CCNA सुरक्षा के लिए तैयार होना (IINS 554)

सभी को नमस्कार! मुझे उम्मीद है कि यह पोस्ट उन लोगों के लिए उपयोगी होगा जो सुरक्षा के iOS प्रमाणीकरण को पास करना चाहते हैं।
यह पहले ही हो चुका है कि पिछली CCNA परीक्षा के लिए या जैसा कि अब इसे CCNA रूटिंग एंड स्विचिंग कहा जाता है, सिस्को नेटवर्किंग अकादमी (डिस्कोवरी एंड एक्सप्लोरेशन) सिस्को पैकेट ट्रेसर का सॉफ्टवेयर पर्याप्त है, लेकिन यह उद्योग प्रमाणपत्रों के लिए उपयुक्त नहीं होगा। इस मामले में, जब तक, निश्चित रूप से, आपके पास हाथ में एक भौतिक स्टैंड है, जीएनएस 3 करेगा। CCNA सुरक्षा परीक्षा के विषयों पर एक नज़र डालें। हम समझते हैं कि मामलों को विशेष रूप से IOS: CCP, ASA, IPS पर संबोधित नहीं किया जाएगा। क्या जरूरत है? सही ढंग से कॉन्फ़िगर स्टैंड!
इसलिए, एक टोकरी में हम डालते हैं:

• पीसी होस्ट - सीसीपी, एएसडीएम, काली - virual_box छवियां
• IOS स्विच - GNS में लागू नहीं किया गया है, इसलिए हम NM-16ESW मॉड्यूल के साथ सिस्को 3745 छवि का उपयोग करते हैं। इस स्थिति में, यह स्विच L3 (उत्प्रेरक 3560) के रूप में कार्य करेगा
• ज़ोन-आधारित फ़ायरवॉल कार्यक्षमता के साथ राउटर - IOS छवि c3725-adventerprisek9-mz124-15-bin
• सिस्को एएसए - asa842 (कर्नेल और initrd)
• सिस्को IPS

यहां कुछ ऐसा है जो होना चाहिए ...
Virtual_box पर वर्चुअल मशीनें पहले ही GNS (वरीयता-वर्चुअलबॉक्स-वर्चुअलबॉक्स गेस्ट) में एम्बेडेड हैं। यह आवश्यक संख्या एकत्र करने के लिए बनी हुई है। हां, स्पष्टीकरण, एक आभासी "वास्तविक" मशीन, जीएनएस में एक मेजबान।
इसके बाद, IOS छवियों और हाइपरवेयर्स पर जाएं और हमारे द्वारा आवश्यक आईओएस छवियों को जोड़ें और आइडल पीसी की गणना करें ताकि जब आप नेटवर्क इम्यूलेशन चालू करें तो आपका आयरन मित्र झुक न जाए।
अंत में, एएसए जोड़ें: प्राथमिकताएं-क्यूमू-एएसए 8.4.2 - क्यूमू विकल्प: -vnc कोई नहीं -vga कोई नहीं -m 1024 -icount auto -hdachs 980,16,32 - कर्नेल cmd लाइन: -append ide_generic.probe_mask = 0x01 ide_core। chs = 0.0: 980,16.32 auto nousb कंसोल = ttyS0,9600 bigphysarea = 65536।
7-ज़िप का उपयोग करके सभी iOS छवियों को अनज़िप करें। Iiiii ...

ठीक है, आपने पहले ही अनुमान लगाया था कि XP ​​एक स्थानीय क्षेत्र नेटवर्क, 7-डीएमजेड, बैकट्रैक-बाहरी नेटवर्क है।
हम iOS के आधार पर विकिरण सुरक्षा कार्यान्वयन शुरू करने का प्रस्ताव कहाँ देते हैं?
आश्चर्यजनक रूप से, पाठ्यक्रम में उपयोग की जाने वाली अवधारणाओं के साथ:

• C3PL - सिस्को वर्गीकरण आम नीति भाषा
• कक्षा के नक्शे - ट्रैफ़िक की पहचान करें (ftp, http)
• नीतिगत नक्शे - कार्रवाई करने के लिए (ड्रॉप, प्राथमिकता)
• सेवा नीतियां - जहां पीएम को करना है

जब हम अवधारणाओं का पता लगा लेते हैं, तो हम क्लासिक रक्षा विधियों को देखेंगे।
सक्षम कमांड में उच्चतम विशेषाधिकार स्तर (डिफ़ॉल्ट विशेषाधिकार स्तर = 15) 15 - अधिकतम, 1 मिनट = अक्षम है। कभी भी सक्षम पासवर्ड कमांड का उपयोग न करें। अन्य कस्टम विशेषाधिकार स्तरों के लिए, आपको उपयोग करना होगा

enable secret level 4 0 pass4level privilege exec level 4 ping 

सादे-पाठ पासवर्ड छिपाने के लिए, सेवा पासवर्ड-एन्क्रिप्शन का उपयोग करें। उपयोगकर्ता या कमांड कौन दिखाते हैं - देखें कि कौन डिवाइस से जुड़ा है।
आप IOS में उपयोगकर्ताओं और पासवर्ड को संग्रहीत करने के लिए स्थानीय डेटाबेस का उपयोग कर सकते हैं:

 username admin priv 15 sec 0 pass123 username user1 priv 4 sec 0 pass1user line console 0 login local line vty 0 4 login local 

