Cisco Security
Cisco IOS har stöd för många säkerhetsmekanismer och protokoll. Se även L2 Security och L3 Security.
Contents
Device Security
Login enhancements
login block-for [seconds] attempts [attempts] within [seconds]
login quiet-mode access-class TRUSTED_HOSTS ip access-list standard TRUSTED_HOSTS permit host 10.0.0.10
Syslog-meddelande om det görs 8 misslyckade inloggningsförsök inom en minut.
security authentication failure rate 8 log
Password recovery är på default men går att stänga av.
no service password-recovery
Control Plane
Det är viktigt att skydda CPU i sina enheter, man kan styra accessen (Control-Plane Policing) och man kan överbelastningsskydda (Control-Plane Protection). Man kan styra trafik till control plane med hjälp av ACL:er och QoS-filter.
control-plane service-policy input CONTROL-PLANE show policy-map control-plane
Management Plane Protection
control-plane host management-interface GigabitEthernet 0/1 allow ssh https
SSH
ip ssh version 2 crypto key generate rsa modulus 2048 line vty 0 15 transport input ssh
Verify
show ssh show ip ssh show control-plane host open-ports
AAA
The aaa new-model command causes the local username and password on the router to be used in the absence of other AAA statements.
aaa new-model show aaa show aaa local user lockout
Fallback user account ifall AAA-server är unreachable
username fallback privilege 15 secret SECRETS
TACACS
TACACS+ är Ciscoproperitärt och all trafik är krypterad. Tacacs kommunicerar på TCP port 49.
aaa group server tacacs+ server-private 10.0.0.20 key 7 078905478... server-private 10.0.0.21 key 7 134272319... ip vrf forwarding Mgmt ip tacacs source-interface gi0 aaa authentication login default group tacacs+ local aaa authorization exec default group tacacs+ local
Verify
show tacacs
Radius
Använder UDP 1645-1646 eller 1812-1813, accounting är separat från authentication och authorization. Endast lösenord är krypterat.
radius-server host 10.0.0.10 auth-port 1812 acct-port 1813 key RadiusKey aaa authentication login default group radius local
Verify
show radius
IPv6
RA guard
interface GigabitEthernet0/1 ipv6 nd raguard
Verify
show ipv6 snooping features show ipv6 nd raguard
DHCP guard, Binding table, Device tracking, ND inspection/snooping, Source guard, PACL
IPS
IOS kan sättas upp som ett Intrusion Prevention System.
mkdir ips ip ips config location flash:/ips ip ips name IPS show ip ips config