cisco路由器之關閉一些不必要的服務 中篇
cisco路由器—FTP和TFTP
路由器可以用作FTP服務器和TFTP服務器，可以將映像從一臺路由器復制到另一臺。建議不要使用這個功能，因為FTP和TFTP都是不安全的協(xié)議。
默認地，F(xiàn)TP服務器在路由器上是關閉的，然而，為了安全起見，仍然建議在路由器上執(zhí)行以下命令：Router（config）#no ftp-server write-enable （12.3版本開始）Router（config）#no ftp-server enable可以通過使用一個FTP客戶端從PC進行測試，嘗試建立到路由器的連接。
cisco路由器—HTTP
測試方法可以使用一個Web瀏覽器嘗試訪問路由器。還可以從路由器的命令提示符下，使用下面的命令來進行測試：
- Router#telnet 192.168.1.254 80
- Router#telnet 192.168.1.254 443
要關閉以上兩個服務以及驗證，執(zhí)行以下的步驟：
- Router（config）#no ip http server
- Router（config）#no ip http secure-server
- Router#telnet 192.168.1.254 80
- Router#telnet 192.168.1.254 443
Cisco安全設備管理器（Security Device Manager,SDM）用HTTP訪問路由器，如果要用SDM來管理路由器，就不能關閉HTTP服務。
如果選擇用HTTP做管理，應該用ip http access-class命令來限制對IP地址的訪問。此外，也應該用ip http authentication命令來配置認證。對于交互式登錄，HTTP認證最好的選擇是使用一個TACACS+或RADIUS服務器，這可以避免將enable口令用作HTTP口令。
SNMP可以用來遠程監(jiān)控和管理Cisco設備。然而，SNMP存在很多安全問題，特別是SNMP v1和v2中。要關閉SNMP服務，需要完成以下三件事：
1.從路由器配置中刪除默認的團體字符串；
2.關閉SNMP陷阱和系統(tǒng)關機特征；
3.關閉SNMP服務。
要查看是否配置了SNMP命令，執(zhí)行show running-config命令。
下面顯示了用來完全關閉SNMP的配置：
- Router（config）#no snmp-server community public RO
- Router（config）#no snmp-server community private RW
- Router（config）#no snmp-server enable traps
- Router（config）#no snmp-server system-shutdown
- Router（config）#no snmp-server trap-auth
- Router（config）#no snmp-server
前兩個命令刪除了只讀和讀寫團體字符串（團體字符串可能不一樣）。接下來三個命令關閉SNMP陷阱、系統(tǒng)關機和通過SNMP的認證陷阱。最后在路由器上關閉SNMP服務。關閉SNMP服務之后，使用show snmp命令驗證。
缺省情況下，Cisco路由器DNS服務會向255.255.255.255廣播地址發(fā)送名字查詢。應該避免使用這個廣播地址，因為攻擊者可能會借機偽裝成一個DNS服務器。
如果路由器使用DNS來解析名稱，會在配置中看到類似的命令：
- Router（config）#hostname santa
- Router（config）#ip domain-name claus.gov
- Router（config）#ip name-server 200.1.1.1 202.1.1.1
- Router（config）#ip domain-lookup
可以使用show hosts命令來查看已經(jīng)解析的名稱。因為DNS沒有固有的安全機制，易受到會話攻擊，在目的DNS服務器響應之前，黑客先發(fā)送一個偽造的回復。如果路由器得到兩個回復，通常忽略第二個回復。
解決這個問題，要么確保路由器有一個到DNS服務器的安全路徑，要么不要使用DNS,而使用手動解析。使用手動解析，可以關閉DNS,然后使用ip host命令靜態(tài)定義主機名。如果想阻止路由器產(chǎn)生DNS查詢，要么配置一個具體的DNS服務器（ip name-server），要么將這些查詢作為本地廣播（當DNS服務器沒有被配置時），使用下面的配置：
- Router#telnetwww.quizware.com80 （測試）
- Router（config）#no ip domain-lookup
- Router#telnetwww.cisco.com80
cisco路由器關閉服務的更多資源請讀者閱讀：
【編輯推薦】
cisco路由器—域名解析
cisco路由器—SNMP