उद्यम के लिए, आप एएए-सर्वर का उपयोग कर सकते हैं। एएए - ऑटेन: कौन ?, लेखक: क्या कर सकता है या नहीं? खाता: गतिविधि ट्रैकिंग।

 conf t enable secret level 15 0 cisco123 username admin priv 15 sec 0 pass123 username user1 priv 4 sec 0 pass1user aaa new-model aaa authen login default local aaa author exec default local –        aaa author console –     

और उपयोगी मापदंडों के एक जोड़े पर विचार करने के लिए

 security passwords min-length 8 aaa local authen attempts max-fail 3 sh aaa local user lockout clear aaa local user lockout all login block-for 300 attempts 10 within 60 

यदि आप डिवाइस को संरक्षित मोड से कनेक्ट करना चाहते हैं, तो आपको ssh को कॉन्फ़िगर करना होगा:

 ip domain-name ca.com crypto key generate rsa modus 1024 ip http secure-server line vty 0 4 transport input ssh 

अब योजना AAA TACACS + RADIUS के अनुसार। इन प्रोटोकॉल की विशेषताओं को आसानी से पाया जा सकता है। उन्हें याद रखना बेहतर है, यह काफी संभव है कि वे परीक्षा में शामिल होंगे। सबसे अच्छा अभ्यास vpn के माध्यम से प्रशासक के लिए tacacs +, और बाहरी उपयोगकर्ताओं के लिए त्रिज्या का उपयोग करना है।
क्योंकि tacacs + मालिकाना सिस्को प्रोटोकॉल, इसे कॉन्फ़िगर करें:

 enable secret cisco123 username admin priv 15 sec pass123 username user1 priv 1 sec pass1user aaa new-model tacacs-server host 192.168.0.254 tacacs-server key cisco1111 aaa authen login default group tacacs+ local aaa authen login Free none line console 0 login authen Free aaa author commands 1 TAC1 group tacacs+ local aaa author commands 15 TAC15 group tacacs+ local aaa author config-commands aaa account commands 1 TAC1-acc start-stop group tacacs+ 

फ़ुहुह, पासवर्ड के साथ किया। अब डेटा लिंक परत की सुरक्षा पर विचार करें।
सभी ने सीएएम या मैक-टेबल के बारे में सुना है। इस विषय पर डीएचसीपी स्नूपिंग, सीएएम ओवरफ्लो, वीएलएएन उम्मीद जैसे उल्लंघन पर चर्चा की जाती है।
झूठे डीएचसीपी लगाने से कैसे बचाएं? इस तरह:

 conf t ip dhcp shooping vlan3 ip dhcp snooping int fa 0/1 ip dhcp shooping trust exit sh ip dhcp snooping binding 

अब चलो अतिप्रवाह विकल्प देखें - सीएएम ओवरफ्लो। नोट के लिए (इंटरफ़ेस के माध्यम से तालिका को बंद / बंद नहीं किया जाता है)

 conf t int fa 0/1 switchport mode access swport port-sec max 5 swport port-sec violation shutdown swport portsec !!!  !!! errdisable recovery cause psecure-violation errdisable recovery interval 30 sh int status err-diasbled sh port-sec 

फिर भी वीएलएएन होपिंग (जंपिंग) जैसी कोई चीज है। वीएलएएन के लिए मुख्य सिफारिशें इस प्रकार हैं: कभी भी उत्पादन में vlan1 का उपयोग न करें (सभी बंदरगाहों को किसी प्रकार का "दुर्लभ" vlan999 असाइन करें), सभी अप्रयुक्त बंदरगाहों को अक्षम करें, पहुंच के लिए एक्सेस मोड का उपयोग करें, और गतिशील बातचीत को निष्क्रिय करें कोई बातचीत ट्रंक (डीटीपी) को अक्षम करें।

 sh int fa 0/1 switchport (negot is auto) sh int trunk int fa 0/1 swport mode access swport access vlan3 swport nonegotiate 

और स्वीट बीपीडीयू गार्ड (एंटी स्पान) के लिए भी - ब्रिजपीडीयू गार्ड (एसटीपी)

 spanning-tree portfast default spanning-tree portfast bpduguard default int fa 0/1 spanning-tree portfast spanning-tree portfast bpduguard enable errdisable recovery cause bpduguard 

वैसे, आप CAM - डायनेमिक arp निरीक्षण को नियंत्रित करने के लिए DAI का उपयोग कर सकते हैं
यह मूल रूप से आईओएस पर आवश्यक है। बाकी राउटर, एएसए और जेडबीएफ के लिए सीसीपी का उपयोग है।
यदि आप चाहें, तो मैं CCP इंटरफ़ेस का उपयोग करने के बारे में एक नोट लिख सकता हूं, जैसा कि इस पर बहुत सारे प्रश्न हैं और सबसे महत्वपूर्ण बात यह है कि परीक्षा पर प्रयोगशाला।
जैसा कि आप जानते हैं, यह लेख गुरुओं के लिए नहीं है, बल्कि उन लोगों के लिए है जिन्होंने सिस्को उपकरण का अध्ययन करने का निर्णय लिया है।
पुनश्च
संदर्भ जानकारी: