cisco路由器之關(guān)閉一些不必要的服務(wù) 上篇
cisco路由器—Cisco發(fā)現(xiàn)協(xié)議
CDP是一個(gè)Cisco專用協(xié)議，運(yùn)行在所有Cisco產(chǎn)品的第二層，用來(lái)和其他直接相連的Cisco設(shè)備共享基本的設(shè)備信息。獨(dú)立于介質(zhì)和協(xié)議。
黑客再勘測(cè)攻擊中使用CDP信息，這種可能性是比較小的。因?yàn)楸仨氃谙嗤膹V播域才能查看CDP組播幀。所以，建議在邊界路由器上關(guān)閉CDP,或至少在連接到公共網(wǎng)絡(luò)的接口上關(guān)閉CDP.
缺省情況下是啟用的。全局關(guān)閉CDP,使用no cdp run命令，關(guān)閉之后，應(yīng)該使用show cdp驗(yàn)證CDP是否已被關(guān)閉。
cisco路由器—TCP和UDP低端口服務(wù)
TCP和UDP低端口服務(wù)是運(yùn)行在設(shè)備上的端口19和更低端口的服務(wù)。所有這些服務(wù)都已經(jīng)過(guò)時(shí)：如日期和時(shí)間（daytime,端口13），測(cè)試連通性（echo,端口7）和生成字符串（chargen,端口19）。
下面顯示了一個(gè)打開(kāi)的連接，被連接的路由器上打開(kāi)了chargen服務(wù)：
Router#telnet 192.168.1.254 chargen
要在路由器上關(guān)閉這些服務(wù)，使用下面的配置：
- Router（config）#no service tcp-small-servers
- Router（config）#no service udp-small-servers
關(guān)閉了這些服務(wù)之后，用下面方法進(jìn)行測(cè)試，如：
Router（config）#telnet 192.168.1.254 daytime
cisco路由器—Finger
Finger協(xié)議（端口79）允許網(wǎng)絡(luò)上的用戶獲得當(dāng)前正在使用特定路由選擇設(shè)備的用戶列表，顯示的信息包括系統(tǒng)中運(yùn)行的進(jìn)程、鏈路號(hào)、連接名、閑置時(shí)間和終端位置。通過(guò)show user命令來(lái)提供的。
Finger是一個(gè)檢測(cè)誰(shuí)登錄到一臺(tái)主機(jī)的UNIX程序，而不用親自登錄到設(shè)備來(lái)查看。
下面顯示了一個(gè)驗(yàn)證finger服務(wù)被打開(kāi)和如何關(guān)閉的例子：
- Router#telnet 192.168.1.254 finger（connect 192.168.1.254 finger）
- Router（config）#no ip finger
- Router（config）#no service finger
當(dāng)對(duì)路由器執(zhí)行一個(gè)finger操作時(shí)，路由器以show users命令的輸出來(lái)作為響應(yīng)。要阻止響應(yīng)，使用no ip finger命令，將關(guān)閉finger服務(wù)。在較老的版本中，使用no service finger命令。在較新版本中，兩個(gè)命令都適用。
cisco路由器—IdentD
IP鑒別支持對(duì)某個(gè)TCP端口身份的查詢。能夠報(bào)告一個(gè)發(fā)起TCP連接的客戶端身份，以及響應(yīng)該連接的主機(jī)的身份。
IdentD允許遠(yuǎn)程設(shè)備為了識(shí)別目的查詢一個(gè)TCP端口。是一個(gè)不安全的協(xié)議，旨在幫助識(shí)別一個(gè)想要連接的設(shè)備。一個(gè)設(shè)備發(fā)送請(qǐng)求到Ident端口（TCP 113），目的設(shè)備用其身份信息作為響應(yīng)，如主機(jī)和設(shè)備名。
如果支持IP鑒別，攻擊者就能夠連接到主機(jī)的一個(gè)TCP端口上，發(fā)布一個(gè)簡(jiǎn)單的字符串以請(qǐng)求信息，得到一個(gè)返回的簡(jiǎn)單字符串響應(yīng)。
要關(guān)閉IdentD服務(wù)，使用下面的命令：
Router（config）#no ip identd
可以通過(guò)Telnet到設(shè)備的113端口來(lái)進(jìn)行測(cè)試。
cisco路由器—IP源路由
應(yīng)該在所有的路由器上關(guān)閉，包括邊界路由器。可以使用下面的命令：
Router（config）#no ip source-route
禁止對(duì)帶有源路由選項(xiàng)的IP數(shù)據(jù)包的轉(zhuǎn)發(fā)。
cisco路由器關(guān)閉服務(wù)的更多資源請(qǐng)讀者閱讀：
cisco路由器之關(guān)閉一些不必要的服務(wù) 中篇
cisco路由器之關(guān)閉一些不必要的服務(wù) 下篇
【編輯推薦】
