zxr10產(chǎn)品操作維護培訓2015年級r10a ch l3網(wǎng)絡安全管理平面

1、L3網(wǎng)絡安全 管理平面 內容提要n管理平面安全概述管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務nTELNET連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全管理平面安全概述 n管理平面安全是指網(wǎng)絡管理人員以設備現(xiàn)有安全功能為基礎，結合其他軟硬件條件，在配置設備、管理網(wǎng)絡時應做的安全方面的工作。n好的管理能將網(wǎng)絡時刻牢牢地掌控在你自己的手中，了解它的運行狀況，第一時間發(fā)現(xiàn)告警，及時處理網(wǎng)絡故障，將損失降低到最小程度。管理平面安全概述（續(xù)）n網(wǎng)絡設備所支持的常見安全功能有：lRADIUS功能lTACACS+功能lSSH連接

2、功能lSNMP功能lCLI權限分級機制內容提要n管理平面安全概述 n帶外管理帶外管理n密碼加密n關閉不用的服務nTELNET連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全帶外管理n網(wǎng)絡管理分為帶內管理和帶外管理。l帶內管理（in-band management）即管理控制信息與數(shù)據(jù)信息使用統(tǒng)一物理通道即業(yè)務以太端口進行傳送。帶內管理的最大缺陷在于：當網(wǎng)絡出現(xiàn)故障中斷時數(shù)據(jù)傳輸和管理都無法正常進行。l帶外管理（out-of-band management）即通過不同的物理通道傳送管理控制信息和數(shù)據(jù)信息，兩者完全獨立，互不影響。帶

3、外管理（續(xù)）n帶外管理能夠使用戶減少運營成本、提高運營效率、減少宕機時間、提高服務質量。n在中興的ZXR10設備上，高端交換機的帶外網(wǎng)管接口在設備的控制交換板上，是一個RJ45型的10/100Base-TX以太網(wǎng)口；在高端路由器中，帶外網(wǎng)管接口分布在BIC板上，是一個RJ45型的10/100M以太網(wǎng)接口。內容提要n管理平面安全概述 n帶外管理n密碼加密密碼加密n關閉不用的服務nTELNET連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全密碼加密n要登陸設備必須有用戶名和密碼。入侵者獲得設備管理權限的途徑之一就是設法獲取設備的密碼

4、。如果不使用密碼加密技術，則設備的密碼是明文的，很容易被獲取到。 n如果要將用戶密碼加密，請在全局配置下配置以下命令： ZXR10# service password-encryption n該命令在配置后所有用戶密碼以加密方式顯示，如下 。ZXR10(config)#service password-encryptionZXR10(config)#username who password who ZXR10(config)#show username Username Password Privilegewho 67dbc831b72f2cc1bde 1內容提要n管理平面安全概述 n帶外管

5、理n密碼加密n關閉不用的服務關閉不用的服務nTELNET連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全關閉不用的服務n在我們熟悉的Windows系統(tǒng)中，我們常常通過關閉一些不用的服務來提高計算機的性能。同樣地，在網(wǎng)絡設備中我們也可以通過關閉不用的服務來節(jié)省設備資源，更重要的是提升了設備的安全性。n1、關閉DNS域名解析功能：lZXR10# no ip domain lookup n2、取消發(fā)送ICMP不可達報文：lZXR10(config-if)# no ip unreachable 內容提要n管理平面安全概述 n帶外管理n密

6、碼加密n關閉不用的服務nTelnet連接限制連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全TELNET連接限制n限制TELNET的連接一方面是出于安全考慮，即不讓超出管理員允許范圍的人員登陸設備；另一方面是避免TELNET的操作占用過多的系統(tǒng)資源。n限制TELNET連接要與ACL（Access List訪問控制列表）結合在一起使用。TELNET連接限制配置實例 組網(wǎng)n在這個網(wǎng)絡中，網(wǎng)絡管理員只允許自己的IP地址能夠TELNET路由器R2，不允許其他任何地址TELNET設備R2。TELNET連接限制配置實例

