История страницы

...

1. Зона «Untrusted» предназначена для подключения к публичной сети (WAN). В этой зоне открыты порты DHCP-протокола для получения динамического IP-адреса от провайдера. Все входящие соединения из данной зоны на маршрутизатор запрещены.
   

   В данную зону безопасности входят интерфейсы:

   • для ESR-10/12V: GigabitEthernet 1/0/1;

   • для ESR-12VF: GigabitEthernet 1/0/1; GigabitEthernet 1/0/9;

   • для ESR-15(R): GigabitEthernet1/0/1; GigabitEthernet1/0/6; 
   • для ESR-15VF: GigabitEthernet 1/0/1; GigabitEthernet 1/0/10;

   • для ESR-20: GigabitEthernet 1/0/1;

   • для ESR-21: GigabitEthernet 1/0/1;

   • для ESR-30/31: GigabitEthernet 1/0/1; TengigabitEthernet 1/0/1-2;

   • для ESR-100/200: GigabitEthernet 1/0/1;

   • для ESR-1000/1500/3100: GigabitEthernet 1/0/1, TengigabitEthernet 1/0/1-2;

   • для ESR-1200/1700: GigabitEthernet 1/0/1, TengigabitEthernet 1/0/1, TengigabitEthernet 1/0/2;

   • для ESR-1511: GigabitEthernet 1/0/1, FortygigabitEthernet 1/0/1-2;
   • для ESR-3150: GigabitEthernet 1/0/1, TengigabitEthernet 1/0/1-2;
   • для ESR-3200: Twentyfivegigabitethernet 1/0/1-2;
   • для ESR-3200L: TengigabitEthernet 1/0/1-2, TwentyfivegigabitEthernet 1/0/1-2;
   • для ESR-3250/3350: GigabitEthernet 1/0/1, TwentyfivegigabitEthernet 1/0/1-2;
   • для ESR-3300: TwentyfivegigabitEthernet 1/0/1-2, HundredgigabitEthernet 1/0/1-2.
     
     Интерфейсы зоны объединены в один L2-сегмент через сетевой мост Bridge 2. Scroll Pagebreak
2. Зона «Trusted» предназначена для подключения к локальной сети (LAN). В этой зоне открыты порты протоколов SSH для удаленного доступа, ICMP-протокола для проверки доступности маршрутизатора, DHCP-протокола для получения клиентами IP-адресов от маршрутизатора. Исходящие соединения из данной зоны в зону «Untrusted» разрешены.
   

   В данную зону безопасности входят интерфейсы:

   • для ESR-10: GigabitEthernet 1/0/2-6;

   • для ESR-12V(F): GigabitEthernet 1/0/2-8;

   • для ESR-15(R): GigabitEthernet 1/0/2-5;
   • для ESR-15VF: GigabitEthernet 1/0/2-9;

   • для ESR-20: GigabitEthernet 1/0/2-4;

   • для ESR-21: GigabitEthernet 1/0/2-12;

   • для ESR-30: GigabitEthernet 1/0/2-4;
   • для ESR-31: GigabitEthernet 1/0/2-14;

   • для ESR-100: GigabitEthernet 1/0/2-4;

   • для ESR-200: GigabitEthernet 1/0/2-8;

   • для ESR-1000: GigabitEthernet 1/0/2-24;

   • для ESR-1200: GigabitEthernet 1/0/2-16, TengigabitEthernet 1/0/3-8;

   • для ESR-1500: GigabitEthernet 1/0/2-8, TengigabitEthernet 1/0/3-4;

   • для ESR-1511: GigabitEthernet 1/0/2-8, TengigabitEthernet 1/0/1-4;

   • для ESR-1700: GigabitEthernet 1/0/2-4, TengigabitEthernet 1/0/3-12;

   • для ESR-3100: GigabitEthernet 1/0/2-8, TengigabitEthernet 1/0/3-8;

   • для ESR-3150: GigabitEthernet 1/0/2-8, Tenegigabitethernet 1/0/3-4;

   • для ESR-3200: Twentyfivegigabitethernet 1/0/3-12;

   • для ESR-3200L: TengigabitEthernet 1/0/3-8, TwentyfivegigabitEthernet 1/0/3-4;
   • для ESR-3250/3350: GigabitEthernet 1/0/2-8, Twentyfivegigabitethernet 1/0/3-4;

   • для ESR-3300: TwentyfivegigabitEthernet 1/0/3-4, HundredgigabitEthernet 1/0/3-4.
     
