資源描述：
《阿爾卡特--7750SR路由器加固.doc》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在學術(shù)論文-天天文庫。
1、7750SR路由器安全加固手冊V1.1（適用于SR12,SR7）上海貝爾阿爾卡特股份有限公司互聯(lián)網(wǎng)事業(yè)部二零一一年一月1關(guān)閉未用服務(wù)正常情況下，現(xiàn)場較多使用telnet登錄、管理、配置路由器，其他服務(wù)在需要的時候再打開，不用時關(guān)閉。7750SR路由器的SSH服務(wù)系統(tǒng)缺省是打開的，建議關(guān)閉。?通過如下命令關(guān)閉sshserver和ftp服務(wù)：#config>system>security>ssh#server-shutdown#config>system>security>noftp-server?通過如下命令確認系統(tǒng)開放端口：#showsyst
2、emconnections?正常情況下系統(tǒng)只開放如下端口：TCP179：用于BGP連接TCP22：用于SSH登錄TCP646：用于LDPUDP161：用于SNMPUDP123：用于NTP1限制異常流量帶寬7750SR路由器對于那些必須經(jīng)過CPM上的CPU進行處理的流量可以通過cpm-filter命令來進行識別，該命令作用于流量到達CPMCPU之前的P-Chip芯片上，并可根據(jù)情況選擇這些流量通過、拒絕或?qū)ζ溥M行cpm-queue限速。2.1.限制異常ICMP流量大量對路由器端口或system地址的Ping包都會造成CPMCPU利用率增加，可通
3、過cpm-filter匹配由IOM送到CPM板卡上的ICMP報文，并通過cpm-queue限制其速率。參考配置如下：部署CPM-Queue>config>sys>security>cpm-queue#info----------------------------------------------queue40createcbs1000mbs1000rate2000cir2000//為ICMP協(xié)議只分配2000kbps帶寬exit----------------------------------------------部署CPM-Filt
4、er>config>sys>security>cpm-filter#info----------------------------------------------ip-filternoshutdownentry40createactionqueue40matchprotocolicmpexitexitexit----------------------------------------------注：經(jīng)測試，上述配置可保證該路由器正常響應(yīng)一臺網(wǎng)絡(luò)設(shè)備的快速Ping，在兩臺以上網(wǎng)絡(luò)設(shè)備同時對其進行fastping時，會造成丟包，但CPM
5、上的CPU可得到較好保護。用戶可根據(jù)網(wǎng)絡(luò)實際情況適當放寬ICMP流量帶寬，但應(yīng)注意放寬的流量越大，路由器受ICMP攻擊的風險也越大。2.1.限制異常TCPSYN流量TCPSYNFlood攻擊通過大量偽造的源地址報文向路由器發(fā)送TCPSYN連接請求，路由器的TCP緩存隊列被占滿后，將拒絕新的連接請求。通常路由器設(shè)備的TCP連接主要來自臨近路由設(shè)備的路由協(xié)議（如BGP協(xié)議采用TCP179端口，LDP協(xié)議使用646端口建立TCPSession），以及telnet,ssh等管理需要。參考配置如下：部署CPM-Queue>config>sys>secu
6、rity>cpm-queue#info----------------------------------------------queue50createcbs1000mbs1000rate2000cir2000//為TCPSYN流量只分配2000kbps帶寬exit----------------------------------------------部署CPM-Filter>config>sys>security>cpm-filter#info---------------------------------------------
7、-ip-filternoshutdownentry50createactionqueue50matchprotocoltcptcp-syntruesrc-ip10.0.0.0/8exitexitentry51createactionqueue50matchprotocoltcptcp-syntruesrc-ip172.16.0.0/12exitexitentry52createactionqueue50matchprotocoltcptcp-syntruesrc-ip192.168.0.0/16exitexitexit------------
8、----------------------------------注：上述配置基于常見SYNFlood采用的源地址，只對這些源地址產(chǎn)生的TCP連接進行限速，其他正