7、配置nR2上的配置如下：R2(config)#interface gei_0/1R2(config-if)#ip address 52R2(config-if)#exitR2(config)#interface gei_0/2R2(config-if)#ip address R2(config-if)#exitR2(config)# acl standard number 1R2(config-ext-acl)#permit permit R2(config-

8、ext-acl)#exitR2(config)#line telnet access-class 1R2(config)#ip route 內容提要n管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務nTelnet連接限制n斷開空閑的管理連接斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全斷開空閑的管理連接 n和限制TELNET連接相似，斷開空閑的管理連接也是為了網(wǎng)絡的安全和可維護性。 如果一個TELNET會話沒有設置它的閑置時間（idle-timeout）限

9、制的話，可能會造成下面的不利后果：lTELNET一直占用設備的TCP連接資源，當設備的TCP連接資源滿了后，就無法TELNET上這個設備。l如果網(wǎng)管沒有關閉TELNET會話和相應的窗口，如果他離開終端，可能會被某些人短時間占有管理員權限。他可以查看設備配置內容，修改設備配置，甚至悄悄為自己創(chuàng)建一個管理員賬戶。斷開空閑的管理連接配置n配置TELNET終端的閑置時間后，可以在終端沒有任何鍵盤輸入的一段時間之后自動關閉TELNET終端會話，斷開TCP連接，釋放資源。n配置TELNET終端的閑置時間，在全局配置下配置：lZXR10# line telnet idle-timeout 內容提要n管理平面

10、安全概述 n帶外管理n密碼加密n關閉不用的服務nTelnet連接限制n斷開空閑的管理連接n通過通過SSH連接配置設備連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全通過SSH連接配置設備 n由于TELNET用明文傳送口令和數(shù)據(jù)，網(wǎng)絡上一些黑客很容易就可以使用抓包分析工具嗅探和截獲網(wǎng)絡中的口令和數(shù)據(jù)。n和TELNET一樣，F(xiàn)TP、POP等網(wǎng)絡服務也是明文傳送口令和數(shù)據(jù)的。為了防止被嗅探和截獲，SSH應運而生了。SSH的英文全稱是Secure Shell。nSSH優(yōu)點：l能將所有傳輸?shù)臄?shù)據(jù)加密l傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快傳輸速度SSH的兩種安全驗證級別nSSH是

11、由客戶端和服務端的軟件組成的，有兩個不兼容的版本，分別是：1.x和2.x。nOpenSSH是SSH的免費替代軟件，OpenSSH 2.x同時支持SSH 1.x和2.x。n從客戶端來看，SSH提供兩種級別的安全驗證：l第一種級別：基于口令的安全驗證，只要你知道自己賬戶和口令，就可以登錄到遠程主機 l第二種級別：基于密鑰的安全驗證，用戶需要為自己創(chuàng)建一對密鑰 運行SSH實例 ZXR10設備上的配置n運行SSH分為服務器和客戶端兩部分，ZXR10設備作為SSH的服務器，主機通過運行SSH客戶端來登錄交換機，具體步驟如下： l1、在ZXR10設備上的全局配置模式下使用ssh server enable

12、命令啟動SSH服務器功能。缺省配置下SSH服務器功能是關閉的。 l2、將主機網(wǎng)口連接到ZXR10設備的以太網(wǎng)端口，通過配置使主機能夠ping通設備的IP地址。運行SSH實例 主機上的配置n3、在主機上運行SSH客戶端軟件（以下以常用軟件putty為例） l設置SSH服務器的IP地址和端口號：運行SSH實例 主機上的配置（續(xù)）n設置SSH的版本號：4、點擊按鈕登錄網(wǎng)絡設備，根據(jù)提示輸入正確的用戶名和密碼即可。內容提要n管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務nTelnet連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級權限分級 nRADIUSnTACACSnS

