怎么样把ROS的各种设定导出(共享)
使用export命令导出，使用import命令导入。
如：导出全部配置命令为：/export file=xxx
导入配置命令：/import file=xxx
导出防火墙配置的命令：/ip firewall export file=xxx
备份设置：files-->backup 再用ftp client download备份文件
恢复设置：ftp client upload 备份文件；files --> restore
1。备份和恢复设置
绝对是好东东！你想想辛辛苦苦设置好的防火墙规则，网卡设置，各个路由，端口映射万一弄错了或重新安装时，是不是都要重新自已设置？这个巨麻烦！！！但ROUETOS却为你考虑得很周到，可以手工备份你的设置文件，需要时只要一个命令即可恢复！
大家可以用WINBOX登陆，注意用ADMIN帐号，在左边是不是有个FILES？点开，再点对话框上面的BACKUP，这样就把当前的设置保存一个文件里面了，再用IE登陆你的路由，用ftp://网管帐号：密码@路由IP:端口，登陆到你的路由后就会到你保存的文件了！用IE直接下载吧！
当你重新安装时，只要把内网弄通，用IE再登陆你的路由，把这个设置文件传上去，在WINBOX左边下面有个TE开头的英文，这是终端模拟，点开后就像在路由上操作一样，用以下命令恢复你以前的设置：
system回车
backup回车
load name=你保存的设置文件名 回车
提示重启就一下子恢复到你以前设置了！！
是不是方便实用啊？
大家可能会说用WINBOX备份不爽，那我们也可以用终端备份呀！
在WINBOX左边下面有个TE开头的英文，这是终端模拟，点开后就像在路由上操作一样，用以下命令备份你以前的设置：
system回车
backup回车
save name=你保存的设置文件名 回车
建议文件名用日期表示可以很直观。这样就按你的文件名保存了。
用LOAD NAME命令就是恢复了。。。]
2.恢复路由本身默认值。
如果设错了规则或者地址，造成win不能进入管理界面，可以这样复原：
使用 admin 登陆
system 回车
reset 选择 y
将删除所有改动，恢复新装的状态
这个是恢复到出厂设置，很适合刚开始设置ROUTEOS时用用！
3。备份ROUTEOS
可以用GHOST8。0备份，注意是要用全盘备份，DISK TO IMG才行。

一、识别流量：

可以用acl和nbar技术综合定义数据流。Acl定义可以采用下述参数：源IP地址、目的IP地址、第4层协议（如UDP）、源端口号码以及目的端口号码等。与一套已定义参数相匹配的数据包都被视为属于相同的流，NBAR技术可以识别应用层流；
建立ACL用来识别p2p应用端口或者服务器ip地址，可根据实际情况配置，例如：
ip access-list extended edonkey
permit tcp any any range 4661 4662
permit tcp any any range 4242 4243
permit udp any any eq 4665
同时应用pdlm包
ip nbar pdlm bittorrent.pdlm
　 ip nbar pdlm eDonkey.pdlm

二、建立策略：

具体实施时，需要先配置一个用户定制的Policing，该Policing应该包括以下三个参数：平均速率、最大突发量和超过限制时所进行的处理。为提供更灵活的带宽限制，Policing又分为两种：Microflow和Aggregate。MicroflowPolicing可以提供对单一流使用带宽限制，而AggregatePolicing则可以对所有流总使用带宽进行限制。

将定制的Policing放到一个访问控制列表中，并定义到一个端口或一个VLAN上，即可以实现对用户的带宽管理。如果同时应用集合和微流策略器，则QoS就会总是执行策略器所制定的最严重的行为。例如，如果一个策略器要求丢弃数据包，而另外一个策略器则指示数据包降级，那么数据包将会被丢弃。默认状态下，微流策略器仅对被路由的（第3层）流量起作用。如果要对桥接的（第2层）流量也起作用，则需要启用桥接微流策略mls qos bridged。

Catalyst6000中的策略可以根据“漏桶”概念来实施：与入局流量数据包对应的令牌都被置入一个桶中（每个令牌代表1位，从而大数据包比小数据包对应更多的令牌）。在正常时间间隔内，一定数量的令牌数将从桶中取出并被发送。如果桶中没有更多空间容纳输入的数据包，则数据包被视为超出配置文件范围而被丢弃或者根据配置的策略操作实行降级处理。

计算参数
多种参数控制令牌桶的行为：
• Rate 定义每个时间间隔内将有多少令牌取出。低于速率的所有流量都被视为是符合配置要求的。

• Interval 定义令牌隔多长时间从桶内取出一次。间隔固定在0.00025秒，从而令牌每秒钟将从桶中取出4000次。时间间隔不能更改。

• Burst 定义在任何一个时刻桶内能够容纳的最大令牌数。为了维持规定的流量速率，突发速率的大小不应该低于速率与时间间隔的乘积。另外一种考虑就是最大尺寸的数据包也必须能够置入桶内。

可以用以下公式来确定突发速率参数：
突发速率＝（速率（bps）*0.00025（秒/时间间隔））或（最大数据包大小（位））， 取两者中较大的值。
例如，计算需要在以太网上维持1 Mbps速率所需的最小突发速率值。速率定义为1 Mbps，而最大的以太网数据包为1518 字节，这样公式变为：
突发速率＝（1,000,000bps*0.00025）或（1518字节* 8位/字节）＝250 或 12144
两者中较大的值为12144，我们可将其折算为13 Kbps。 注： 在Cisco IOS中，策略速率以bps定义。此外，突发速率在Cisco IOS中以字节来定义。

注： 由于受硬件策略粒度的影响，实际速率和突发速率都应该折算为最接近的支持值。确认突发速率值不低于最大的数据包尺寸，否则所有大于最大突发速率尺寸的数据包都将被丢弃。
例如，如果用户想在Cisco IOS中将突发速率设置为1518，则它将会被折算为1000字节，从而所有大于1000字节的帧都将被丢弃。解决方案是将突发速率配置为2000。

在定义突发速率时，需要考虑一些协议（如TCP）会针对丢包而采用流控制机制。例如，TCP将把每个要丢失的数据包的窗口缩小一半，相应地，当对某个速率进行策略时，有效的链路使用率就会低于配置的速率。您可以增加突发速率从而实现更高的利用率。对这些流量来说，比较简单易行的方式就是将突发速率的大小增加一倍（在我们的例子中可以从13 Kbits增加到26 Kbits），监控性能，然后根据需要进行调整。

mls qos
!--- 激活 QoS
mls qos flow-policing
class-map match-any bit
　　　　 　　match protocol bittorrent
match protocol eDonkey
match access-group edonkey
match … ！－用户根据实际情况定义
policy-map p2p
class bit
police flow 100000 2000 conform-action transmit exceed-action drop
!--- 定义微流管理器，限制每个p2p应用流为100 Kbps的微流量
police 20000000 13000 26000 conform-action transmit exceed-action drop
!--- 定义聚合管理器，以便限制所有p2p应用流为20Mbps聚合流量

三、在接口上应用策略（设备可能仅支持input方向）
　interface gigabitEthernet0/2
　　　　 　　service-policy input p2p
　　 　 　　 service-policy output p2p
如果实施基于VLAN的QoS配置，需要在二层接口配置mls qos vlan-based

四、验证策略实施情况
sh mls qos
sh mls qos ip gigabitEthernet 0/2
sh mls ip detail #进行微流策略统计
sh int g0/2 rate-limit
show policy-map interface g0/2
show ip nbar unclassified-port-stats
show ip nbar protocol stats byte-count
show ip nbar port-map | include custom

