毁失踪Telnet。但只有撑进场带有IPSec特征集的IOS才撑持SSH。而且IOS12.0－IOS12.2仅撑持SSH－V1。如下设置装备摆设SSH处事的例子：
　　Router（Config）# config t
: ~& p5 |( ]. z7 W. j% L　　Router（Config）# no access－list 22
9 v) I2 A* u7 d/ O& O* z- n1 E9 ?　　Router（Config）# access－list 22 permit 192.168.0.22
. Q# e9 u5 f3 J( U　　Router（Config）# access－list deny any
　　Router（Config）# username test privilege 10
　　！ 设置SSH的超时距离和考试考试登录次数
　　Router（Config）# ip ssh timeout 90
　　Router（Config）# ip ssh anthentication－retries 2
　　Router（Config）# line vty 0 4
　　Router（Config－line）# access－class 22 in
　　Router（Config－line）# transport input ssh
& }( X9 ]/ H) S: m　　Router（Config－line）# login local
　　Router（Config－line）# exit
　　！启用SSH处事，生成RSA密钥对。
　　Router（Config）# crypto key generate rsa
　　The name for the keys will be： router.xxx
* U& s7 G) Z0 u4 P　　Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose Keys .Choosing a key modulus greater than 512 may take a few minutes.
( j8 |' ?3 i0 z; F: b　　How many bits in the modulus【512】： 2048
& U( i' Y- r8 Z3 ?, a　　Generating RSA Keys...
+ u* k; S: N0 j8 _& `% k  K! m　　Router（Config）#
9 o2 y7 |+ Q) o　　2、 TCP SYN的提防。如：
# d" P* J6 n  x　　A： 经由过程访谒列表提防。
& ~8 S7 T9 I! T2 c  v+ L% I3 h+ ?　　Router（Config）# no access－list 106
　　Router（Config）# access－list 106 permit tcp any 192.168.0.0 0.0.0.255 established
: O+ B: s! {3 B0 r( I　　Router（Config）# access－list 106 deny ip any any
2 G! W/ b6 w# K/ J5 Z' n　　Router（Config）# interface eth 0/2
# C. R! j0 O4 t* `2 V, C2 m( f　　Router（Config－if）# description “external Ethernet”
' b$ C2 {7 ^1 Z2 A4 [+ W　　Router（Config－if）# ip address 192.168.1.254 255.255.255.0
　　Router（Config－if）# ip access－group 106 in
7 C8 R/ b# s5 o　　B：经由过程TCP进取提防。（这会给路由器发哨兵然负载）
　　Router（Config）# ip tcp intercept list 107
　　Router（Config）# access－list 107 permit tcp any 192.168.0.0 0.0.0.255
　　Router（Config）# access－list 107 deny ip any any
2 t% P4 P7 J  Z/ p# G  ?& w/ ]　　Router（Config）# interface eth0
　　Router（Config）# ip access－group 107 in%26lt;/P%26gt;%26lt;P%26gt;3、 LAND.C 进攻的提防。
　　Router（Config）# access－list 107 deny ip host 192.168.1.254 host 192.168.1.254
/ \, t0 [' W: _  O6 O　　Router（Config）# access－list 107 permit ip any any
　　Router（Config）# interface eth 0/2
+ R' _8 x. H0 a　　Router（Config－if）# ip address 192.168.1.254 255.255.255.0
　　Router（Config－if）# ip access－group 107 in%26lt;/P%26gt;%26lt;P%26gt;4、 Smurf进攻的提防。
　　Router（Config）# access－list 108 deny ip any host 192.168.1.255
. B$ W, m# f% i- q3 s7 }　　Router（Config）# access－list 108 deny ip any host 192.168.1.0
+ D$ C$ `: P- G　　Router（Config）# access－list 108 permit ip any any
; M: Z5 o9 `& j! @2 ?% N! ^　　Router（Config－if）# ip access－group 108 in

会计考友

　　5、 ICMP和谈的平安设置装备摆设。对于进入ICMP流，我们要禁止ICMP和谈的ECHO、Redirect、Mask request。也需要禁止TraceRoute呼吁的探测。对于流出的ICMP流，我们可以许可ECHO、Parameter Problem、Packet too big。还有TraceRoute呼吁的使用。
　　！ outbound ICMP Control
　　Router（Config）# access－list 110 deny icmp any any echo
　　Router（Config）# access－list 110 deny icmp any any redirect
) p- G! r  S! r2 p　　Router（Config）# access－list 110 deny icmp any any mask－request
- v6 P% }, [3 n; p2 j2 h* T" P　　Router（Config）# access－list 110 permit icmp any any
　　！ Inbound ICMP Control
　　Router（Config）# access－list 111 permit icmp any any echo
　　Router（Config）# access－list 111 permit icmp any any Parameter－problem
　　Router（Config）# access－list 111 permit icmp any any packet－too－big
　　Router（Config）# access－list 111 permit icmp any any source－quench
0 m1 G& o* o8 m2 N+ C4 G' t　　Router（Config）# access－list 111 deny icmp any any
+ t% n& J8 M: h5 [4 u, [　　！ Outbound TraceRoute Control
4 j4 B! P# t) m% C　　Router（Config）# access－list 112 deny udp any any range 33400 34400
. X7 B* i- y& m' @! o+ f0 h; A1 b　　！ Inbound TraceRoute Control
　　Router（Config）# access－list 112 permit udp any any range 33400 34400 %26lt;/P%26gt;%26lt;P%26gt;
　　6、 DDoS（Distributed Denial of Service）的提防。
; S9 [/ w: _7 M5 t　　！ The TRINOO DDoS system
　　Router（Config）# access－list 113 deny tcp any any eq 27665 </p>　Router（Config）# access－list 113 deny udp any any eq 31335
$ R5 t! c9 [; h　　Router（Config）# access－list 113 deny udp any any eq 27444
　　！ The Stacheldtraht DDoS system
　　Router（Config）# access－list 113 deny tcp any any eq 16660
* K  d+ X; ~: I& F# F0 U　　Router（Config）# access－list 113 deny tcp any any eq 65000
　　！ The TrinityV3 System
　　Router（Config）# access－list 113 deny tcp any any eq 33270
　　Router（Config）# access－list 113 deny tcp any any eq 39168
　　！ The SubSeven DDoS system and some Variants
　　Router（Config）# access－list 113 deny tcp any any range 6711 6712
　　Router（Config）# access－list 113 deny tcp any any eq 6776
+ p5 B2 f- G/ N% d& E# z( a　　Router（Config）# access－list 113 deny tcp any any eq 6669
* o9 R5 m/ z' D$ F, e0 A% E　　Router（Config）# access－list 113 deny tcp any any eq 2222
　　Router（Config）# access－list 113 deny tcp any any eq 7000
　　Router（Config）# access－list 113 permit ip any any
8 l* @9 s3 W, Z: c7 U& E　　Router（Config－if）# ip access－group 113 in
$ \2 r! |; ^4 r$ }　　7、 Sql蠕虫的提防
* H. B# l) A, a2 ?( O　　Router（Config）# access－list 114 deny udp any any eq 1434
　　Router（Config）# access－list 114 permit ip any any
　　Router（Config－if）# ip access－group 114 in