强化网络互连设备安全配置脚本

service nagle //Nagle减轻TCP协议在传送小包上的问题，优化登录连接进程，减少路由器负担；
service tcp-keepalives-in //删除意外中断的tcp连接，提供保持活动功能来检测和删除死连接,
service tcp-keepalives-out //允许其他设备使用VTP线路;
service timestamps debug datetime msec show-timezone localtime
service timestamps log deatetime msec show-timezone localtime
service password-encryption //加密未加密的口令；
!
no service dhcp //阻止路由器成为DHCP服务器或中继代理；（根据实际情况做）
logging buffered 16384
no logging console
enable secret children
no enable password
! AAA验证
aaa new-model
aaa authentication login xjccw group radius local
username xjccw password 7 095444070D
radius-server host 10.60.4.35 auth-port 1645 acct-port 1646
radius-server timeout 120
radius-server key 7 083946401D
! AAA失效后执行
username xjccw password xjccw
! 关闭http-server
no ip http server
no ip http secure-server
! 支持非零子网路由及无类路由
ip subzero
ip classess
! 关闭不需要的服务
no services pad //提供pad(packet assembler/disassembler数据包组合/分拆)功能，成为***的立足点；
no services tcp-small-servers //tcp、udp低端口服务（port：19或更低），容易建立DOS***，
no services udp-small-servers //同时占用其他进程的CPU资源；抵御UDP回声fraggle***；
!
no boot network //启动过程中用到TFTP，对加载过程没有安全保护；
no service config //如果NVRAM没有配置，使用TFTP广播发现配置文件，存在安全隐患；
!
no services finger //finger检测谁登陆一台主机的程序，如果有***知道谁在路由器上，将很
no ip finger //容易得到任何有效用户的用户ID；
!
no ip identd //identd（tcp 113）允许远程设备为识别目的查询TCP端口，identd不提供认证功能；
no ip source-route //源路由可以在ip包头中指定数据包应该的实际路由，带来网络安全问题；
no ip bootp server //容易DOS***，bootp没有安全机制；
no ip domain-lookup //可以立即响应“％Unknown command”消息，指示没有可用名称解析；
! 开启cef，快速转发及mpls自身分标签行为
ip cef
! ntp功能启用
clock timezone CHN 8
ntp authenticate
ntp update-calendar
ntp server 132.163.4.101
! 环回口
inter lo0
no ip redirects
no ip unreachables
no ip proxy-arp
! 接口或子接口
inter g*/*
Descri connect to **** //描述接口，使show interface des 更清晰直接；
no ip redirects // ***通过破坏路由表，利用此功能发起DOS***；
no ip unreachables // smurf***的形式，利用icmp不可达，更改源地址改为***设备地址；
no ip mask-reply // smurf***的改进版，发起定向广播DOS***；
//使用ICMP掩码答复消息，了解到设备的身份信息，利用漏洞***；
no ip directed-broadcast // 定向广播是可路由的，DOS***利用此特性；
no ip proxy-arp // 关闭代理ARP功能；
no mop enabled // 维护操作系统协议（maintenance operation protocol），如果打开了mop服务，cisco路由器可能从mop服务器上下载ios，要阻止一个mop DOS***，接口上关闭mop服务；
ip route-cache flow //启动 netflow，跟踪DOS***源；
ip verify unicast reverse-path //单播逆向路径转发以帮助阻止数据包欺骗；
ip access-group BinDu in //病毒ACL接口应用
ip access-group BinDu out
! 病毒ACL配置
deny icmp any any echo-reply //拒绝任何应答
deny icmp any any host-unreachable //拒绝任何无法接通的主机
deny udp any any eq snmp //拒绝引入的SNMP
deny tcp any any eq 135
deny udp any any eq 135
deny tcp any any eq 136
deny tcp any any eq 137
deny tcp any any eq 138
deny tcp any any eq 139
deny tcp any any eq 445
deny udp any any eq 445
deny tcp any any eq 593
deny tcp any any eq 707
deny tcp any any eq 1023
deny udp any any eq 1052
deny tcp any any eq 1068
deny tcp any any eq 1080
deny udp any any eq 1025
deny tcp any any eq 1433
deny tcp any any eq 1434
deny udp any any eq 1434
deny udp any any eq 1978
access-list 101 deny udp any any eq 2000 //拒绝引入的openwindows
access-list 101 deny tcp any any eq 2000 //拒绝引入的openwindows
deny udp any any eq 2002
access-list 101 deny udp any any eq 2049 //拒绝引入的NFS
access-list 101 deny tcp any any eq 2049 //拒绝引入的 NFS
deny tcp any any eq 2745
deny tcp any any eq 2847
deny tcp any any eq 3055
deny tcp any any eq 3127
deny tcp any any eq 3128
deny tcp any any eq 3198
deny tcp any any eq 3372
deny udp any any eq 4156
deny tcp any any eq 4444
deny udp any any eq 4444
deny tcp any any eq 4662
deny tcp any any eq 6000
deny tcp any any eq 8006
deny udp any any eq 8006
deny tcp any any eq 8094
deny udp any any eq 8094
deny udp any any eq 10702
deny udp any any eq 13072
deny udp any any eq 16881
deny udp any any eq netbios-ns
deny udp any any eq netbios-dgm
access-list 101 permit ip any any //其它均允许
!
logging source-interface Loopback0
logging 10.60.4.49
logging trap informational
logging facility local1
!
snmp-server community xjccw RO
snmp-server community xjccw2007 RW
snmp-server host 10.60.4.49 xjccw
!
line con 0
transport input none
line aux 0
transport input none
no exec
line vty 0 4
exec-timeout 60 0
password xjccw
login authentication xjccw
access-class Telnet in
!
scheduler allocate 3000 1000 //限制CPU资源用来处理接口中断情况，3000是处理中断的毫秒数，1000是指定保持中断的毫秒数；