注：以上配置适用于cisco6509sup720平台，可用IOS版本12.1以上。

此文章讨论了有关对网络底层协议的攻击和防止攻击的方法，特别是关于路由和路由协议的漏洞，如Routing Information Protocol (RIP，路由信息协议), Border Gateway Protocol (边缘网关协议), Open Shortest Path First (OSPF，开放最短路径优先协议)等。

路由器在每个网络中起到关键的作用，如果一路由器被破坏或者一路由被成功的欺骗，网络的完整性将受到严重的破坏，如果使用路由的主机没有使用加密通信那就更为严重，因为这样的主机被控制的话，将存在着中间人(man-in-the-middle)攻击，拒绝服务攻击，数据丢失，网络整体性破坏，和信息被嗅探等攻击。

路由是一个巨大又复杂的话题，所以本人只是在此提到一部分知识，而且水平的关系，请大家多多指教。

===============================================================================
关于一些很普遍的路由器安全问题

多种路由器存在各种众所周知的安全问题，一些网络底层设备提供商如Cisco, Livingston, Bay等的普通安全问题大家可以参考下面地址，其中收集了不少安全漏洞：

http://www.antionline.com/cgi-bin/anticode/anticode.pl?dir=router-exploits

上面地址所收集的漏洞大部分无关于路由协议级的攻击，而是一些由于错误配置,IP信息包错误处理，SNMP存在默认的communit name string,薄弱密码或者加密算法不够强壮而造成。上面的一些攻击一般一个标准的NIDS都能够探测出来。这些类型的攻击对网络底层有一定的削弱性并可以组合一些高极别的协议进行攻击。

正确的配置管理可以处理不少普通的漏洞，如你必须处理一些标准的规程:不使用SNMP(或者选择强壮的密码)，保持补丁程序是最新的，正确处理访问控制列表，出入过滤，防火墙,加密管理通道和密码，路由过滤和使用MD5认证。当然在采用这些规程之前你必须知道这些安全规则的相关的含义和所影响到的服务。

================================================================================
近来有关的一些低部构造防卫检测系统的开发

近来的在网络防护开发项目中比较不错的是一个IDS叫JiNao,你可以在下面的地址找到相关的内容：http://www.anr.mcnc.org/projects/JiNao/JiNao.html.JiNao是由DARPA发起的，并现在成为一个合作研究项目由MCNC和北卡罗莱纳州大学共同开发。JiNao在FreeBSD和Linux上运行的是在线模式(使用divertsockets)，在Solaris运行在离线模式，并在3个网络上测试-MCNC，NCSU和由PC（操作系统做路由）和商业路由器组合的AF/Rome 实验室。测试结果显示了可以成功的防止多种类型的网络底层攻击并能很好的高精度的探测这些攻击。

当前，JiNao看起来在研究关于Open Shortest Path First (OSPF，开放最短路径优先)协议，并且最终JiNao会延伸到各种协议。JiNao指出，防卫攻击和入侵探测将会集成在网络管理内容中，所以JINao现在正趋向于网络防火墙，入侵探测系统和网络管理系统组合一体。

还有一个工具可以很好的分析高级的协议，如Agilent Advisor
(http://onenetworks.comms.agilent.com/)的网络分析工具，它能很好的支持多种路由协议并能定制过滤器来探测各种不正常的行为。

================================================================================
一些工作于路由协议的工具

-------------------------------
Linuxdivert sockets描述到:\"Divertsocket能够在末端主机也能在路由器上进行IP信息包捕获和注入，信息包的捕获和插入发生在IP层上，捕获的信息包在用户空间转向到套接口中，因此这些信息包将不会达到它们的最终目的地，除非用户空间套接口重插入它们。这样在信息包捕获和重新插入之间可以在系统系统内核之外允许各种不同的操作(如路由和防火墙).\"(http://www.anr.mcnc.org/~divert/).简单的说divert socket就是由userspace(用户空间)的程序来处理kernel(内核)中的IP packet(IP信息包)，这个divertsocket最早应用与FreeBSD系统中，如NAT就是应用了divert socket。这样使开发程序很容易，因为在用户层，而处理IPpacket(IP信息包)的效率也比较高，因为是直接处理kernel(内核)中的IP packet(IP信息包)。

大家可以在下面的地址中找到相关的Divert socket:http://www.anr.mcnc.org/~divert/. Divertsocket就象上面说最早实现于FreeBSD中，现在已经移植到Linux中并作为JiNao IDS项目的一部分采用。

------------------------------
另一个叫Nemesis Packet Injection suite，是一个比较强大的网络和安全工具，由Obecian开发，你可以在下面的地址获得:http://www.packetninja.net.最新的nemesis-1.1发行在2000年6月24号。Nemesis是一个\"命令行式的UNIX网络信息包插入套件\"，并是一个很好的测试防火墙，入侵探测系统，路由器和其他网络环境的工具。它可以被攻击者使用和授权渗透探测者在主机和网络级的网络安全环境检测。其中这个站点还有一个演化的Nemesis叫Intravenous,发行于11/30/00.Intravenous看起来承载了Nemesis所有基本功能，其中不同的是增加了人工智能引擎的内容。更多有关Intravenous的信息你可以在packetninja.net站点里找到.
----------------------------
IRPAS,Internetwork Routing Protocol Attack Suite,由FX所写，可以在下面的站点找到http://www.phenoelit.de/irpas/.IRPAS包含了各种可工作于Cisco路由设备的协议层的命令行工具，包括如下这些命令: cdp--可发送Cisco router Discovery Protocol (CDP CISCO路由发现协议)消息;

igrp是能插入Interior Gateway Routing Protocol (IGRP 内部网关路由协议)消息；irdp用来发送ICMP Router Discovery Protocol (ICMP路由发现协议)消息；

irdresponder--可使用精心制作的信息包来响应IRDP请求；

ass--Autonomous System Scanner(自主系统扫描器,现在可下载的版本只支持IGRP)，这里解释下Autonomous system，即一般所说的AS，简单的说是一组内部路由器，使用共同协议交流内部网络的信息，更直接的说法就是这些路由器自己自主，交流信息。与之相反的是我们经常知道的外部路由器如一般的电信节点处的路由器。典型的AS使用单一的路由协议在它的边界产生和传播路由信息。ass就类似于TCP端口扫描器一样，只不过其是针对自主系统的。使用ass扫描的话，如果自主系统应答，将返回路由进程中的所有路由信息。IRPAS的网站也包含一条关于Generic Routing Encapsulation(GRE 一般路由封装) 漏洞的文档，其中这个GenericRouting Encapsulation (GRE 一般路由封装)漏洞允许外部攻击者绕过NAT和破坏一通过VPN的内部RFC1918网络。这份文档大家可以在下面的地址获得:http://www.phenoelit.de/irpas/gre.html，其中在其他章节还包含了更多的信息和通过irpas的可能攻击策略.

irpas的开发者FX，发送了由ass新版本2.14(还没有发布)扫描的AS样本和igrp怎样利用ass的信息(AS #10和其他数据)来插入一欺骗的路由给222.222.222.0/24。虽然IGRP协议目前不是很多使用，但这个例子却是相当的不错。下面是FX测试的结果：

test# ./ass -mA -i eth0 -D 192.168.1.10 -b15 -v（这里的-i是接口，-D是目的地址，-b15指的是自主系统0-15之间
ASS [Autonomous System Scanner] $Revision: 2.14 $
(c) 2k FX <fx@phenoelit.de>
Phenoelit (http://www.phenoelit.de)
No protocols selected; scanning all
Running scan with:
interface eth0
Autonomous systems 0 to 15
delay is 1
in ACTIVE mode

Buil谢谢 target list ...
192.168.1.10 is alive
Scanning ...
Scanning IGRP on 192.168.1.10
Scanning IRDP on 192.168.1.10
Scanning RIPv1 on 192.168.1.10
shutdown ...

