| |
美國(guó)CISCO公司的路由器產(chǎn)品在我國(guó)有廣大的用戶市場(chǎng)，但由于有關(guān)的技術(shù)資料還很少，一般的用戶在實(shí)際運(yùn)用中往往只涉及幾個(gè)基本的命令，對(duì)其提供的強(qiáng)大功能卻少有了解，更談不上深入應(yīng)用了。我在實(shí)際工作中摸索出了其中一個(gè)非常有用的功能，對(duì)加強(qiáng)網(wǎng)絡(luò)安全管理具有很高的實(shí)用價(jià)值，現(xiàn)奉獻(xiàn)給同我一樣渴望深入了解的讀者。
CISCO 2505路由器有S0、S1兩個(gè)串口可與廣域網(wǎng)連接，1個(gè)E0口與局域網(wǎng)(以太網(wǎng))連接，與CISCO 2500系列其它產(chǎn)品相比，其最大的特點(diǎn)是提供了8口的HUB(集線器)功能，HUB的任一端口都享有E0口的IP地址，用雙絞線組網(wǎng)的用戶常選用此種型號(hào)的路由器。據(jù)我所知，有許多用戶僅僅把CISCO 2505的HUB功能當(dāng)做普通的HUB在用，在網(wǎng)絡(luò)的安全管理上存在著一定的漏洞，例如，可用一臺(tái)已設(shè)置好IP地址的計(jì)算機(jī)替換雙絞線對(duì)端的合法設(shè)備，從而騙過(guò)防火墻的檢查等等。實(shí)際上，CISCO 2505路由器本身已經(jīng)提供了對(duì)HUB各端口進(jìn)行權(quán)限控制的命令，操作步驟如下：
1>enable /＊進(jìn)入特權(quán)維護(hù)模式＊/
2＃config term /＊從主控終端上輸入配置命令＊/
3(config)＃hub e 0 n /＊進(jìn)入指定的HUB端口(n)的設(shè)置模式。
n的取值范圍是1－8，但只能是一個(gè)數(shù)字。＊/
4(config－h(huán)ub)＃? /＊求得可用命令的簡(jiǎn)單描述＊/
auto－polarity Enable automatic receiver polarity reversal exit Exit from hub configuration mode help Description of the interactive help system link－test Enable Link Test Function of Hub port no Negate or set default values of a command shutdown Shutdown the selected port source－address Enable Source Address control for Hub port
以上命令常用的是no和shutdown，但對(duì)注重安全防范的網(wǎng)絡(luò)管理員來(lái)說(shuō)，掌握source－address命令則非常重要。該命令的格式如下：
(config－h(huán)ub)＃source－addrerss xxxx.xxxx.xxxx
其中xxxx.xxxx.xxxx是與該端口(n)物理相連的網(wǎng)卡(或其它網(wǎng)絡(luò)設(shè)備)的MAC地址(注意每個(gè)x都是16進(jìn)制的數(shù)，如0000.21bc.6ac6等)，該地址可用網(wǎng)卡附帶的驅(qū)動(dòng)程序或診斷程序查出，在UNIX下也可用hwconfig命令查看，得到的地址常是6組兩位的16進(jìn)制數(shù)，應(yīng)轉(zhuǎn)換成上述格式。
5(config－h(huán)ub)＃exit
6(config)＃exit
7＃show hub /＊查看設(shè)置情況＊/
8＃write mem /＊將所做修改保存到NVRAM ＊/
由于MAC地址(Medium Access Control)是在世界范圍內(nèi)進(jìn)行了唯一性編碼的，任何一個(gè)廠家生產(chǎn)的任何一塊網(wǎng)卡，其MAC地址都截然不同，因此，用此命令指定了端口的連接對(duì)象必須是某一臺(tái)特定的設(shè)備，再輔以其它的屏蔽功能(如關(guān)閉閑置端口、設(shè)置防火墻等)，則可有效地防止非法的網(wǎng)絡(luò)連接，從數(shù)據(jù)鏈路層開(kāi)始，就可提供一個(gè)可靠的安全屏障了。經(jīng)實(shí)用，效果非常良好。
|
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
