Рекомендации по безопасной настройке носят общий характер и подходят для большинства инсталляций. Настоящие рекомендации в значительной степени повышают безопасность эксплуатации устройства, но не являются исчерпывающими. В зависимости от схемы применения устройства необходимо настраивать и другие параметры безопасности. В некоторых специфических случаях выполнение данных рекомендаций может привести к неработоспособности сети. При настройке устройства стоит в первую очередь следовать техническим требованиям и регламентам сетей, в которых будет эксплуатироваться данное устройство.
Алгоритмы настройки системы логирования событий приведены в подразделе «Настройка Syslog» раздела Мониторинг настоящего руководства.
Подробная информация о командах для настройки системы логирования событий приведена в разделе Управление SYSLOG справочника команд CLI.
Настроить хранение сообщений о событиях уровня info и выше в файл syslog на устройстве и настроить передачу этих событий на внешний syslog-сервер. Ограничить файл размером 512 кБ. Включить ротацию 3 файлов. Включить нумерацию сообщений syslog.
Настраиваем хранение syslog-сообщений в файле:
scs(config)# syslog file tmpsys:syslog/default scs((config-syslog-file)# severity info scs((config-syslog-file)# exit |
Настраиваем ограничение размера и ротацию файлов:
scs(config)# syslog max-files 3 scs(config)# syslog file-size 512 |
Настраиваем передачу сообщений на внешний сервер:
scs(config)# syslog host mylog scs(config-syslog-host)# remote-address 92.168.1.2 scs(config-syslog-host)# transport udp scs(config-syslog-host)# port 514 scs(config-syslog-host)# severity info scs(config-syslog-host)# exit |
Включаем нумерацию сообщений syslog:
scs(config)# syslog sequence-numbers |
Алгоритмы настройки политики использования паролей приведены в разделе Настройка ААА настоящего руководства.
Подробная информация о командах для настройки политики использования паролей приведена в разделе Настройка AAA справочника команд CLI.
Включаем запрос на смену пароля по умолчанию для пользователя admin:
scs(config)# security passwords default-expired |
Устанавливаем время жизни пароля 30 дней и запрет на использование предыдущих 12 паролей:
scs(config)# security passwords lifetime 30 scs(config)# security passwords history 12 |
Устанавливаем ограничения на длину пароля:
scs(config)# security passwords min-length 16 scs(config)# security passwords max-length 24 |
Устанавливаем ограничения по минимальному количеству символов соответствующих типов:
scs(config)# security passwords upper-case 3 scs(config)# security passwords lower-case 5 scs(config)# security passwords special-case 2 scs(config)# security passwords numeric-count 4 scs(config)# security passwords symbol-types 4 |
Алгоритмы настройки политики ААА приведены в разделе Настройка ААА настоящего руководства.
Подробная информация о командах для настройки политики AAA приведена в разделе Настройка ААА справочника команд CLI.
Настроить политику AAA:
Создаем локального пользователя local-operator с уровнем привилегий 8:
scs(config)# username local-operator scs(config-user)# password Pa$$w0rd1 scs(config-user)# privilege 8 scs(config-user)# exit |
Задаём локальный ENABLE-пароль:
scs(config)# enable password $6e5c4r3e2t! |
Далее необходимо отключить авторизацию у пользователя admin:
scs(config)# no admin login enable |
Настраиваем связь с двумя RADIUS-серверами, основным 192.168.1.11 и резервным 192.168.2.12:
scs(config)# radius-server host 192.168.1.11 scs(config-radius-server)# key ascii-text encrypted 8CB5107EA7005AFF scs(config-radius-server)# priority 100 scs(config-radius-server)# exit scs(config)# radius-server host 192.168.2.12 scs(config-radius-server)# key ascii-text encrypted 8CB5107EA7005AFF scs(config-radius-server)# priority 150 scs(config-radius-server)# exit |
Настраиваем политику ААА:
scs(config)# aaa authentication login CONSOLE radius local scs(config)# aaa authentication login SSH radius scs(config)# aaa authentication enable default radius enable scs(config)# aaa authentication mode break scs(config)# line console scs(config-line-console)# login authentication CONSOLE scs(config-line-console)# exit scs(config)# line ssh scs(config-line-ssh)# login authentication SSH scs(config-line-ssh)# exit |
Настраиваем логирование:
scs(config)# logging userinfo scs(config)# logging aaa scs(config)# syslog cli-commands |
Подробная информация о командах настройки удаленного доступа приведена в разделе Настройка доступа SSH, Telnet справочника команд CLI.
Сгенерировать новые ключи шифрования. Использовать криптостойкие алгоритмы.
Отключаем устаревшие и не криптостойкие алгоритмы:
scs(config)# ip ssh server scs(config)# ip ssh authentication algorithm md5 disable scs(config)# ip ssh authentication algorithm md5-96 disable scs(config)# ip ssh authentication algorithm ripemd160 disable scs(config)# ip ssh authentication algorithm sha1 disable scs(config)# ip ssh authentication algorithm sha1-96 disable scs(config)# ip ssh authentication algorithm sha2-256 disable scs(config)# ip ssh encryption algorithm 3des disable scs(config)# ip ssh encryption algorithm aes128 disable scs(config)# ip ssh encryption algorithm aes128ctr disable scs(config)# ip ssh encryption algorithm aes192 disable scs(config)# ip ssh encryption algorithm aes192ctr disable scs(config)# ip ssh encryption algorithm aes256 disable scs(config)# ip ssh encryption algorithm arcfour disable scs(config)# ip ssh encryption algorithm arcfour128 disable scs(config)# ip ssh encryption algorithm arcfour256 disable scs(config)# ip ssh encryption algorithm blowfish disable scs(config)# ip ssh encryption algorithm cast128 disable scs(config)# ip ssh key-exchange algorithm dh-group-exchange-sha1 disable scs(config)# ip ssh key-exchange algorithm dh-group1-sha1 disable scs(config)# ip ssh key-exchange algorithm dh-group14-sha1 disable scs(config)# ip ssh key-exchange algorithm ecdh-sha2-nistp256 disable scs(config)# ip ssh key-exchange algorithm ecdh-sha2-nistp384 disable scs(config)# ip ssh key-exchange algorithm ecdh-sha2-nistp521 disable scs(config)# ip ssh host-key algorithm dsa disable scs(config)# ip ssh host-key algorithm ecdsa256 disable scs(config)# ip ssh host-key algorithm ecdsa384 disable scs(config)# ip ssh host-key algorithm ecdsa521 disable scs(config)# ip ssh host-key algorithm ed25519 disable |
Генерируем новые ключи шифрования:
scs# update ssh-host-key rsa 2048 |