OK，得到以下的结果
>>>>>>>>>>>> Results >>>>>>>>>>>
192.168.1.10
IGRP
#AS 00010 10.0.0.0 (50000,1111111,1476,255,1,0)
IRDP
192.168.1.10 (1800,0)
192.168.9.99 (1800,0)
RIPv1
10.0.0.0 (1)

test# ./igrp -i eth0 -f routes.txt -a 10 -S 192.168.1.254 -D 192.168.1.10
当然这里的routes.txt需要你自己指定：
routes.txt:
# Format
# destination:delay:bandwith:mtu:reliability:load:hopcount
222.222.222.0:500:1:1500:255:1:0

Cisco#sh ip route
Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP
D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, * - candidate default
U - per-user static route

Gateway of last resort is not set

10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C 10.1.2.0/30 is directly connected, Tunnel0
S 10.0.0.0/8 is directly connected, Tunnel0
C 192.168.9.0/24 is directly connected, Ethernet0
C 192.168.1.0/24 is directly connected, Ethernet0
I 222.222.222.0/24 [100/1600] via 192.168.1.254, 00:00:05, Ethernet0
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
看到没有，到达222.222.222.0/24经由192.168.1.254
-----------------------------

Rprobe & srip--这个工具附带在一篇关于RIP欺骗非常不错的指南文档中(由humble写),你可以在下面的地址找到这篇文章http://www.technotronic.com/horizon/ripar.txt.Rprobe工具会从一路由daemon(守护程序)中请求一RIP路由表的拷贝，使用Tcpdump或者其他任何嗅探工具可以用来捕获这些结果。接下来，srip可以用来从任意源IP发送一伪造的RIPv1或者RIPv2消息，Srip可以插入新的路由和使当前的路由无效，当然攻击者/渗透测试者需要知道命令行中使用什么参数。关于这些工具的介绍可参看Hacking Exposed 第二版Network Device节找到示例。
------------------------

当然还有其他工作与相关路由协议的工具可被攻击者或者渗透测试者使用，如:Routed,gated, zebra, mrt, 和 gasp ，大家可以参看其他的文档。
=================================================================================

下面是有关各种协议的浅释和相关漏洞及可以采用的防卫措施

Routing Information Protocol (RIP，路由信息协议)

Routing Information Protocol (RIP，路由信息协议)是基于距离矢量的路由协议，其所有路由基于(hop)跳数来衡量。由Autonomous System (AS，自主系统) 来全面的管理整个由主机，路由器和其他网络设备组成的系统。RIP是作为一种内部网关协议(interior gateway protocol)，即在自治系统内部执行路由功能。相反的大家都知道外部网关路由协议(exterior gateway protocol)，如边缘网关协议（BGP），在不同的自治系统间进行路由。RIP协议对大型网络来说不是一个好的选择，因为它只支持15跳，RIPv1而且只能通信自身相关的路由信息，反之RIPv2能对其他路由器进行通信。RIP协议能和其他路由协议共同工作，依照Cisco，RIP协议经常用来与OSPF协议相关联，虽然很多文荡指出OSPF需代替RIP. 应该知道经由RIP更新提交的路由可以通过其他路由协议重新分配，这样如果一攻击者能通过RIP来欺骗路由到网络，然后再通过其他协议如OSPF或者不用验证的BGP协议来重新分配路由，这样攻击的范围将可能扩大。

RIP协议相关的漏洞和防范措施

一个测试者或者攻击者可以通过探测520 UDP端口来判断是否使用RIP，你可以使用熟悉的工具如nmap来进行测试，如下所示，这个端口打开了并没有使用任何访问控制联合任意类型的过滤：

[root@test]# nmap -sU -p 520 -v router.ip.address.2
interesting ports on (router.ip.address..2):
Port State Service
520/udp open route

扫描UDP520端口在网站http://www.dshield.org/的\"Top 10 Target Ports\"上被排列在第7位，你表明有许多人在扫描RIP，这当然和一些路由工具工具的不断增加有一定的关联。

RIPv1 天生就有不安全因素，因为它没有使用认证机制并使用不可靠的UDP协议进行传输。RIPv2的分组格式中包含了一个选项可以设置16个字符的明文密码字符串(表示可很容的被嗅探到)或者MD5签字。虽然RIP信息包可以很容易的伪造，但在RIPv2中你使用了MD5签字将会使欺骗的操作难度大大提高。一个类似可以操作的工具就是nemesis项目中的RIP命令--nemesis-rip,但由于这个工具有很多的命令行选项和需要必备的知识，所以nemesis-rip 比较难被script kiddies使用。想使用nemesis-rip成功进行一次有效的RIP欺骗或者类似的工具需要很多和一定程度的相关知识。不过\"Hacking Exposed\"第二版第10章:Network Devices提到的有些工具组合可以比较容易的进行RIP欺骗攻击攻击，这些工具是使用rprobe来获得远程网络RIP路由表，使用标准的tcpdump或者其他嗅探工具来查看路由表，srip来伪造RIP信息包(v1或者v2)，再用fragrouter重定向路由来通过我们控制的主机，并使用类似dsniff的工具来最后收集一些通信中的明文密码。

尽管大家知道欺骗比较容易，但仍然存在一些大的网络提供商仍旧依靠RIP来实现一些路由功能，虽然不知道他们是否采用来安全的措施。RIP显然目前还是在使用，呵呵但希望很少人使用RIPv1，并且使用了采用MD5安全机制的RIPv2，或者已经移植到了使用MD5认证的OSPF来提高安全性。

Border Gateway Protocol (BGP，边界网关协议)

BGP是Exterior Gateway Protocol (EGP，外部网关协议)，此协议执行的时候自主系统之间的路由，现在BGP4是最近的流行标准，BGP使用几种消息类型，其中这文章相关的最重要的消息是UPDATE消息类型，这个消息包含了路由表的更新信息，全球INTERNET大部分依靠BGP，因此一些安全问题必须很严肃的对待，L0pht几年就宣称过:他们能在很短的时间内利用路由协议的安全如BGP来搞垮整个Internet.