13、NMP安全什么是CLI權限分級？nCLI是 Command Line Interface 的縮寫，它實現(xiàn)了針對不同的登錄用戶，綁定不同的權限級別，級別越低，可用的命令越少；級別越高，可用的命令越多的功能。n設備啟動后，每個命令節(jié)點都有一個缺省的權限等級，管理員可以修改命令節(jié)點的權限等級。 n管理員可以設置每個登錄用戶的權限級別，命令顯示和執(zhí)行的條件是：當用戶的權限級別大于等于命令的權限級別時，在用戶終端上就可以顯示并執(zhí)行該命令。默認管理員（權限級別15）可以使用全部的命令，其他權限級別只能使用少數(shù)維護命令。 CLI權限分級配置流程圖 配置CLI權限分級 配置TELNET登錄用戶 n出于安全性考

14、慮，該功能只能由管理員（最高權限15）配置，也就是說，其他等級用戶登錄后不能修改自己的登錄密碼和權限級別，只能由管理員統(tǒng)一定義和修改。 ZXR10(config)# username password privilege n可以使用命令no username 刪除用戶 配置TELNET登錄用戶 操作實例n下面進行一些實際操作，用來說明不同級別用戶登錄設備的不同之處。1、設置用戶test的權限級別為12：ZXR10(config)#username test password test privilege 12 Username:testPassword:ZXR10# /*直接進入提示符“#”*

15、/ 2、使用該用戶TELNET交換機：配置TELNET登錄用戶 操作實例（續(xù)）3、再將用戶test的權限級別改為1 ：ZXR10(config)#username test password test privilege 14、使用該用戶TELNET交換機：Username:testPassword:ZXR10 /*直接進入提示符“ ”*/ 配置TELNET登錄用戶 操作實例（續(xù)）n如果用戶權限級別為215，登錄設備直接進入提示符“#”；如果用戶權限級別為1，則進入提示符“”，需要使用命令enable進入更高的級別：Username:testPassword:ZXR10#enable 12 /

16、*如果enable后面沒有參數(shù)12，默認進入權限級別15*/Password:ZXR10# 配置CLI權限分級 配置權限級別的enable密碼n此功能可以為每個權限級別配置enable密碼，在將用戶終端的權限級別由低轉入高時，需要使用enable密碼。n配置各權限級別的enable密碼 ： ZXR10(config)# enable secret level n使用命令no enable secret level 刪除enable密碼。 配置權限級別的enable密碼實例n下面進行一些操作，用來說明什么情況下需要使用enable密碼。1、配置用戶test的權限級別為1： ZXR10(confi

17、g)# username test password test privilege 12、配置權限級別12的enable密碼： ZXR10(config)# enable secret level 12 zte 3、使用用戶test登錄交換機，并改變當前操作終端的權限級別為12時，系統(tǒng)提示必須輸入權限級別12的enable密碼：Username:testPassword:ZXR10enable 12Password:ZXR10# 配置CLI權限分級 配置命令的權限級別 n通過配置命令的權限級別，控制用戶可使用的命令范圍。當用戶的權限級別大于等于命令的權限級別時，在用戶終端上就可以顯示并執(zhí)行該命

18、令。默認情況下，管理員（權限級別15）可以使用全部的命令，其他權限級別只能使用少數(shù)維護命令。n配置命令節(jié)點的權限級別：lZXR10(config)# privilege all level | level 配置命令的權限級別配置舉例n要求：將所有以show interface打頭的命令的權限級別統(tǒng)一修改為12。1、在權限級別12的終端下查看show命令：ZXR10#show ? privilege Show current privilege level 可以看到，默認情況權限級別12下只有show privilege命令。 2、進入權限級別15：ZXR10#enable /*如果enable