     Интерфейсы зоны объединены в один L2-сегмент через сетевой мост Bridge 1.

...

...

...

Если IP-адрес не получен по какой-либо причине, то следует назначить адрес интерфейса вручную, используя любой адрес, кроме 192.168.1.1, в подсети 192.168.1.0/24.scroll-pagebreak

Подключение через консольный порт RS-232

...

• Изменение пароля пользователя «admin» при первой авторизации.
• Создание новых пользователей.
• Назначение имени устройства (Hostname).
• Установка параметров подключения к публичной сети в соответствии с требованиями провайдера.
• Настройка удаленного доступа к маршрутизатору.
• Применение базовых настроек.scroll-pagebreak

Изменение пароля пользователя «admin» при первой авторизации

...

...

Пример команд для создания нескольких учетных записей – пользователя «netmaster» с уровнем привилегий 15 для управления оборудованием, пользователя «watcher» с уровнем привилегий 1 для ограниченного просмотра оперативной информации, а также пользователя «techsup» для отладки устройства совместно с сотрудниками технической поддержки:

...

После применения конфигурации приглашение командной строки изменится на значение, заданное параметром <new-name>. Scroll Pagebreak

Настройка параметров публичной сети

...

esr# configure
esr(config)# interface gigabitethernet 1/0/2.150
esr(config-if-sub)# ip address 192.168.16.144/24
esr(config-if-sub)# exit
esr(config)# ip route 0.0.0.0/0 192.168.16.1

Для того чтобы убедиться, что адрес был назначен интерфейсу, после применения конфигурации введите следующую команду:

...

• Рекомендуется всегда отключать неиспользуемые физические интерфейсы с помощью команды 
  shutdown. Команда подробно описана в разделе Конфигурирование и мониторинг интерфейсов справочника команд CLI.
• Рекомендуется всегда настраивать синхронизацию системных часов с доверенными источниками сетевого времени (NTP). Алгоритм настройки NTP приведён в разделе Настройка NTP настоящего руководства по эксплуатации. Подробная информация о командах для настройки NTP приведена в разделе Управление системными часами справочника команд CLI.
• Рекомендуется отключать NTP broadcast client, включённый по умолчанию в заводской конфигурации.
• Не рекомендуется использовать команду ip firewall disable, отключающую межсетевое экранирование. Следует всегда назначать интерфейсам соответствующие зоны безопасности и настраивать корректные правила межсетевого экрана. Алгоритм настройки межсетевого экрана приведён в разделе Конфигурирование Firewall настоящего руководства по эксплуатации. Подробная информация о командах для настройки межсетевого экрана приведена в разделе разделе Управление Firewall справочника команд CLI.

Scroll Pagebreak

Настройка системы логирования событий

Алгоритмы настройки системы логирования событий приведены в подразделе «Настройка Syslog» раздела Мониторинг настоящего руководства по эксплуатации.

Подробная информация о командах для настройки системы логирования событий приведена в разделе 
Управление SYSLOG справочника команд CLI.

...

esr(config)# syslog max-files 3
esr(config)# syslog file-size 512

Настраиваем передачу сообщений на внешний сервер:

...

Алгоритмы настройки политики использования паролей приведены в разделе Настройка ААА настоящего руководства по эксплуатации.

Подробная информация о командах для настройки политики использования паролей приведена в разделе Настройка AAA справочника команд CLI.