BGP协议相关的漏洞和防范措施

BGP使用TCP 179端口来进行通信，因此nmap必须探测TCP 179端口来判断BGP的存在。

[root@test]# nmap -sS -p 179 -v router.ip.address.2
Interesting ports on (router.ip.address..2):
Port State Service
179/tcp open bgp

-一个开放的BGP端口，更容易被攻击

[root@test]# nmap -sS -n -p 179 router.ip.address.6
Interesting ports on (router.ip.address.6):
Port State Service
179/tcp filtered bgp

BGP端口被过滤了，对攻击有一定的抵抗力。

由于BGP使用了TCP的传输方式，它就会使BGP引起不少关于TCP方面的问题，如很普遍的SYN Flood攻击，序列号预测，一般拒绝服务攻击等。BGP没有使用它们自身的序列而依靠TCP的序列号来代替，因此，如果设备采用了可预测序列号方案的话，就存在这种类型的攻击，幸好的是，运行在Internet上大部分重要的路由器使用了Cisco设备，而其是没有使用可预测序列号方案。

部分BGP的实现默认情况下没有使用任何的认证机制，而有些可能存在和RIP同样的问题就是使用了明文密码。这样假如认证方案不够强壮的话，攻击者发送UPDATE信息来修改路由表的远程攻击的机会就会增加许多，导致进一步的破坏扩大。

BGP也可以传播伪造的路由信息，如果攻击者能够从一协议如RIP中修改或者插入路由信息并由BGP重新分配。这个缺陷是存在与信任模块中而不是其协议本身。另外BGP的community 配置也会有某些类型的攻击，原因是community name在某些情况下是作为信任token(标志)可以被获得。至于通过通过BGP的下层协议（TCP）对其攻击看来是比较困难的，因为会话在点对点之间是通过一条单独的物理线路进行通信的，但在一定环境如在两AS系统通过交换机来连接则可能存在TCP插入的攻击，在这样的网络中，攻击者在同一VLAN或者他有能力嗅探switch的通信(如使用dsniff工具通过ARP欺骗来获得），监视TCP序列号，插入修改的信息包或者使用工具如hunt的进行hijack连接而获得成功，但这种类型的攻击一般只能在实验室环境中演示比较容易，而在实际的网络中因为太过复杂而很难成功。

要使BGP更安全，你最好对端口179采用访问列表控制，使用MD5认证，使用安全传输媒体进行安全BGP通信和执行路由过滤(你可以查看下面的文档(seehttp://www.cisco.com/univercd/cc/td/doc/product/software/ios120/12cgcr/np1_c/1cprt1/1cbgp.htm#40309)以及一些标准的路由安全设置过滤配置。

------------------------
Open Shortest Path First (OSPF，开放最短路径优先协议)

OSPF是动态连接状态路由协议，其保持整个网络的一个动态的路由表并使用这个表来判断网络间的最短路径，OSPF是内部使用连接状态路由协议，协议通过向同层结点发送连接状态信息（LSA）工作，当路由器接收到这些信息时，它就可以根据SPF算法计算出到每个结点的最短路了。其他相临路由器通过使用OSPF的Hello协议每10秒发送一个问候包给224.0.0.5，然后接收这些路由器发回的信息。一个OSPF的hello信息包头可以通过iptraf来嗅探到，如下所示：

OSPF hlo (a=3479025376 r=192.168.19.35) (64 bytes) from 192.168.253.67 to 224.0.0.5 on eth0

192.168.253.67边界路由器发送一个helo信息包给多播(224.0.0.5)来告诉其他路由器和主机怎样
从192.168.19.35联系区域a(a=3479025376).

一旦路由器接受到Hello信息包，它就开始同步自己的数据库和其他路由一样。

一个LAS头包括以下几个部分： LS age, option, LS type, Link state ID, Advertising Router ID,
LS sequence number, LS checksum, 和 length.

OSPF协议相关的漏洞和防范措施

OSPF使用协议类型89，因此你可以使用nmap协议扫描来判断OSPF，除非网络通过配置访问列表来不响应这些类型的查询。如下所示：

root@test]# nmap -sO -router.ip.address.252
Interesting protocols on (router.ip.address.252):
Protocol State Name
89 open ospfigp

OSPF由于内建几个安全机制所以比起RIP协议安全的多，但是，其中LSA的几个组成部分也可以通过捕获和重新注入OSPF信息包被修改，JiNao小组开发了一个FREEBSD divert socket的LINUX实现并在它们的测试中使用到。

OSPF可以被配置成没有认证机制，或者使用明文密码认证，或者MD5，这样如果攻击者能获得一定程度的访问，如他们可以使用如dsniff等工具来监视OSPF信息包和或者明文密码，这个攻击者可以运行divert socket或者其他可能的各种类型ARP欺骗工具来重定向通信。

JiNao小组发现了有关OSPF的4种拒绝服务的攻击方法，下面是简单的说明：

--Max Age attack攻击 LSA的最大age为一小时(3600)

攻击者发送带有最大MaxAge设置的LSA信息包，这样，最开始的路由器通过产生刷新信息来发送这个LSA，而后就引起在age项中的突然改变值的竞争。如果攻击者持续的突然插入最大值到信息包给整个路由器群将会导致网络混乱和导致拒绝服务攻击。

--Sequence++ 攻击 即攻击者持续插入比较大的LSA sequence(序列)号信息包，根据OSPF的RFC介绍因为LS sequence number（序列号）栏是被用来判断旧的或者是否同样的LSA，比较大的序列号表示这个LSA越是新近的。所以到攻击者持续插入比较大的LSAsequence(序列)号信息包时候，最开始的路由器就会产生发送自己更新的LSA序列号来超过攻击者序列号的竞争，这样就导致了网络不稳定并导致拒绝服务攻击。

--最大序列号攻击

就是攻击者把最大的序列号0x7FFFFFFF插入。根据OSPF的RFC介绍，当想超过最大序列号的时候，LSA就必须从路由domain(域)中刷新，有InitialSequenceNumber初始化序列号。这样如果攻击者的路由器序列号被插入最大序列号，并即将被初始化，理论上就会马上导致最开始的路由器的竞争。但在实践中，JiNao发现在某些情况下，拥有最大MaxSeq(序列号)的LSA并没有被清除而是在连接状态数据库中保持一小时的时间。

--伪造LSA攻击

这个攻击主要是gated守护程序的错误引起的，需要所有gated进程停止并重新启动来清除伪造的不正确的LSA，导致拒绝服务的产生。这个攻击相似对硬件的路由器不影响并且对于新版本的gated也没有效果。

上面的一些信息你可以参考http://www.ietf.org/rfc/rfc2328.txt和JiNao对OSPF的漏洞分析:On the Vulnerabilities and Protection of OSPF Routing Protocol (http://www.anr.mcnc.org/projects/JiNao/ic3n98.ps).

nemesis-ospf能对OSPF协议产生上述攻击，但是，由于nemesis-ospf太多的选项和需要对OSPF有详细深刻的了解，所以一般的攻击者和管理人员难于实现这些攻击。并且也听说nemesis-ospf也不是一直正常正确的工作，就更限制了这个工具的使用价值。

OSPF认证需要KEY的交换，每次路由器必须来回传递这个KEY来认证自己和尝试传递OSPF消息，路由器的HELLO信息包在默认配置下是每10秒在路由器之间传递，这样就给攻击者比较的大机会来窃听这个KEY，如果攻击者能窃听网络并获得这个KEY的话，OSPF信息包就可能被伪造，更严重的会盲目重定向这些被伪造的OSPF信息包。当然这些攻击少之又少，不光光是其难度，重要的是因为还有其他更容易的安全漏洞可以利用，谁不先捏软柿子.

