关于路由器常用ACL和一些简单防护的简介(2)

会计考友

其他可选项：
1 b; l; ]5 Q) \$ o! g( p1、 建议启用SSH，废弃掉Telnet。但只有支持并带有IPSec特征集的IOS才支持SSH。并且IOS12.0－IOS12.2仅支持SSH－V1。如下配置SSH服务的例子：
* V  W0 a0 ^' |  F" ?! @Router（Config）# config t
' {" n4 V; m: T& |$ vRouter（Config）# no access－list 22
Router（Config）# access－list 22 permit 192.168.0.22
Router（Config）# access－list deny any
+ P) F  b( T. i, iRouter（Config）# username test privilege 10
！ 设置SSH的超时间隔和尝试登录次数
Router（Config）# ip ssh timeout 90
Router（Config）# ip ssh anthentication－retries 2
$ o: }- c' h+ j- p7 D, |& M( m" FRouter（Config）# line vty 0 4
Router（Config－line）# access－class 22 in
Router（Config－line）# transport input ssh
Router（Config－line）# login local
Router（Config－line）# exit
: U) W1 u# }* r7 ~+ _！启用SSH服务，生成RSA密钥对。
Router（Config）# crypto key generate rsa
( A* ~6 a  e8 r) ^$ q. B- WThe name for the keys will be： router.xxx
Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose Keys .Choosing a key modulus greater than 512 may take a few minutes.
$ |  T: }! a/ i. r6 x1 ~1 W9 QHow many bits in the modulus【512】： 2048
: J3 S/ R, r4 T& P3 X0 t( \; h0 sGenerating RSA Keys.。。
Router（Config）#
2、 TCP SYN的防范。如：
A： 通过访问列表防范。
! J5 Y7 h/ ^5 J, l/ M9 pRouter（Config）# no access－list 106
Router（Config）# access－list 106 permit tcp any 192.168.0.0 0.0.0.255 established
3 E( v0 J! E- x1 s6 MRouter（Config）# access－list 106 deny ip any any
Router（Config）# interface eth 0/2
6 [$ y/ d0 l$ Z+ O' KRouter（Config－if）# description “external Ethernet”
Router（Config－if）# ip address 192.168.1.254 255.255.255.0
$ B7 S1 ~  Z7 B1 RRouter（Config－if）# ip access－group 106 in
, j3 q# r  U9 \B：通过TCP截取防范。（这会给路由器产生一定负载）
' t' ~" T4 r9 P3 a. qRouter（Config）# ip tcp intercept list 107
Router（Config）# access－list 107 permit tcp any 192.168.0.0 0.0.0.255
Router（Config）# access－list 107 deny ip any any
Router（Config）# interface eth0
Router（Config）# ip access－group 107 in
3、 LAND.C 进攻的防范。
Router（Config）# access－list 107 deny ip host 192.168.1.254 host 192.168.1.254
" k0 a$ X' [5 T/ ?Router（Config）# access－list 107 permit ip any any