思科核心交换机怎么配透明模式

1,设置交换机名称

(config)#hostnamehostname

2,设置log存放路径

(config)#logging1076868//将log档文件存在1076868

(config)#spanning-treemoderapid-pvst//设定spanning-tree的模式是rapid-pvst

3,设置errdisable

(config)#errdisablerecoverycauseall//开启errdiable恢复的原因

(config)#errdisablerecoveryinterval300//errdisable后300秒恢复

4,设置snmp-server

(config)#snmp-servercommunityaskeymisRO//设置简单网络管理协议字符串为只读

5,设置vtp

(config)#vtpdomainaskey//设定VTPdomain名称

(config)vtpmodetransparent//设定VTP模式为透明模式

Vlan

1,创建Vlan

(config)#vlan180//创建VlanID号为180

(config-vlan)#nameaskey//Vlan名称为askey

2,删除Vlan

(config)#novlan180

#showvlanbrief//查看交换机当前Vlan号及Vlan下有哪些端口

3,配置管理IP

(config)#intvlan180

(config-if)#ipaddress19216812512552552550//设置管理IP地址

(config)#ipdefault-gateway1921681254//设置默认路由，供其他网段访问

4,将端口划至Vlan180

41单一端口划分

(config)#intf0/1//进入端口f0/1

(config-if)#swmodeaccess//设置访问模式

(cofnig-if)#swacvlan180//将其端口划入Vlan180

42多端口划分

(config)#intrangef0/1–24//端口范围为1-24

(config-if-range)#swmodeaccess

(config-if-range)#swacvlan180

端口配置

1,端口配置

(cofnig)#interfaceFastEthernet0/1

(config-if)#switchportaccessvlan33//划分VLAN

(config-if)#switchportmodeaccess

(config-if)#switchportport-securitymaximum2//设定端口只允许接入2个PC

(config-if)#switchportport-security//启用端口安全

(config-if)#switchportport-securityviolationrestrict//发生违例端口进errdisable,并记录

(config-if)#storm-controlbroadcastlevel080//控制广播包的突发百分比

(config-if)#storm-controlactionshutdown//暴风控制的违例时端口进入errdisable

(config-if)#storm-controlactiontrap//产生snmptrap(抑制)消息来通告发生过量流量的情况

(config-if)#spanning-treeportfast//配置接口为portfast模式

(config-if)#spanning-treebpduguardenable//启用bpuguard防护

(config-if)#spanning-treeguardroot//启用根桥防护

设置时间与同步

1,开启debug与log记录时间的服务

(config)#Servicetimestampsdebugdatetimelocaltime//开启debug记录时显示的时间

(config)#Servicetimestampslogdatetimelocaltime//开启log记录时显示的时间

2,设置时间与时区

(config)#ClocktimezoneTAIWAN8//设置时区

(config)#Clockset12:16:50nov272008//设置时间(月，日，年)

#Showclock//查看交换机当前的时间

3，设置ntpserver实现时间同步

(config)#ntpserver10171249//设置交换机与ntpserver实现时间同步

#showntpstauts//查看交换机是否同步

Clockissynchronized,stratum3,referenceis10171249(同步)

nominalfreqis1192092Hz,actualfreqis1192093Hz,precisionis217

referencetimeisCCD89F21ECA0C247(12:22:57924TAIWANThuNov272008)