这里建议如果一个主机不要使用动态路由，大多数的主机使用静态路由就能很好的完成起功能。因为使用动态路由协议很会受到攻击，例如，几年以前gated软件就被发现有一个认证的问题。
-------------------------

关于使用IRPAS对CDP和IRDP攻击

IRPAS的cdp程序主要对发送CDP (Cisco router DiscoveryProtocol)消息给CISCO路由器并对内部网络段产生拒绝服务攻击，发送一些垃圾字符就会导致路由器重新启动或者崩溃。它也能作为欺骗来使用，为其他更危险的程序打开方便的大门，一种可能的攻击场景：如使用cdp来使路由器停止服务，然后使用irdp或者irdresponder工具发送高优先值来通知一新的路由器，这样如果我们的目标路由器不能与被拒绝服务攻击而停止服务的通信，新的路由器的高优先值就会被采用，如果攻击者设置的这个值被成功采用的话，攻击者就能在他们的系统中轻松插入通信路径。

这种类型的攻击也可以应用在某些配置了使用IRDP协议的主机，如WINDOWS98默认情况下配置使用IRDP，WINNT需要手工配置支持IRDP环境，并在启动的时候广播3个ICMP RouterSolicitationmessages(ICMP路由请求消息)。L0pht有文章详细的描述关于WINDOWS和SUN机器上的采用IRDP而存在漏洞，你可以在下面的地址找到这篇文章：
http://www.atstake.com

详细介绍RFC1966文档。
实验拓扑：
R1-------R7--------R3
分别用串口连接
配置如下：
R7：
hostname r7

interface Loopback0
ip address 116.83.25.1 255.255.255.0
interface Loopback1
ip address 116.83.26.1 255.255.255.0
!
interface Ethernet0
no ip address
!
interface Serial0
ip address 192.168.54.5 255.255.255.252
encapsulation ppp
no fair-queue
!
interface Serial1
ip address 192.168.54.1 255.255.255.252
encapsulation ppp
!
router bgp 15210
network 192.168.54.0
neighbor 192.168.54.2 remote-as 15210
neighbor 192.168.54.2 route-reflector-client
配置充当反射客户端的每个邻居.
neighbor 192.168.54.6 remote-as 15210
建立BGP对等体关系
neighbor 192.168.54.6 route-reflector-client
no auto-summary
!
R2：
hostname r2
interface Loopback0
ip address 10.1.1.1 255.255.255.0

!
Router bgp 15210
bgp log-neighbor-changes
network 10.1.1.0 mask 255.255.255.0
network 192.168.54.0 mask 255.255.255.0
neighbor 192.168.54.1 remote-as 15210
no auto-summary
R3:
router bgp 15210
no synchronization
bgp log-neighbor-changes
network 192.168.54.0 mask 255.255.255.0
neighbor 192.168.54.5 remote-as 15210
no auto-summary

在实际应用中大部分的BGP配置是比较复杂的,对等体组是简化配置的一种方法.

配置的基本步骤:
1 使用 neighbor peer-group-name peer-group 来创建BGP对等体组.
2 使用 neighbor peer-group-name 给对等体加上希望的参数.
3 使用 neighbor ip -address peer-group 将具有相同属性的BGP对等体放到一个组里.

对比例子:
正常配置:
router bgp 100
neighbor 192.168.1.1 remote-as 200
neighbor 192.168.1.1 password cisco
neighbor 192.168.1.2 remote-as 200
neighbor 192.168.1.2 next-hop-self
neighbor 192.168.1.2 password cisco
neighbor 192.168.1.3 remote-as 200
neighbor 192.168.1.3 password cisco
neighbor 192.168.1.3 next-hop-self
neighbor 192.168.2.2 remote-as 100
neighbor 192.168.2.2 password ccie
neighbor 192.168.2.2 next-hop-self
neighbor 192.168.2.2 route-reflector-client
neighbor 192.168.2.3 remote-as 100
neighbor 192.168.2.3 password ccie
neighbor 192.168.2.3 next-hop-self
neighbor 192.168.2.3 route-reflector-client

用对等体组简化后:
router bgp 100
neighbor in peer-group
neighbor in remote-as 100
neighbor in password ccie
neighbor in next-hop-self
neighbor in route-reflector-client
neighbor 192.168.2.2 peer-group in
neighbor 192.168.2.3 peer-group in
neighbor out peer-group
neighbor out password cisco
neighbor out remote-as 200
neighbor out next-hop-self
neighbor 192.168.1.1 peer-group out
neighbor 192.168.1.2 peer-group out
neighbor 192.168.1.3 peer-group out

这样的配置对以后的管理建造了良好的环境!

随着网络技术的迅猛发展，Internet的广泛应用，对通信介质的要求越来越高。帧中继（Frame-relay）以它通信稳定、速度快捷、价格优惠而得以迅速普及；而用好帧中继的关键就是路由器的配置。下面介绍几种常用路由器的帧中继配置，希望能起抛砖引玉的作用：
1、CISCO路由器的配置
interface Serial0（配置广域端口）
encapsulation frame-relay IETF（封装帧中继）
frame-relay lmi-type ansi （帧中继协议为ansi,此与邮局端要对应）
ip address 端口IP地址 子网掩码
frame-relay interface-dlci 16 （16为邮局给此端口分配的dlci号）
ip route 对端IP地址 子网掩码 对端广域口IP地址
2、3COM 路由器设置（限帧中继部分）
Set Privilege=NetMgr（授权网络管理）
Setd -ip cont=route　(激活路由功能)
Setd !3 -path linetype=leased（线路类型为专线）
Setd !4 -port own=framerelay（专线类型为帧中继）
Setd !4 -fr cont=ansilmi（协议类型为ansi）
Setd !4 -ip net=11.53.240.34
255.255.255.252（端口IP地址 子网掩码）
Add -ip addr 对端IP地址 @460 (460为对端dlci号)
Add -ip route 对端网段 子网掩码
对端广域IP地址 1（metric 即下跳数）
Setd !3 -path cont=e（激活路径）
Setd !4 -port cont=e（激活端口）
3、BDCOM 路由器设置（限帧中继部分）
Co
Chinese（选择中文界面）
Quit
S0
Encap framerelay
Ip add 广域IP地址 子网掩码
Fr local_dlci add 16（16为本方DLCI号）
Map add 对方广域IP地址 pvc 16(本方DLCI 号)
Quit
Route add 对端网段 掩码 对端广域口IP地址　1（下跳数）
Hosts add 127.0.0.1　 localhost
以上是常用的三种路由器的帧中继配置，从中可以看出关键是四个内容：一是线路封装，二是协议类型，三是DLCI号，四是IP地址。希望此文能对正在做路由器的帧中继配置的各位同仁有所帮助

网络环境：

局域网以2Mb/s DDN专线接入Internet，路由器选用安装了广域网模块的Cisco 2611。内部网络使用的IP地址段为10.1.1.1～10.1.3.254，局域网端口Ethernet 0的IP地址为10.1.1.1，子网掩码为255.255.0.0。网络分配的合法IP地址范围为202.110.198.80～ 202.110.198.87，连接ISP的端口 Ethernet 1的IP地址为202.110.198.81，子网掩码为255.255.255.248。

