189 8069 5689
cisco交换机安全配置设定命令大全
创新互联专业为企业提供乐安网站建设、乐安做网站、乐安网站设计、乐安网站制作等企业网站建设、网页设计与制作、乐安企业网站模板建站服务，十多年乐安做网站经验，不只是建网站，更提供有价值的思路和整体网络服务。
思科交换机的安全怎么设置，下面为大家分交换机安全设置的配置命令，希望对同学们学习思科交换机有所帮助!
一、交换机访问控制安全配置
1、对交换机特权模式设置密码尽量采用加密和md5 hash方式
switch(config)#enable secret 5 pass_string
其中 0 Specifies an UNENCRYPTED password will follow
5 Specifies an ENCRYPTED secret will follow
建议不要采用enable password pass_sting密码，破解及其容易!
2、设置对交换机明文密码自动进行加密隐藏
switch(config)#service password-encryption
3、为提高交换机管理的灵活性，建议权限分级管理并建立多用户
switch(config)#enable secret level 7 5 pass_string7 /7级用户进入特权模式的密码
switch(config)#enable secret 5 pass_string15 /15级用户进入特权模式的密码
switch(config)#username userA privilege 7 secret 5 pass_userA
switch(config)#username userB privilege 15 secret 5 pass_userB
/为7级，15级用户设置用户名和密码，Cisco privilege level分为0-15级，级别越高权限越大
switch(config)#privilege exec level 7 commands
/为7级用户设置可执行的命令,其中commands可以根据分配给用户的权限自行定义
4、本地console口访问安全配置
switch(config)#line console 0
switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒
switch(config-line)#logging synchronous
/强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见
设置登录console口进行密码验证
方式(1):本地认证
switch(config-line)#password 7 pass_sting /设置加密密码
switch(config-line)#login /启用登录验证
方式(2):本地AAA认证
switch(config)#aaa new-model /启用AAA认证
switch(config)#aaa authentication login console-in group acsserver local
enable
/设置认证列表console-in优先依次为ACS Server，local用户名和密码，enable特权密码
switch(config)#line console 0
switch(config-line)# login authentication console-in
/调用authentication设置的console-in列表
5、远程vty访问控制安全配置
switch(config)#access-list 18 permit host x.x.x.x
/设置标准访问控制列表定义可远程访问的PC主机
switch(config)#aaa authentication login vty-in group acsserver local
enable
/设置认证列表vty-in, 优先依次为ACS Server，local用户名和密码，enable特权密码
switch(config)#aaa authorization commands 7 vty-in group acsserver local
if-authenticated
/为7级用户定义vty-in授权列表，优先依次为ACS Server,local授权
switch(config)#aaa authorization commands 15 vty-in group acsserver local
if-authenticated
/为15级用户定义vty-in授权列表，优先依次为ACS Server,local授权
switch(config)#line vty 0 15
switch(config-line)#access-class 18 in /在线路模式下调用前面定义的标准ACL 18
switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒
switch(config-line)#authorization commands 7 vty-in /调用设置的授权列表vty-in
switch(config-line)#authorization commands 15 vty-in
switch(config-line)#logging synchronous
/强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见
switch(config-line)#login authentication vty-in
/调用authentication设置的vty-in列表
switch(config-line)#transport input ssh
/有Telnet协议不安全，仅允许通过ssh协议进行远程登录管理
6、AAA安全配置
switch(config)#aaa group server tacacs+ acsserver /设置AAA服务器组名
switch(config-sg-tacacs+)#server x.x.x.x /设置AAA服务器组成员服务器ip
switch(config-sg-tacacs+)#server x.x.x.x
switch(config-sg-tacacs+)#exit
switch(config)# tacacs-server key paa_string /设置同tacacs-server服务器通信的密钥
二、交换机网络服务安全配置
禁用不需要的各种服务协议
switch(config)#no service pad
switch(config)#no service finger
switch(config)#no service tcp-small-servers
switch(config)#no service udp-small-servers
switch(config)#no service config
switch(config)#no service ftp
switch(config)#no ip http server
switch(config)#no ip http secure-server
/关闭http,https远程web管理服务，默认cisco交换机是启用的
三、交换机防攻击安全加固配置
MAC Flooding(泛洪)和Spoofing(欺骗)攻击
预防方法：有效配置交换机port-security
STP攻击
预防方法：有效配置root guard,bpduguard,bpdufilter
VLAN，DTP攻击
预防方法：设置专用的native vlan;不要的接口shut或将端口模式改为access
DHCP攻击
预防方法：设置dhcp snooping
ARP攻击
预防方法：在启用dhcp snooping功能下配置DAI和port-security在级联上层交换机的trunk下
switch(config)#int gi x/x/x
switch(config-if)#sw mode trunk
switch(config-if)#sw trunk encaps dot1q
switch(config-if)#sw trunk allowed vlan x-x
switch(config-if)#spanning-tree guard loop
/启用环路保护功能，启用loop guard时自动关闭root guard
接终端用户的端口上设定
switch(config)#int gi x/x/x
switch(config-if)#spanning-tree portfast
/在STP中交换机端口有5个状态：disable、blocking、listening、learning、forwarding，只有处于forwarding状态的端口才可以发送数据。但需经过从blocking--listening
15s,listening--learning 15s,learning--forwarding 20s
共计50s的时间，启用portfast后将直接从blocking--forwarding状态，这样大大缩短了等待的时间。
说明：portfast仅适用于连接终端或服务器的交换机端口，不能在连接交换机的端口上使用!