clockoffsetis84785msec,rootdelayis39951msec

rootdispersionis93729msec,peerdispersionis88530msec

Password

1,开启明文密码加密服务

(config)#servicepassword-encryption//将明文密码加密

2,设置控制台密码

(config)#lineconsloe0//进入控制台

(config-line)#login//登录

(config-line)#passwordcisco//设置密码

3,设置enable密码

(config)#enablepasswordcisco

(config)#enablesecretpasswordcisco//给密码加密码，优先级高于enablepassword

4,设置Telnet密码

(config)#linevty04//进入vty模式

(config-line)#login

(config-line)#passwordcisco//设置密码

(config-line)#exec-timeout50//telnet5分钟超时。

MAC地址绑定端口安全设定

switch(config-if)#switchport port-security /启用端口安全

switch(config-if)#switchport port-security maximum number /默认每个接口最大的值为1

switch(config-if)#switchport port-security violation

protect|restrict|shutdown /启用安全违规行为

protect:当接口学习到设定数量的MAC后，后来的MAC信息将直接丢弃，且不产生通知

restrict: 当接口学习到设定数量的MAC后，后来的MAC信息将直接丢弃并发送snmp trap,syslog信息。

shutdown: 当接口学习到设定数量的MAC后，后来的MAC信息将不再解析并直接关闭该端口，除非手动shut,no

shut或通过errdisable recovery cause 原因 来进行恢复

switch(config-if)#switchport port-security mac-address sticky

/启用mac自动学习功能，无需手动进行绑定

端口错误检测和自动恢复设定

switch(config)#errdisable detect cause all /启用所有类型错误检测

switch(config)#errdisable recovery cause all /启用所有类型错误发生后在30s后自动恢复

switch(config)#errdisable recovery interval 30 /自动恢复间隔时间为30s

四、三层交换机常用路由协议安全配置

1、RIP协议

建议不采用RIPV1,使用支持md5认证的RIPV2版本

switch(config)#key chain chain_name /设置密钥链名

switch(config-key-chain)#key 1 /设置密钥号

switch(config-key-chain)#key-string pass_string /设置密钥字符串

switch(config)#router rip

switch(config-router)#version 2 /启用RIP-V2

switch(config-router)#network xxxx

switch(config-router)# passive-interface x/x

/启用passive-interface禁用一些不需要接收和转发路由信息的端口(只是禁止转发路由信息，并没有禁止接收)

switch(config)#interface x/x

switch(config-if)#ip rip authentication mode md5 /指定认证方式为md5

switch(config-if)#ip rip authentication key-chain chain_name /调用定义的密钥链名

注意：启用RIPV2协议的互连路由接口其密钥Key ID和Key string必须相同才可通过认证!

2、EIGRP协议

eigrp仅支持md5认证

switch(config)#key chain chain_name /设置密钥链名

switch(config-key-chain)#key 1 /设置密钥号

switch(config-key-chain)#key-string pass_string /设置密钥字符串

switch(config)#router eigrp as-num /设置eigrp自治系统号，在本地有效

switch(config-router)#network xxxx

switch(config-router)#no auto-summary /关闭自动汇总功能

switch(config)#interface x/x

switch(config-if)#ip authentication mode eigrp 100 md5 /指定eigrp

100区域的认证方式为md5

switch(config-if)#ip authentication key-chain eigrp 100 chain_name

/调用定义的密钥链名

注意：启用EIGRP md5认证的互连路由接口其密钥Key ID和Key string必须相同才可通过认证!

3、OSPF协议

由于明文认证在更改密码时会出现断流且容易比抓包破解，推荐采用md5认证;另OSPF在接口上的认证和区域内的认证是不同的，只要两端的一样就可以通信!

switch(config)#router ospf 100 /设置本地有效的标识符100

switch(config-router)#area area_id authentication message-digest

/在区域内启用md5认证

switch(config-if)#ip ospf authentication message-digest /在接口下启用md5认证

switch(config-if)#ip ospf message-digest-key id md5 pass_string

/在接口下设置md5密钥id及密钥字符串，两端启用OSPF路由协议的端口必须相同

4、HSRP/VRRP协议

switch(config)#key chain chain_name /设置密钥链名

switch(config-key-chain)#key 1 /设置密钥号

switch(config-key-chain)#key-string pass_string /设置密钥字符串

switch(config-if)#standby group_num authentication md5 key-chain chain_name

/在启用hsrp协议的接口下启用md5认证并调用设定的密钥链名

switch(config-if)#vrrp group_num authentication md5 key-chain chain_name

/在启用vrrp协议的接口下启用md5认证并调用设定的密钥链名

五、交换机日志收集审计安全配置

trunk接口日志事件设定

switch(config)#int gi x/x/x

switch(config-if)#sw mode trunk

switch(config-if)#sw trunk encaps dot1q

switch(config-if)#logging event trunk-status

switch(config-if)#logging event link-status

switch(config-if)#logging event spanning-tree

switch(config-if)#logging event bundle-status

switch(config-if)#logging event status

access接口日志世界设定

switch(config)#int gi x/x/x

switch(config-if)#sw mode access

switch(config-if)#sw access vlan xx

switch(config-if)#logging event link-status

switch(config-if)#logging event spanning-tree

switch(config-if)#logging event bundle-status

switch(config-if)#logging event status

日志收集分析设定

switch(config)#logging on /启动日志

switch(config)#logging host xxxx /设定收集日志的syslog server

switch(config)#logging source-interface loopback0 /设定发送日志的原地址

switch(config)#logging facility local6 /cisco设备的默认类型

switch(config)#logging trap 7 /设定记录日志服务的类型，数据越大，威胁程度越低，分为0-7，

设置为7表示包含所有日志类型

switch(config)#logging buffered number /设定本地日志buffer size 大小

时区和时间设定(确保日志记录的准确性)

switch(config)# clock timezone UTC 8 /设定时区为UTC 8

switch(config)#ntp server xxxx /设定NTP Server时间同步服务器

switch(config)#ntp source loopback0 /设定ntp时间同步原地址

switch(config)#ntp authenticate /启用ntp认证

switch(config)#ntp authentication-key 1 md5 pass-string /设置认证密钥和密码

switch(config)#ntp trusted-key 1

六、交换机其他安全配置

1、即时关注cisco ios漏洞信息，为漏洞ios安装补丁或升级ios

2、定期备份交换机设备配置文件及ios文件

3、严格设置登录Banner。必须包含非授权用户禁止登录的字样

4、禁用DNS查找

switch(config)#no ip domain-lookup

---