要求：

网络内部的所有计算机均可访问Internet，并且在3台Web服务器和2台FTP服务器上实现负载均衡。

配置文件:

interface fastethernet0/1 ip address 10.1.1.1 255.255.0.0 //定义局域网端口IP地址 duplex auto speed auto ip nat inside //定义为局域端口 ! interface serial 0/0 ip address 202.110.198.81 255.255.255.248 //定义广域网端口IP地址 duplex auto speed auto ip nat outside //定义为广域端口 ! access-list 1 permit 202.110.198.82 //定义轮询地址列表1 access-list 2 permit 202.110.198.83 access-list 3 permit 10.1.1.0 0.0.255.255 //定义本地访问列表3 ! ip nat pool websev 10.1.1.2 10.1.1.4 255.255.255.248 type rotary //定义Web服务器的IP地址池，Rotary关键字表示准备使用轮询策略从NAT池中取出相应的IP地址用于转换进来的IP报文， 访问202.110.198.82的请求将依次被发送给10.1.1.2、10.1.1.2和10.1.1.4 ip nat pool ftpsev 10.1.1.8 10.1.1.9 255.255.255.248 type rotary ip nat pool normal 202.110.198.84 202.110.198.84 netmask 255.255.255.248 //定义合法IP地址池，名称为normal ip nat inside destination list 1 pool websev // inside destination list语句定义与列表1相匹配的IP地址的报文将使用轮询策略 ip nat inside destination list 2 pool ftpsev

防止内网用户乱该ip地址，用户只能用给定的ip，如果改ip地址，则无法访问网络资源。
例如：做了下述配置后(arp inside 10.64.64.29 000f.b0d8.a504)，mac地址为000f.b0d8.a504的pc只能使用ip10.64.64.29来访问网络资源，如果该ip则无法访问。
pix515e# sh run
: Saved
:
PIX Version 7.2(1 )
!
hostname pix515e
domain-name cisco
enable password N7FecZuSHJlVZC2P encrypted
做名字解析
****************************************************
names
name 10.64.64.113 chengxiaojie
name 10.64.64.13 dhcp
name 10.64.64.71 liuyongjun
name 10.64.64.72 liuyongjun-ibm
name 10.64.64.39 lixiaoliang
name 10.64.64.103 lixuesong
name 10.64.64.17 lulianying
name 10.64.64.92 qizuomeng
name 10.64.64.69 wangzhili
name 10.64.64.105 xingzhonghe
name 10.64.64.45 tanjun
name 10.64.64.108 zhangyi
name 10.64.64.178 hujian
name 10.64.64.93 ibm220
name 10.64.64.62 jiling
name 10.64.64.111 yangliu
name 10.64.64.112 wangsishen
name 10.64.64.158 wangyuguo
name 10.64.64.52 lishihai
name 10.64.64.78 office-teacher
name 10.64.64.48 yangjin
name 10.64.64.104 wutao
name 10.64.64.63 zangdong
name 10.64.64.80 xiaoguangyue
name 10.64.64.14 ibm235
name 10.64.64.222 lixuesong-dell
name 10.64.64.75 maxiaopeng
name 10.64.64.215 lintao
name 10.64.64.199 machi
name 10.64.64.216 liuxuesong
name 10.64.64.246 jiachangjing
name 10.64.64.61 chufw
****************************************************
!
interface Ethernet0
nameif outside
security-level 0
ip address X.X.76.26 255.255.255.0
!
interface Ethernet1
nameif inside
security-level 100
ip address 10.64.64.2 255.255.240.0
!
interface Ethernet2
nameif dmz
security-level 80
ip address 192.168.0.1 255.255.255.0
!
passwd N7FecZuSHJlVZC2P encrypted
!
time-range worktime
periodic daily 8:00 to 17:00
!
ftp mode passive
clock timezone CST 8
dns domain-lookup outside
dns server-group DefaultDNS
name-server 219.150.32.132
domain-name cisco
做object-group以便在acl里被调用（注：object-group是个好东东，可以大大简化acl的配置）
****************************************************
object-group network www
network-object host xingzhonghe
network-object host chengxiaojie
network-object host dhcp
network-object host liuxuesong
network-object host wangzhili
network-object host liuyongjun
network-object host liuyongjun-ibm
network-object host lulianying
network-object host chufw
network-object host jiachangjing
network-object host maxiaopeng
network-object host 10.64.64.255
object-group network guest
network-object 10.64.66.112 255.255.255.240
object-group network caiwu
network-object 10.64.66.0 255.255.255.224
object-group service netmeeting tcp
port-object range 1503 1503
port-object range h323 h323
object-group network worktime
network-object host wutao
network-object host zhangyi
network-object host yangliu
network-object host wangsishen
network-object host wangyuguo
network-object host 10.64.64.169
network-object host 10.64.64.18
network-object host machi
network-object host lintao
network-object host liuxuesong
network-object host lixuesong-dell
network-object host 10.64.64.247
network-object host 10.64.64.29
network-object host 10.64.64.30
network-object host yangjin
network-object host lishihai
network-object host 10.64.64.55
network-object host jiling
network-object host office-teacher
****************************************************
access-list outside_access_in extended permit icmp any any echo-reply
access-list outside_access_in extended permit tcp any any object-group netmeeting
调用上述的object-group到acl
****************************************************
access-list inside_access_in extended deny ip any 192.168.0.0 255.255.255.0
access-list inside_access_in extended permit ip object-group caiwu 192.168.0.0 255.255.255.0
access-list inside_access_in extended permit ip object-group www any
access-list inside_access_in extended permit ip object-group guest any inactive
access-list inside_access_in extended deny tcp any any eq 1863
access-list inside_access_in extended permit ip host lixiaoliang host 211.147.77.98
access-list inside_access_in extended permit ip host qizuomeng host 211.147.77.98
access-list inside_access_in extended permit ip object-group worktime any time-range worktime
access-list inside_access_in extended permit ip host ibm235 any time-range worktime inactive
****************************************************
access-list remote_splitTunnelAcl standard permit 10.64.64.0 255.255.240.0
access-list inside_nat0_outbound extended permit ip 10.64.64.0 255.255.240.0 1.1.1.0 255.255.255.0
access-list outside_cryptomap extended permit ip any 1.1.1.0 255.255.255.0
access-list caiwu_splitTunnelAcl standard permit 192.168.0.0 255.255.255.0
access-list outside_cryptomap_1 extended permit ip any 1.1.1.0 255.255.255.0
access-list dmz_nat0_outbound extended permit ip 192.168.0.0 255.255.255.0 1.1.1.0 255.255.255.0
pager lines 24
mtu outside 1500
mtu inside 1500
mtu dmz 1500
ip local pool remote 1.1.1.1-1.1.1.254 mask 255.255.255.0
ip local pool caiwu 2.2.2.1-2.2.2.254 mask 255.255.255.0
no failover
asdm image flash:/asdm.bin
no asdm history enable
把ip和mac绑定
****************************************************
arp inside 10.64.64.29 000f.b0d8.a504
arp inside 10.64.64.247 000b.2f04.7dd8
arp inside 10.64.64.169 0016.17f2.2eb3
arp inside lintao 000a.e6b2.c4c6
arp inside liuxuesong 00e0.4c58.b7cd
arp inside lishihai 000a.e69b.f4dc
arp inside ibm235 0009.6ba5.49c5
arp inside maxiaopeng 000c.764d.6aa8
arp inside xiaoguangyue 0011.09b4.6f25
arp inside zangdong 00e0.4cc1.2a14
arp inside wutao 0013.d47d.0c36
arp inside office-teacher 0090.9626.7da7
arp inside yangjin 00e0.4d01.6b1b
arp inside wangyuguo 00e0.4c21.471d
arp inside wangsishen 0015.c50f.92a5
arp inside yangliu 0015.f299.7f6c
arp inside jiling 00e0.4cc1.2a34
arp inside hujian 0011.252f.8613
arp inside ibm220 0002.556d.0037
arp inside jiachangjing 00e0.4d01.6b30
arp inside tanjun 0013.7222.5fe5
arp inside wangzhili 000d.6004.c197
arp inside lixiaoliang 0014.782f.b989
arp inside liuyongjun-ibm 0010.c6de.2686
arp inside lulianying 0016.3563.db1b
arp inside liuyongjun 0000.e25a.8580
arp inside lixuesong 0017.3152.8e78
arp inside chengxiaojie 0016.3564.8a6b
arp inside xingzhonghe 00e0.4c60.a8da
arp inside dhcp 0014.5e2b.77b5
arp inside zhangyi 0013.7222.4819
arp inside lixuesong-dell 0018.8ba2.d1c5
arp inside machi 000a.e6b5.0600
arp inside 10.64.64.18 0015.c510.12d4
****************************************************
arp timeout 14400
global (outside) 1 interface
nat (inside) 0 access-list inside_nat0_outbound
nat (inside) 1 10.64.64.0 255.255.240.0
nat (dmz) 0 access-list dmz_nat0_outbound
static (inside,outside) tcp interface 1503 chufw 1503 netmask 255.255.255.255
static (inside,outside) tcp interface h323 chufw h323 netmask 255.255.255.255
access-group outside_access_in in interface outside
应用acl到inside端口
****************************************************
access-group inside_access_in in interface inside
****************************************************
route outside 0.0.0.0 0.0.0.0 X.X.76.25 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00
timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00
timeout uauth 0:05:00 absolute
group-policy caiwu internal
group-policy caiwu attributes
dns-server value 219.150.32.132
vpn-tunnel-protocol IPSec
split-tunnel-policy tunnelspecified
split-tunnel-network-list value caiwu_splitTunnelAcl
group-policy remote internal
group-policy remote attributes
dns-server value 219.150.32.132
vpn-tunnel-protocol IPSec
split-tunnel-policy tunnelspecified
split-tunnel-network-list value remote_splitTunnelAcl
username chufw password hs6C0g7Y0Zza/dVN encrypted privilege 15
username chufw attributes
vpn-group-policy remote
vpn-framed-ip-address 1.1.1.111 255.255.255.0
http server enable
http chufw 255.255.255.255 inside
http 219.148.242.228 255.255.255.255 outside
http 219.148.242.227 255.255.255.255 outside
http 1.1.1.111 255.255.255.255 outside
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-SHA
crypto dynamic-map outside_dyn_map 40 set transform-set ESP-3DES-SHA
crypto map outside_map 20 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map interface outside
crypto isakmp enable outside
crypto isakmp policy 10
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
crypto isakmp policy 65535
authentication pre-share
encryption 3des
hash sha
group 2
lifetime 86400
crypto isakmp nat-traversal 20
tunnel-group remote type ipsec-ra
tunnel-group remote general-attributes
address-pool remote
default-group-policy remote
tunnel-group remote ipsec-attributes
pre-shared-key *
tunnel-group caiwu type ipsec-ra
tunnel-group caiwu general-attributes
address-pool remote
default-group-policy caiwu
tunnel-group caiwu ipsec-attributes
pre-shared-key *
telnet chufw 255.255.255.255 inside
telnet timeout 5
ssh 0.0.0.0 0.0.0.0 outside
ssh timeout 5
console timeout 0
!
class-map inspection_default
match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
parameters
message-length maximum 512
policy-map global_policy
class inspection_default
inspect dns preset_dns_map
inspect ftp
inspect h323 h225
inspect h323 ras
inspect netbios
inspect rsh
inspect rtsp
inspect skinny
inspect esmtp
inspect sqlnet
inspect sunrpc
inspect tftp
inspect sip
inspect xdmcp
!
service-policy global_policy global
ntp server 207.46.130.100 source outside
tftp-server inside chufw pix
prompt hostname context
Cryptochecksum:c02e836587f08fa6ce4699df28408774
: end
pix515e#