switch(config-if)#spanning-tree guard root
/当一端口启用了root
guard功能后，当它收到了一个比根网桥优先值更优的.BPDU包，则它会立即阻塞该端口，使之不能形成环路等情况。这个端口特性是动态的，当没有收到更优的包时，则此端口又会自己变成转发状态了。
switch(config-if)#spanning-tree bpdufilter enable
/当启用bpdufilter功能时，该端口将丢弃所有的bpdu包，可能影响网络拓扑的稳定性并造成网络环路
switch(config-if)#spanning-tree bpduguard enable
/当启用bpduguard功能的交换机端口接收到bpdu时，会立即将该端口置为error-disabled状态而无法转发数据，进而避免了网络环路!
注意：同时启用bpduguard与bpdufilter时，bpdufilter优先级较高，bpduguard将失效!
广播、组播风暴控制设定
switch(config-if)#storm-control broadcast level 10 /设定广播的阀值为10%
switch(config-if)#storm-control multicast level 10 /设定组播的阀值为10%
switch(config-if)#storm-control action shutdown / Shutdown this interface
if a storm occurs
or switch(config-if)#storm-control action trap / Send SNMP trap if a storm
安全组 是一个ECS的重要安全设置，但对小白用户来说却很难理解其中晦涩难懂的专业术语。websoft9在此介绍个人的理解：
阿里云官方解释 ：安全组是一种虚拟防火墙，用于设置单台或多台云服务器的网络访问控制，它是重要的网络安全隔离手段，用于在云端划分安全域。每个实例至少属于一个安全组，在创建的时候就需要指定。
注解：简单理解：服务器什么端口（服务）可以被访问，什么端口可以被封锁
例子：服务器80端口是用来提供http服务，如果服务器部署了网站，而没有开放80端口，这个网站肯定访问不了，http: //ip 是打不开的。
这是很常见的问题，用户第一感觉就是购买的服务器有问题或购买的镜像用不了。
远程连接（SSH）Linux 实例和远程桌面连接 Windows 实例可能会失败。
远程 ping 该安全组下的 ECS 实例的公网 IP 和内网 IP 可能会失败。
HTTP 访问该安全组下的 ECS 实例暴漏的 Web 服务可能会失败。
该安全组下 ECS 实例可能无法通过内网访问同地域（或者同 VPC）下的其他安全组下的 ECS 实例。
该安全组下 ECS 实例可能无法通过内网访问同地域下（或者同 VPC）的其他云服务。
该安全组下 ECS 实例可能无法访问 Internet 服务。
当用户购买一个新的服务器的时候，阿里云会提醒选择安全组，对于一部分入门用户来说，第一感觉就是选择一个等级比较高的安全组，这样更为保险。实际上，等级越高，开放的端口越少。甚至连80端口、21端口都被封锁了，导致服务器ping不通、http打不开。这样最常见的访问都无法进行，用户第一感觉就是购买的服务器有问题或购买的镜像用不了。
在Websoft9客服工作中统计发现，96%的用户浏览器http://公网IP 打不开首页，都是因为安全组的设置关闭了80端口所导致。
第一，找到对应的实例，通过安全组配置选项进入设置。
第二，点击“配置规则”，进入安全组规则设置。
本地安全组策略命令是gpedit.msc。
打开本地安全组策略的方法如下：
1、以win10为例，按win+R打开运行，在运行中输入“gpedit.msc”并回车。
2、或者打开windows开始菜单，找到windows系统中的控制面板。
3、在控制面板中点击右上角的类别，选择大图标。
4、然后在改变后的控制面板中找到管理工具。
5、点击管理工具中的本地安全策略即可。
一、查看网络配置
确保网络配置的正确性及网络连接的畅通是Linux系统作为服务器应用的基础，查看及测试网络配置是管理Linux网络服务的第一步。