19、命令后面無參數(shù)，默認進入權限級別15*/Password:ZXR10# 3、在權限級別15下，將所有以show interface打頭的命令的權限級別統(tǒng)一修改為12 ：ZXR10#conf tZXR10(config)#privilege show all level 12 show interface 配置命令的權限級別配置舉例（續(xù)）4、返回權限級別12：ZXR10#enable 12 /*由高權限級別進入低權限級別時，不需要輸入低權限級別的密碼*/ZXR10# 5、再次在權限級別12的終端下查看show命令 ：ZXR10#show ? interface Show interface pr

20、operty and statistics privilege Show current privilege level 可以看到，現(xiàn)在權限級別12下增加了show interface命令，可以用這個命令查看接口信息了：ZXR10#show interface gei_1/2gei_1/2 is up, line protocol is up Description is none The port is electric Duplex full Mdi type:auto VLAN mode is hybrid, pvid 1 MTU 1500 bytes BW 1000000 Kbits

21、Last clearing of show interface counters never 120 seconds input rate: 0 Bps, 0 pps120 seconds output rate: 5 Bps, 0 pps-以下省略- CLI權限分級的維護與診斷 n顯示當前模式下命令節(jié)點的權限級別：ZXR10# show privilege cur-mode detail | level | node n顯示show模式下命令節(jié)點的權限級別：ZXR10# show privilege show-mode detail | level | node CLI權限分級配置實例 n現(xiàn)

22、有用戶test，分配給他的權限級別為10，希望允許其在交換機上執(zhí)行show run命令。n1、使用管理員權限（級別15）配置交換機：ZXR10(config)# username test password test privilege 10ZXR10(config)# enable secret level 10 test123ZXR10(config)# privilege show all level 10 show run n2、在交換機上查看配置結果： ZXR10(config)#exitZXR10#enable 10ZXR10#show runBuilding configurat

23、ion.!urpf log off!-以下省略- 內容提要n管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務nTelnet連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全RADIUS概述 nRADIUS（Remote Authentication Dial In User Service）是一種標準的AAA協(xié)議，AAA是指授權（Authorization）、認證（Authentication）和計費（Accounting）。 n對路由交換機來說，AAA能對訪問路由交換機的用戶進行認證，防止非法用戶的進入，從而提高設備的安全

24、性，同時像DOT1X一樣的業(yè)務也可能需要用到RADIUS服務器進行認證和計費。nRADIUS協(xié)議采用Client / Server結構，采用UDP作為承載傳輸協(xié)議。 配置RADIUSn1、配置RADIUS計費組：ZXR10(config)# radius accounting-group n2、配置RADIUS認證組：ZXR10(config)# radius authentication-group 配置RADIUS（續(xù)）n3、配置RADIUS參數(shù)：命令功能ZXR10(config-acctgrp-1)# timeout 設置RADIUS服務器超時重發(fā)參數(shù)ZXR10(config-acctg

25、rp-1)# algorithm first | round-robin設置RADIUS服務器的選擇算法ZXR10(config-acctgrp-1)# alias 配置RADIUS服務器組的別名ZXR10(config-acctgrp-1)# calling-station-format 配置calling-station-id字段格式定義ZXR10(config-acctgrp-1)# deadtime 設置認證服務器的無效時間ZXR10(config-acctgrp-1)# local-buffer enable | disable配置計費服務器的本地緩存ZXR10(config-acc

26、tgrp-1)# max-retries 設置RADIUS服務器超時重發(fā)參數(shù)ZXR10(config-acctgrp-1)# nas-ip-address 設置RADIUS服務器的NAS-IP，對應協(xié)議包的NAS-IP字段和協(xié)議包的源IP地址ZXR10(config-acctgrp-1)# server key port 設置RADIUS服務器及其參數(shù)ZXR10(config-acctgrp-1)# user-name-format include-domain | strip-domain配置BRAS向RADIUS Server發(fā)送的用戶名字段的格式ZXR10(config-acctgrp-

