1 , 设置交换机名称
(config)#hostname hostname
2,设置log存放路径
(config)#logging 10.7.68.68 //将log档文件存在10.7.68.68
(config)#spanning-tree mode rapid-pvst // 设定 spanning-tree 的模式是 rapid-pvst
3,设置errdisable
(config)#errdisable recovery cause all //开启errdiable 恢复的原因
(config)#errdisable recovery interval 300 //errdisable后300秒恢复
4,设置snmp-server
(config)#snmp-server community askeymis RO //设置简单网络管理协议字符串为只读
5, 设置vtp
(config)#vtp domain askey // 设定VTP domain 名称
(config)vtp mode transparent // 设定 VTP 模式为透明模式
Vlan
1,创建Vlan
(config)#vlan 180 //创建Vlan ID号为180
(config-vlan)#name askey //Vlan 名称为askey
2,删除Vlan
(config)#no vlan 180
#show vlan brief //查看交换机当前Vlan 号及Vlan 下有哪些端口
3,配置管理IP
(config)#int vlan 180
(config-if)#ip address 192.168.1.251 255.255.255.0 //设置管理IP地址
(config)#ip default-gateway 192.168.1.254 //设置默认路由，供其他网段访问
4,将端口划至Vlan 180
4.1单一端口划分
(config)#int f0/1 //进入端口f0/1
(config-if)#sw mode access //设置访问模式
(cofnig-if)#sw ac vlan 180 //将其端口划入Vlan 180
4.2多端口划分
(config)#int range f0/1 _ 24 //端口范围为1-24
(config-if-range)#sw mode access
(config-if-range)#sw ac vlan 180
端口配置
1,端口配置
(cofnig)#interface FastEthernet0/1
(config-if)#switchport access vlan 33 // 划分VLAN
(config-if)# switchport mode access
(config-if)# switchport port-security maximum 2 //设定端口只允许接入2个PC
(config-if)# switchport port-security // 启用端口安全
(config-if)# switchport port-security violation restrict // 发生违例 端口进errdisable,并记录
(config-if)# storm-control broadcast level 0.80 //控制广播包的突发百分比
(config-if)# storm-control action shutdown //暴风控制的违例时端口进入errdisable
(config-if)# storm-control action trap //产生snmp trap(抑制)消息来通告发生过量流量的情况
(config-if)# spanning-tree portfast // 配置接口为portfast模式
(config-if)# spanning-tree bpduguard enable // 启用bpuguard 防护
(config-if)# spanning-tree guard root // 启用根桥防护
设置时间与同步
1 , 开启debug与log记录时间的服务
(config)#Service timestamps debug datetime localtime //开启debug记录时显示的时间
(config)#Service timestamps log datetime localtime //开启log记录时显示的时间
2,设置时间与时区
(config)# Clock timezone TAIWAN 8 //设置时区
(config)# Clock set 12:16:50 nov 27 2008 //设置时间(月，日，年)
#Show clock //查看交换机当前的时间
3，设置ntp server 实现时间同步
(config)# ntp server 10.1.71.249 //设置交换机与ntp server 实现时间同步
#show ntp stauts //查看交换机是否同步
Clock is synchronized, stratum 3, reference is 10.1.71.249(同步)
nominal freq is 119.2092 Hz, actual freq is 119.2093 Hz, precision is 2**17
reference time is CCD89F21.ECA0C247 (12:22:57.924 TAIWAN Thu Nov 27 2008)
clock offset is 8.4785 msec, root delay is 399.51 msec
root dispersion is 937.29 msec, peer dispersion is 885.30 msec
Password
1,开启明文密码加密服务
(config)#service password-encryption //将明文密码加密
2,设置控制台密码
(config)#line consloe 0 //进入控制台
(config-line)#login //登录
(config-line)#password cisco //设置密码
3,设置enable密码
(config)#enable password cisco
(config)#enable secret password cisco //给密码加密码 ，优先级高于enable password
4,设置Telnet 密码
(config)#line vty 0 4 //进入vty模式
(config-line)#login
(config-line)#password cisco //设置密码
(config-line)#exec-timeout 5 0 //telnet 5分钟超时。
一、修改设备名字-hostname：
1、打开Cisco Packet Tracer 6.0，建立一个 2811 的路由器，不要选择对话模式，然后回车进入用户模式,输入 enable，进入特权模式,再输入 config teminal 进入全局配置模式。
2、输入命令 hostname 后面加你想要的设备名字，修改完成后前面的路由器名字就改变了，这样当你有多个路由器的时候可以很方便的知道自己定义的路由器了。
二、三条建议配置：
1、no ip domain-lookup ，不尝试对未知字符进行dns解析，否则在你输入了错误的命令后会需要等待很长的时间去查询域名，耽误你的时间。
2、logging synchronous ,如果没有这个命令,在你正在输入命令时， CONSOLE 台这个时候d出了些信息 就把你的命令打断了 。输入LOGGING SYNCHRON 后就不会打断你正在输的命令。
3、exec-time 0 0 或 no exec-time ，设置控制台会话永不超时。
三、时钟与时区设置：
1、时钟设置：
clock set hh:mm:ss day month year
例：
clock set 11:30:00 May 1 2014
2、时区设置：
clock timezone zone hours-offset [minutes-offset]
例：
clock timezone GST +8
MAC地址绑定端口安全设定
switch(config-if)#switchport port-security /启用端口安全
switch(config-if)#switchport port-security maximum number /默认每个接口最大的值为1
switch(config-if)#switchport port-security violation
protect|restrict|shutdown /启用安全违规行为
protect:当接口学习到设定数量的MAC后，后来的MAC信息将直接丢弃，且不产生通知
restrict: 当接口学习到设定数量的MAC后，后来的MAC信息将直接丢弃并发送snmp trap,syslog信息。
shutdown: 当接口学习到设定数量的MAC后，后来的MAC信息将不再解析并直接关闭该端口，除非手动shut,no
shut或通过errdisable recovery cause 原因 来进行恢复
switch(config-if)#switchport port-security mac-address sticky
/启用mac自动学习功能，无需手动进行绑定
端口错误检测和自动恢复设定
switch(config)#errdisable detect cause all /启用所有类型错误检测
switch(config)#errdisable recovery cause all /启用所有类型错误发生后在30s后自动恢复
switch(config)#errdisable recovery interval 30 /自动恢复间隔时间为30s
四、三层交换机常用路由协议安全配置
1、RIP协议
建议不采用RIPV1,使用支持md5认证的RIPV2版本
switch(config)#key chain chain_name /设置密钥链名
switch(config-key-chain)#key 1 /设置密钥号
switch(config-key-chain)#key-string pass_string /设置密钥字符串
switch(config)#router rip
switch(config-router)#version 2 /启用RIP-V2
switch(config-router)#network x.x.x.x
switch(config-router)# passive-interface x/x
/启用passive-interface禁用一些不需要接收和转发路由信息的端口(只是禁止转发路由信息，并没有禁止接收)
switch(config)#interface x/x
switch(config-if)#ip rip authentication mode md5 /指定认证方式为md5
switch(config-if)#ip rip authentication key-chain chain_name /调用定义的密钥链名
注意：启用RIPV2协议的互连路由接口其密钥Key ID和Key string必须相同才可通过认证!
2、EIGRP协议
eigrp仅支持md5认证
switch(config)#key chain chain_name /设置密钥链名
switch(config-key-chain)#key 1 /设置密钥号
switch(config-key-chain)#key-string pass_string /设置密钥字符串
switch(config)#router eigrp as-num /设置eigrp自治系统号，在本地有效
switch(config-router)#network x.x.x.x
switch(config-router)#no auto-summary /关闭自动汇总功能
switch(config)#interface x/x
switch(config-if)#ip authentication mode eigrp 100 md5 /指定eigrp
100区域的认证方式为md5
switch(config-if)#ip authentication key-chain eigrp 100 chain_name
/调用定义的密钥链名
注意：启用EIGRP md5认证的.互连路由接口其密钥Key ID和Key string必须相同才可通过认证!
3、OSPF协议
由于明文认证在更改密码时会出现断流且容易比抓包破解，推荐采用md5认证另OSPF在接口上的认证和区域内的认证是不同的，只要两端的一样就可以通信!
switch(config)#router ospf 100 /设置本地有效的标识符100
switch(config-router)#area area_id authentication message-digest
/在区域内启用md5认证
switch(config-if)#ip ospf authentication message-digest /在接口下启用md5认证
switch(config-if)#ip ospf message-digest-key id md5 pass_string
/在接口下设置md5密钥id及密钥字符串，两端启用OSPF路由协议的端口必须相同
4、HSRP/VRRP协议
switch(config)#key chain chain_name /设置密钥链名
switch(config-key-chain)#key 1 /设置密钥号
switch(config-key-chain)#key-string pass_string /设置密钥字符串
switch(config-if)#standby group_num authentication md5 key-chain chain_name
/在启用hsrp协议的接口下启用md5认证并调用设定的密钥链名
switch(config-if)#vrrp group_num authentication md5 key-chain chain_name
/在启用vrrp协议的接口下启用md5认证并调用设定的密钥链名
五、交换机日志收集审计安全配置
trunk接口日志事件设定
switch(config)#int gi x/x/x
switch(config-if)#sw mode trunk
switch(config-if)#sw trunk encaps dot1q
switch(config-if)#logging event trunk-status
switch(config-if)#logging event link-status
switch(config-if)#logging event spanning-tree
switch(config-if)#logging event bundle-status
switch(config-if)#logging event status
access接口日志世界设定
switch(config)#int gi x/x/x
switch(config-if)#sw mode access
switch(config-if)#sw access vlan xx
switch(config-if)#logging event link-status
switch(config-if)#logging event spanning-tree
switch(config-if)#logging event bundle-status
switch(config-if)#logging event status
日志收集分析设定
switch(config)#logging on /启动日志
switch(config)#logging host x.x.x.x /设定收集日志的syslog server
switch(config)#logging source-interface loopback0 /设定发送日志的原地址
switch(config)#logging facility local6 /cisco设备的默认类型
switch(config)#logging trap 7 /设定记录日志服务的类型，数据越大，威胁程度越低，分为0-7，
设置为7表示包含所有日志类型
switch(config)#logging buffered number /设定本地日志buffer size 大小
时区和时间设定(确保日志记录的准确性)
switch(config)# clock timezone UTC 8 /设定时区为UTC 8
switch(config)#ntp server x.x.x.x /设定NTP Server时间同步服务器
switch(config)#ntp source loopback0 /设定ntp时间同步原地址
switch(config)#ntp authenticate /启用ntp认证
switch(config)#ntp authentication-key 1 md5 pass-string /设置认证密钥和密码
switch(config)#ntp trusted-key 1
六、交换机其他安全配置
1、即时关注cisco ios漏洞信息，为漏洞ios安装补丁或升级ios
2、定期备份交换机设备配置文件及ios文件
3、严格设置登录Banner。必须包含非授权用户禁止登录的字样
4、禁用DNS查找
switch(config)#no ip domain-lookup
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）