使用Telnet进行远程系统管理（Using Telnet for Remote System Management）
IDS系统日志信息（IDS Syslog Messages）
使用DHCP（Using DHCP）
使用SNMP（Using SNMP）
使用SSH（Using SSH）
一、使用Telnet进行远程系统管理（Using Telnet for Remote System Management）
在内部和第三接口上可经由Telnet访问控制台。第三接口是与PIX防火墙中第三个可用插槽相连的网络。您可用show nameif命令浏览第三接口。列表从上往下的第三项是第三接口。
串行控制台让单一用户配置PIX防火墙，但很多情况下这对有多位管理员的站点来说不太方便。PIX防火墙允许您从任意内部接口上的主机经由Telnet访问串行控制台。配置了IPSec后，您就可使用Telnet从外部接口远程管理PIX防火墙的控制台。本部分包括以下内容：
? 配置Telnet控制台访问（Configuring Telnet Console Access）
? 测试Telnet访问（Testing Telnet Access）
? 保护外部接口上的Telnet连接（Securing a Telnet Connection on the Outside Interface）
? Trace Channel特性（Trace Channel Feature）

(一)、配置Telnet控制台访问（Configuring Telnet Console Access）
按照以下步骤来配置Telnet控制台访问：
步骤1
使用PIX防火墙telnet命令。例如，如想让一台位于内部接口之上、 地址为192.168.1.2的主机访问PIX防火墙，就输入以下命令。
telnet 192.168.1.2 255.255.255.255 inside
如果设置了IPSec，您即可让位于外部接口上的主机访问PIX防火墙控制台。具体信息请参见"保护外部接口上的Telnet连接（Securinga Telnet Connection on the Outside Interface）"部分。使用如下命令。telnet 209.165.200.225 225.255.225.224 outside
步骤2
如需要，可对PIX防火墙在断开一个Telnet会话前，该会话可闲置的时间长度进行设置。默认值5分钟对大多数情况来说过短，需予以延
长直至完成所有生产前测试和纠错。按下例所示设置较长的闲置时间。telnet timeout 15;
步骤3
如果您想用认证服务器来保护到控制台的访问，您可使用aaa authentication telnet console命令，它需要您在验证服务器上有一个用户名和口令。当您访问控制台时，PIX防火墙提示您提供这些登录条件。如果验证服务器离线，您仍可使用用户名pix和由enable password命令设置的口令访问控制台。
步骤4 用write memory命令保存配置中的命令
　(二)、测试Telnet访问（Testing Telnet Access） 　执行以下步骤来测试Telnet访问：
步骤1
从主机启动一个到PIX防火墙接口IP地址的Telnet会话。如果您正使用Windows 95或Windows NT，点击Start>Run来启动Telnet会话。例如，
如果内部接口IP地址是192.168.1.1，输入以下命令。telnet 192.168.1.1