27、1)# vendor enable | disable配置發(fā)送的RADIUS協(xié)議包中是否需要廠商自定義屬性RADIUS的維護和查看信息 n顯示RADIUS調試信息：lZXR10# debug radius all n顯示統(tǒng)計信息：lZXR10# show counter radius all n顯示本地緩存的計費包內容：lZXR10# show accounting local-buffer all n清除本地緩存的計費包內容：lZXR10# clear accounting local-buffer all RADIUS配置實例 組網(wǎng)n在ZXR10設備上設置RADIUS認證，用戶要TELNE

28、T到設備，需要通過認證才能登錄。 RADIUS配置實例 RADIUS服務器配置 n下面以RADIUS服務器軟件WinRADIUS為例說明RADIUS服務器的設置。 l1、打開WinRADIUS.exe，打開菜單添加帳號，新增一個賬戶，用戶名為zte，密碼為zte，點擊返回。RADIUS配置實例 RADIUS服務器配置（續(xù)）n2、打開菜單系統(tǒng)設置，設置NAS密鑰為ZTEGER，認證端口1812，點擊返回。RADIUS配置實例 網(wǎng)絡設備配置n1、配置RADIUS服務器：ZXR10(config)#radius authentication-group 1ZXR10(config-authgrp-1

29、)#server 1 5 key ZTEGER port 1812ZXR10(config-authgrp-1)#server 2 6 key ZTEGER port 1812 n2、配置RADIUS服務器參數(shù)：ZXR10(config-authgrp-1)#timeout 30ZXR10(config-authgrp-1)#max-retries 6 n3、更改TELNET用戶的認證方式：ZXR10(config)#user-authentication-type radius 1 內容提要n管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務n

30、Telnet連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全TACACS概述 n終端訪問控制器訪問控制系統(tǒng)（TACACS+）通過一個或多個中心服務器為路由器、網(wǎng)絡訪問服務器以及其它網(wǎng)絡處理設備提供了訪問控制服務。n與RADIUS不同，TACACS+支持獨立的認證（authentication）、授權（authorization）和計費（accounting）功能。TACACS+應用傳輸控制協(xié)議（TCP），而RADIUS使用用戶數(shù)據(jù)報協(xié)議（UDP）。 nTACACS+由TACACS和XTACACS發(fā)展而來，是TACACS的最新版本

31、，與前兩個版本不兼容。TACACS+改進了TACACS和XTACACS，將認證（authentication）、授權（authorization）和計費（accounting）相分離，并且將NAS和安全服務器之間的數(shù)據(jù)傳輸加密。 配置TACACS n1、使能/關閉TACACS協(xié)議：ZXR10(config)# tacacs enable | disable n2、TACACS服務器參數(shù)配置：命令功能ZXR10(config)#tacacs-server host key port timeout 設置單個TACACS服務器ZXR10(config)# tacacs-server key 設置N

32、AS和服務器交換報文使用的加密密鑰，長度163個字符（不能包括空格），服務器中定義的密鑰必須和此相同 ZXR10(config)# tacacs-server timeout 設置TACACS+服務器連接超時時長，單位為秒，范圍11000，缺省為5秒 ZXR10(config)# tacacs-server packet 配置TACACS+報文長度，默認1024，范圍10244096 配置TACACS（續(xù)）n3、配置TACACS客戶端地址，端口號范圍102565535 ：ZXR10(config)# tacacs-client port n4、配置AAA服務器組。l進入TACACS服務器組配置

33、模式 ：ZXR10(config)# aaa group-server tacacs+ l配置TACACS服務器組成員 ZXR10(config-sg)# server port 配置TACACS（續(xù)）n5、配置用戶認證 。l全局配置用戶認證方式 ：ZXR10(config)#user-authentication-type local | radius| tacacs+ l定義AAA認證方法列表 ：ZXR10(config)# aaa authentication login | enable default local | group | none 配置TACACS（續(xù)）n6、配置用戶授權