...

Алгоритмы настройки политики ААА приведены в разделе Настройка ААА настоящего руководства по эксплуатации.

Подробная информация о командах для настройки политики AAA приведена в разделе Настройка ААА справочника команд CLI.

...

• Рекомендуется использовать ролевую модель доступа на устройство.
• Рекомендуется использовать персональные учетные записи для аутентификации на устройстве.
• Рекомендуется включать логирование вводимых пользователем команд.

  Scroll Pagebreak

• Рекомендуется использовать несколько методов аутентификации для входа на устройства через консоль, удалённого входа на устройства и повышения привилегий. Оптимальной считается комбинация из аутентификации по одному из протоколов RADIUS/TACACS/LDAP и локальной аутентификации.
• Рекомендуется отключить встроенную учётную запись admin.
• Рекомендуется настроить логирование изменений локальных учётных записей.
• Рекомендуется настроить логирование изменений политики AAA.

...

• Встроенную учётную запись admin удалить нельзя, только отключить авторизацию для неё командой no admin login enable.
• Команда no username admin не удаляет пользователя admin, сбрасывает его конфигурацию в значения по умолчанию. После применения этой команды пользователь admin не будет отображаться в конфигурации.
• Команда no password для пользователя admin также не удаляет пароль пользователя admin, а сбрасывает его в значение по умолчанию. После применения этой команды пароль пользователя admin перестаёт отображаться в конфигурации и становится ‘password'.
• Перед отключением авторизации для пользователя admin в конфигурацию устройства необходимо настроить пользователя с уровнем привилегий 15 или задать ENABLE-пароль для уровня привилегий 15.scroll-pagebreak

Пример настройки

Задача:

Настроить политику AAA:

...

esr(config)# enable password $6e5c4r3e2t!

Далее необходимо отключить авторизацию у пользователя admin:

...

esr(config)# radius-server host 192.168.1.11
esr(config-radius-server)# key ascii-text encrypted 8CB5107EA7005AFF
esr(config-radius-server)# priority 100 
esr(config-radius-server)# exit
esr(config)# radius-server host 192.168.2.12
esr(config-radius-server)# key ascii-text encrypted 8CB5107EA7005AFF
esr(config-radius-server)# priority 150
esr(config-radius-server)# exit

...

Настраиваем политику ААА:

...

• Не рекомендуется включать удалённое управление по протоколу Telnet.
• Рекомендуется использовать криптостойкие алгоритмы аутентификации sha2-512 и отключить все остальные.
• Рекомендуется использовать криптостойкие алгоритмы шифрования aes256ctr и отключить все остальные.
• Рекомендуется использовать криптостойкий алгоритм обмена ключами шифрования dh-group-exchange-sha256 и отключить все остальные.
• Рекомендуется использовать криптостойкий алгоритм верификации Host-Key для SSH rsa и отключить все остальные.

  Scroll Pagebreak

• Рекомендуется разрешить доступ к удалённому управлению устройством только с определённых IP-адресов.   
• Перед началом эксплуатации рекомендуется перегенерировать ключи шифрования.

...

Сгенерировать новые ключи шифрования. Использовать криптостойкие алгоритмы.scroll-pagebreak

Решение:

Отключаем устаревшие и не криптостойкие алгоритмы:

...

esr# update ssh-host-key rsa 2048

Настройка механизмов защиты от сетевых атак

Алгоритмы настройки механизмов защиты от сетевых атак приведены в разделе Настройка логирования и защиты от сетевых  настоящего атак руководства по эксплуатации.

Подробная информация о командах для настройки политики использования паролей приведена в разделе Управление логированием и защитой от сетевых атак справочника команд CLI.

...

esr(config)# ip firewall screen suspicious-packets icmp-fragment
esr(config)# logging firewall screen suspicious-packets icmp-fragment

Включаем защиту от ICMP-пакетов большого размера и логирование механизма защиты:

...