本文主（zhǔ）要介紹（shào）Cisco路（lù）由器安全配置必用（yòng）的十（shí）條命令，包括在路由器上配置一（yī）個登錄帳戶（hù），在路由器上設置一個主機名，加密路由器口令等（děng）

工具/原（yuán）料

• 路由器（qì）
  
   

步驟/方法

1. 在路由器上配置一個登（dēng）錄帳戶
   我強烈建議（yì）在路由器和交換機上配置一個真實的用戶名和口令帳號。這樣做，意味著你需要用戶和口令來（lái）獲得訪問權。
   
   　　除此之外，我建議為用戶名使用一個（gè）秘密口令，而不僅有一個常規口令。它用MD5加密方法來加密口令，並（bìng）且大大提（tí）高了安全性。舉例如下:
   Router(config)# username root secret My$Password
   　　在配置了用戶名後，你必須啟用使（shǐ）用該用戶名的端口。舉例如下:
   Router(config)# line con 0
   Router(config-line)# login local
   Router(config)# line aux 0
   Router(config-line)# login local
   Router(config)# line vty 0 4
   Router(config-line)# login local
   
    
2. 在路由器上設置一個主機名
   　　我（wǒ）猜測路由器上缺省的主機名（míng）是router。你可以保留這個缺（quē）省值，路由器同樣可以正常運行。然而，對路由器重新命名並唯一地標識（shí）它才有意義。舉例如下:
   Router(config)# hostname Router-Branch-23
   　　除此之外，你可以在路由器上（shàng）配（pèi）置（zhì）一個域名，這樣它就知（zhī）道所處哪個DNS域中。舉例如下:
   Router-Branch-23(config)# ip domain name TechRepublic.com
    
3. 為進入特權模式設置口令
   　　當談到設置進入特權模（mó）式的口令時，許多人想到使（shǐ）用enable password命令（lìng）。然而，代替使用這（zhè）個命令，我強烈（liè）推薦使用enable secret命令。
   　　這（zhè）個命令用MD5加密（mì）方法加密口（kǒu）令，所以提示符不以明文顯示。舉（jǔ）例如下:
   Router(config)# enable secret My$Password
    
4. 加密路（lù）由器口令
   　　Cisco路由器缺省情況下在配置中不加密口令。然而，你可以很容易（yì）地改（gǎi）變這一點。舉例如下（xià）:
   Router(config)# service password-encryption
    
5. 禁用Web服務
   　　Cisco路由器還在缺省情況下啟用了Web服務，它（tā）是一個安全風（fēng）險。如果（guǒ）你不打算使用它，最好將它關閉（bì）。舉例如下:
   Router(config)# no ip http server
    
6. 配（pèi）置DNS，或禁用DNS查找
   　　讓我們討論Cisco路由器中我個（gè）人認為的一個小毛病:缺省情況下，如果在特權模式（shì）下誤輸入（rù）了一個命令，路由器認（rèn）為你試圖（tú）Telnet到一個遠程（chéng）主（zhǔ）機。然而它對你輸入的內容卻執行（háng）DNS查找。
   　　如果你（nǐ）沒有在路由器上配置DNS，命令提示符將掛起直到DNS查找失敗。由於這個原因，我建議使用下麵兩個方（fāng）法中的一個。
   　　一個選擇是禁用DNS。做法是（shì）:
   Router(config)# no ip domain-lookup
   　　或者，你可以正確地配置（zhì）DNS指向（xiàng）一台（tái）真實的DNS服務器（qì）。
   Router(config)# ip name-server
    
7. 配置命令別名
   　　許多網絡管理員都知道在路由（yóu）器上配置命令的縮寫(也就是別名（míng）)。舉例如下:
   Router(config)# alias exec s sh run
   　　這就是說你現在可以輸（shū）入s，而不必輸入完整的show running-configuration命令。
    
8. 設置路由（yóu）器時（shí）鍾，或配置（zhì）NTP服務（wù）器
   　　多數（shù）Cisco設備沒有內部時鍾。當它們啟動時，它們（men）不知道時間（jiān）是多少。即使你設置（zhì）時間，如果你將路由器關閉或重啟，它不（bú）會保（bǎo）留該（gāi）信息。
   　　首先（xiān）設（shè）置你的時區和夏令時。例子如下:
   Router(config)# clock timezone CST -6
   Router(config)# clock summer-time CDT recurring
   　　然後（hòu），為了確保路由器（qì）的事件消息顯示正確的時（shí）間，設置路由器的時（shí）鍾（zhōng），或者配（pèi）置一個NTP服務器（qì）。設置時鍾的例子如下:
   Router# clock set 10:54:00 Oct 5 2005
   　　如（rú）果你已經在（zài）網絡中有了一個NTP服務器(或可以訪問Internet的路由器)，你可以命令路（lù）由器將之作為時間源。這是（shì）你最（zuì）好的選擇，當（dāng）路（lù）由器啟動時，它將通過NTP服務器設置時鍾。舉例如下:
   Router(config)# ntp server 132.163.4.101
    
9. 不讓日（rì）誌消息打擾你的配（pèi）置（zhì）過程
   　　Cisco ioses中另（lìng）一個我認為的小毛病（bìng）就是在我配置（zhì）路由器時，控製台界麵就不斷彈出日誌消息(可能是控（kòng）製台端口，AUX端口或VTY端口)。要預 防這一點，你可以這樣做。
   　　所以（yǐ）在（zài）每一條端口線路上，我使用日誌同步命令。舉例如下:
   Router(config)# line con 0
   Router(config-line)# logging synchronous
   Router(config)# line aux 0
   Router(config-line)# logging synchronous
   Router(config)# line vty 0 4
   Router(config-line)# logging synchronous
   　　除此之外，你可以在端口上修改這些端口的執行超時時間。例如，我們（men）假設你想禁用VTY線路（lù）上（shàng）默認的十分鍾超時（shí）時間。在線路（lù）配置模式下使用 exec-timeout 0 0命令，使路由器永（yǒng）不退出。
    
10. 在路由器緩衝區或係統日誌服務器中記錄係統（tǒng）消息
    　　捕獲路由器的錯誤和事件以（yǐ）及監視控製台是解決問題的關鍵（jiàn）。默認情況下，路由器不會將（jiāng）緩衝的事件記錄（lù）發送到（dào）路由器內存中。
    　　然而，你可以配置路由器將緩衝（chōng）的事件記錄發送到內存。舉例如下:
    Router(config)# logging buffered 16384
    　　你還可以將路由（yóu）器事件發送（sòng）到一個係統日誌服務器。由（yóu）於該服務器處在路由器外部，就有一個附加的優點：即使路由器斷電也會保留事件記錄（lù） 。
     

注意事項

• 有（yǒu）哪個命令的標準是你希望思科在每台路由器上都使用的嗎？每位管理員都其自（zì）己的（de）“正確”配置每台路由器的命令。本文的十條命令是我認為你應該在每台路由器上都配置的，沒有特別（bié）的順序。