1.ifconfig——查看网络配置
1) 查看所有活动网络接口的信息
执行 ifconfig 或ip addr或ip a命令，都可以显示当前主机中已启用（活动）的网络接口信息。、
2) 查看指定网络接口信息
格式：ifconfig 网络接口名
可以通过TX、RX等信息了解到通过该网络接口发送和接收的数据包个数，流量等跟多属性。
2.hostname命令
在Linux系统中，相当一部分网络服务都会通过主机名来识别本机，如果主机名配置不当，可能会导致程序功能出现故障。
1) 查看主机名
使用hostname命令就可以查看当前主机的主机名，不添加任何选项参数。
2) 临时更改主机名
hostname NewName
注：这种方法只是临时的更改主机名，重启后将失效。
3) 永久更改主机名
a. 修改配置文件
RHEL6和7的配置文件存放路径不相同，修改配置文件中的主机名，重启就可永久更改主机名。
RHEL6主机名配置文件路径为：/etc/sysconfig/network
RHEL7主机名配置文件路径为：/etc/hostname
示例
b. 使用命令修改（这种方法只适用于RHEL7或者CentOS7之后）
命令格式：
使用该命令更改后，更改后的主机名就自动写入了配置文件中，所以可以永久更改主机名，其实就是修改了配置文件。
3.route命令
直接执行route命令可以查看当前主机中的路由表信息，若结合“-n”选项使用，可以将路由记录中的地址显示为数字形式，这可以跳过解析主机名的过程，在路由表条目较多的情况下能够加快执行速度。
Destination列对应的是目标网段的地址，Gateway列对应的是吓一跳路由器的地址，Iface列对应的是发送数据的网络接口。当目标网段为“default”是，表示此行是默认网关记录，当吓一跳为“*”是，表示目标网段是与本机直接相连的。
4.netstat命令——查看系统的网络连接状态等
netstat命令是了解网络状态及排除网络服务故障的有效工具。
常用选项:
-a：显示所有活动连接（包括监听、非监听状态的服务端口）
-n：以数字形式显示
-p：显示相关的进程信息
-t：查看 TCP 协议相关信息
-u：查看UDP协议相关信息
-r：显示路由表信息
-l：显示处于监听（listening）状态的网络连接及端口信息
通常使用“-anput”组合选项，结合管道使用“grep”命令，来查看一些服务的端口是否开启。
示例：
Tcp21为ftp服务的端口
二、测试网络连接
1.ping命令——测试网络连通性
常用选项:
-c完成次数：设置完成要求回应的次数
-i间隔秒数：指定收发信息的间隔时间
-q：不显示指令执行过程，开头和结尾的相关信息除外
-s数据包大小：设置数据包的大小
-t存活数值：设置存活数值TTL的大小
-v：详细显示指令的执行过程
若返回“Destination Host Unreachable”的反馈信息，则表示目标主机不可达，可能目标地址不存在或主机已关闭；返回“Network is unreachable”的反馈信息，则表示没有可用的路由记录（如默认网关），无法到达目标主机所在的网络；返回“Request timeout”的反馈信息，表示与目标主机间的连接超时（数据包缓慢或丢失），若有严格的防火墙限制，也可能返回此信息。
2.traceroute命令——跟踪数据包的路由途径
使用traceroute命令可以测试从当前主机到目的主机之间经过的网络节点，并显示各中间结点的连接状态（响应时间）。对于无法响应的节点，连接状态将显示为“*”。
示例：traceroute IP_ADDR
在网络测试与排错的过程中，通常会先使用ping命令测试与主机的网络连接，如果发现网络有故障，再使用traceroute命令跟踪查看是在哪个中间结点存在故障。
3.nslookup命令——测试DNS域名解析
nslookup是用来测试（DNS）域名解析的专用工具。（DNS服务后面再详细讲解，通俗的说就是将域名解析为ip地址的一个服务）
示例：nslookup
若成功反馈要查询域名的IP地址，则表示域名解析没有问题；若出现“...... no servers could be reached”的信息，表示不能连接到指定的DNS服务器；若出现“...... cant’t find xxx.yyy.zzz:NXDOMAIN”的信息，表示要查询的域名不存在。