34、l制定用戶授權方式：ZXR10(config)# user-authorization-type local | tacacs+ l定義AAA授權方法列表 ZXR10(config)# aaa authorization exec default local | group | if-authenticated | none 配置TACACS（續(xù)）n7、配置用戶記賬 ZXR10(config)# aaa accounting commands default none | stop-only group TACACS配置實例 配置任務n配置用戶登錄認證方法為TACACS組認證；nenable認

35、證方法為先本地認證，如果認證不通過，進行TACACS組認證；n授權方法也為先本地認證，如果本地認證不通過，進行TACACS組認證；并對10級用戶進行記賬。TACACS配置實例 配置n配置如下：ZXR10#configure terminalEnter configuration commands, one per line. End with CTRL/Z.ZXR10(config)#tacacs enableZXR10(config)#tacacs-server host key zteZXR10(config)#aaa group-server tacacs+ zt

36、eZXR10(config-sg)#server ZXR10(config-sg)#exitZXR10(config)#user-authentication-type tacacs+ZXR10(config)#aaa authentication login default group zteZXR10(config)#aaa authentication enable default local group zteZXR10(config)#user-authorization-type tacacs+ZXR10(config)#aaa authorization e

37、xec default local group zteZXR10(config)#aaa accounting commands 10 default stop-only group zte 內容提要n管理平面安全概述 n帶外管理n密碼加密n關閉不用的服務nTelnet連接限制n斷開空閑的管理連接n通過SSH連接配置設備 nCLI權限分級 nRADIUSnTACACSnSNMP安全安全SNMP概述n簡單網(wǎng)絡管理協(xié)議（SNMP：Simple Network Management Protocol）是由互聯(lián)網(wǎng)工程任務組（IETF：Internet Engineering Task Force）定義

38、的一套網(wǎng)絡管理協(xié)議。利用SNMP，一個管理工作站可以遠程管理所有支持這種協(xié)議的網(wǎng)絡設備，包括監(jiān)視網(wǎng)絡狀態(tài)、修改網(wǎng)絡設備配置、接收網(wǎng)絡事件警告等。nSNMP協(xié)議是基于服務器和客戶端的管理模式，后臺網(wǎng)管服務器作為SNMP服務器，前臺網(wǎng)絡設備作為SNMP客戶端。 SNMP概述（續(xù)）nSNMP管理的網(wǎng)絡有三個主要組成部分：l管理的設備：是一個網(wǎng)絡節(jié)點lSNMP代理：被管理設備上的一個網(wǎng)絡管理軟件模塊 l網(wǎng)絡管理系統(tǒng)：即NMS，運行應用程序以實現(xiàn)監(jiān)控被管理設備 n目前，SNMP有3種：SNMPv1、SNMPv2、SNMPv3。 配置SNMP n1、設置SNMP報文共同體（Community Name）：

39、ZXR10(config)# snmp-server community view ro | rw 參數(shù)是一個任意的字符串（132），需要同網(wǎng)絡服務器驗證該共同體名，如果匹配了才會處理該SNMP報文 配置SNMP（續(xù)）n2、定義SNMPv2視圖：ZXR10(config)# snmp-server view included | excluded n3、設置MIB對象的系統(tǒng)負責人聯(lián)系方式（sysContact） ZXR10(config)# snmp-server contact n4、設置MIB對象的所在位置（sysLocation）：ZXR10(config)# snmp-server l

40、ocation 配置SNMP（續(xù)）n5、設置允許發(fā)送的TRAP的類型：ZXR10(config)#snmp-server enable trap n6、設置TRAP目的主機 ZXR10(config)# snmp-server host inform | trap version 1 | 2c | 3 | mng | vrf n7、使用ACL控制SNMP協(xié)議訪問系統(tǒng)的主機地址 ：ZXR10(config)#snmp-server access-list 配置SNMP（續(xù)）n8、配置SNMPv3 context名稱：ZXR10(config)#snmp-server context n9、配置SNMPv3的組：ZXR10(config)#snmp-server group v3 auth | noauth | pri