三、设置网络地址参数
设置网络参数的方法：
• 临时配置 —— 使用命令调整网络参数简单、快速，可直接修改运行中的网络参数
一般只适合在调试网络的过程中使用
系统重启以后，所做的修改将会失效
• 永久配置 —— 通过配置文件修改网络参数修改各项网络参数的配置文件
适合对服务器设置固定参数时使用
需要重载网络服务或者重启以后才会生效
1.临时配置——使用网络配置命令（注：RHEL6中网络接口的名称为eth，RHEL7中为ens）
1）使用ifconfig命令修改网卡的地址、状态
ifconfig命令不仅可以用于查看网卡配置，还可以修改网卡的ip地址，子网掩码，也可以绑定网络接口、激活或停用网络接口
a. 修改网卡的ip地址（临时修改）
命令格式：
示例：
b. 禁用或者重新激活网卡
命令格式：
示例：
c. 设置虚拟网络接口（相当于一块网卡配置多个IP地址）
命令格式：
示例：
可以根据需要添加更多的虚拟接口，如“eth0:1”“eth0:2”等
2）使用route命令添加、删除静态路由记录
• 删除路由表中的默认网关记录命令格式：route del default gw IP地址
• 向路由表中添加默认网关记录命令格式：route add default gw IP地址
• 添加到指定网段的路由记录命令格式：route add -net 网段地址 gw IP地址
• 删除到指定网段的路由记录命令格式：router del -net 网段地址
2.永久配置——修改网络配置文件
1）网络接口配置文件
网络接口的配置文件默认位于目录“/etc/sysconfig/network-scripts/”中，文件名格式为：“ifcfg-XXX”，其中“XXX”是网络接口的名称。例如：RHEL6中网卡eth0的配置文件是“ifcfg-eth0”，而RHEL7中网卡ens33的配置文件是“ifcfg-ens33”。
在网卡的配置文件中，可以看到静态IP地址的部分内容如下图所示：
上述个配置项的含义及作用：（图示为RHEL6中的配置文件，7中也差不多，换汤不换药，修改的都差不多）
• DEVICE：设置网络接口的名称ONBOOT：设置网络接口是否在Linux系统启动时激活BOOTPROTO：设置网络接口的配置方式，值为static时表示使用静态ip地址，为dhcp时表示通过dhcp的方式动态获取ip地址IPADDR：设置网络接口的ip地址NETMASK：设置网络接口的子网掩码GATEWAY：设置网络接口的默认网关地址2）重启 network 网络服务
当修改了网络接口的配置文件以后，若要使新的配置生效，可以重启network服务或者重启主机或者禁用、启用网络接口。
示例：
• RHEL6中重启network服务：service network restartRHEL7中重启network服务：systemctl restart network注：这是我在做实验时候的一个经验：RHEL6修改完网卡配置重启后，ip地址仍然没有改过来，这时候我们经常会删除“/etc/udev/rules.d/70-persistent-net.rules”这个文件。RHEL7不用管，RHEL7特别好改，RHEL6改的时候特别难受。（个人提示，不求认同）
3）域名解析配置文件
a.指定为本机提供DNS解析的服务器地址
/etc/resolv.conf文件中记录了本机默认使用的DNS服务器的地址信息，对该文件所做的修改将会立刻生效。Linux系统中最多可以指定3个（第3个以后将被忽略）不同的DNS服务器地址，优先使用第1个DNS服务器。
示例：
其中“search localdomain”用来设置默认的搜索域（域名后缀）。例如，当访问主机“localhost”时，就相当于访问“localhost.localdomain”。
b.本地主机映射文件
/etc/hosts文件中记录着一份主机名与ip地址的映射关系表，一般用来保存经常访问的主机信息。当访问一个未知的域名时，先查找该文件中是否有相应的映射记录，如果找不到在去向DNS服务器查询。
hosts 文件和 DNS 服务器的比较
• 默认情况下，系统首先从 hosts 文件查找解析记录hosts 文件只对当前的主机有效hosts 文件可减少 DNS 查询过程，从而加快访问速度