步骤2
PIX防火墙提示您输入口令：
PIX passwd:
输入cisco，然后按Enter键。您即登录到PIX防火墙上了。
默认口令为cisco，您可用passwd命令来更改它。
您可在Telnet控制台上输入任意您可从串行控制台上设置的命令，但如果您重启PIX防火墙，您将需在其重启动后登录PIX防火墙。
一些Telnet应用，如Windows 95或Windows NT Telnet会话可能不支持通过箭头键使用的PIX防火墙命令历史记录特性。然而，您可按Ctrl-P来获取最近输入的命令。
步骤3
一旦您建立了Telnet访问，您可能想在纠错时浏览ping（探查）信息。您可用debug icmp trace命令浏览来自Telnet会话的ping信息。Trace Channel特性也对debug的显示有影响，这将在"Trace Channel特性（Trace Channel Feature）"中详述。
成功的ping信息如下：
Outbound ICMP echo request (len 32 id 1 seq 512) 209.165.201.2>209.165.201.1
Inbound ICMP echo reply (len 32 id 1 seq 256) 209.165.201.1>209.165.201.23
步骤4
此外，您可使用Telnet控制台会话来浏览系统日志信息：
a. 用logging monitor 7命令启动信息显示。"7"将使所有系统日志级别均得以显示。如果您正在生产模式下使用PIX防火墙，您可能希望使用logging buffered 7命令唇?信息存储在您可用show logging命令浏览的缓存中，还可用clear logging命令清理缓存以便更方便地浏览。如想停止缓存信息，使用no logging buffered命令。
您也可将数目从7降至较小值，如3，以限制所显示的信息数。b. 如果您输入logging monitor命令，然后输入terminal monitor命令来使信息在您的Telnet会话中显示。如想禁止信息显示，使用terminal no monitor命令。
例1给出了使用Telnet允许主机访问PIX防火墙控制台的命令。
例1 使用Telnet
telnet 10.1.1.11 255.255.255.255
telnet 192.168.3.0 255.255.255.0
第一个telnet命令允许单一主机，10.1.1.11用Telnet访问PIX防火墙控制台。网络掩模的最后八位字节中的数值255表明只有指定主机可访问该控制台。
第二个telnet命令允许192.168.3.0网络上的所有主机访问PIX防火墙控制台。网络掩模的最后八位字节中的数值0允许那一网络中的所有主机进行访问。然而，Telnet只允许16台主机同时访问PIX防火墙控制台。

(三)、保护外部接口上的Telnet连接 (Securing a Telnet Connection on the Outside Interface)
本部分讲述如何保护到PIX防火墙的外部接口的PIX防火墙控制台Telnet连接。它包括以下内容： ? 概述（Overview）
? 使用Cisco Secure VPN Client (Using Cisco Secure VPN Client)
? 使用Cisco VPN 3000 Client (Using Cisco VPN 3000 Client)
概述（Overview）
如果您正使用Cisco Secure Policy Manager 2.0或更高版本，本部分也适用于您。本部分的前提是假定您正使用Cisco VPN Client 3.0, Cisco Secure VPN Client 1.1或Cisco VPN 3000 Client 2.5来保护您的Telnet连接。在下一部分的举例中，PIX防火墙的外部接口的IP地址是168.20.1.5，Cisco Secure VPN Client的IP地址来自于虚拟地址池，为10.1.2.0。
有关此命令的具体信息，请参见《Cisco PIX防火墙命令参考》中telnet命令页。
您将需在您的VPN客户机上设置两个安全策略。一个用于保护您的Telnet连接，另一个保护您到内部网络的连接。
使用Cisco Secure VPN Client (Using Cisco Secure VPN Client)
本部分仅适用于您使用Cisco Secure VPN Client的情况。如想对您到PIX防火墙的外部接口的Telnet连接加密，则将以下步骤作为您PIX防火墙配置的一部分加以执行
步骤1
创建一个access-list命令语句，定义需从PIX防火墙到使用来自
本地虚拟地址池中目的地址的VPN客户机而进行保护的流量access
-list 84 permit ip host 168.20.1.5 10.1.2.0 255.255.255.0
步骤2
定义哪台主机可用Telnet访问PIX防火墙控制台：
telnet 10.1.2.0 255.255.255.0 outside
从本地池和外部接口指定VPN客户机的地址。
步骤3
在VPN客户机中，创建一个安全策略，将远程方身份识别IP地址与网关IP地址定义为相同--PIX防火墙外部接口的IP地址。在此例中，PIX防火墙的外部IP地址为168.20.1.5。
步骤4
配置VPN客户机上的其它安全策略，以与PIX防火墙的安全策略相配。
使用Cisco VPN 3000 Client (Using Cisco VPN 3000 Client)
本部分仅适用于您使用Cisco VPN 3000 Client的情况。如想对您到PIX防火墙的外部接口的Telnet连接加密，则将以下步骤作为您PIX防火墙配置的一部分加以执行。在下例中，PIX防火墙外部接口的IP地址为168.20.1.5，Cisco VPN 3000 Client的IP地址来自于虚拟地址池，为10.1.2.0。
定义哪台主机可用Telnet访问PIX防火墙。从本地池和外部接口指定VPN客户机的地址。
telnet 10.1.2.0 255.255.255.0 outside
(四)、Trace Channel特性（Trace Channel Feature）
debug packet命令将其输出送至Trace Channel。其它所有debug命令则并非如此。Trace Channel的使用改变了您在PIX防火墙控制台或Telnet会话期间浏览屏幕上输出结果的方式。
如果一个debug命令不使用Trace Channel，每个会话都独立运作，意味着任意从会话中启动的命令只出现在该会话中。在默认状态下，不使用Trace Channel的会话的输出是禁用的。
Trace Channel的位置取决于您在控制台会话的同时还运行着一个同步Telnet控制台会话，还是您只使用PIX防火墙串行控制台：
o 如果您仅使用PIX防火墙串行控制台，所有debug命令都显示在串行控制台上。
o 如果您有一个串行控制台会话和一个Telnet控制台会话同时访问控制台，那么无论您在何处输入debug命令，输出均显示在Telnet控制台会话上。
o 如果您有2个或更多Telnet控制台会话，则第一个会话是Trace Channel。如果那一会话关闭，那么串行控制台会话变成Trace Channel。随后是访问控制台的下一Telnet控制台会话成为Trace Channel。
debug 命令在所有Telnet和串行控制台会话间共享。
注意 Trace Channel特性的缺点是，如果一位管理员正使用串行控制台，另一管理员启动一个Telnet控制台会话，则串行控制台上的debug命令输出会在毫无警告的情况下停止。此外，Telnet控制台会话上的管理员将突然看到debug命令的输出，这可能是其不希望出现的局面。如果您正使用串行控制台，且未出现debug命令的输出 ，使用who命令来查看是否有Telnet控制台会话正在运行。

二、IDS系统日志信息（IDS Syslog Messages）
?PIX防火墙经由系统日志列出了单分组（原子）Cisco入侵检测系统（IDS）签字信息。所支持的信息列表请参见《Cisco PIX防火墙系统日志信息》。
　　此版本中所有签字信息不受PIX防火墙支持。IDS系统日志信息均以％PIX-4-4000nn开始，有下列格式：
　％PIX-4-4000nn IDS: sig_num sig_msg from ip_addr to ip_addr on interface int_name
例如：
　％PIX-4-400013 IDS: 2003 ICMP redirect from 10.4.1.2 to 10.2.1.1 on interface dmz
　% PIX-4-400032 IDS: 4051 UDP Snork attack from 10.1.1.1. to 192.168.1.1. on interface outside
选项：
sig_num 签字号。具体信息参见《Cisco安全入侵检测系统2.2.1用户指南》。
sig_msg 签字信息——几乎与NetRanger签字信息相同。
Ip_addr 签字适用的本地到远程地址。
Int_name 签字最初发出的接口名。
您可用以下命令确定显示哪些信息：
ip audit signature signature_number disable
将一项全局策略与一个签名相连。用于禁用某一签名或不让某一签名进行审计。
no ip audit signature signature_number
从签名处删除策略。用于重新使用某一签名。
show ip audit signature [signature_number]
显示禁用签名。
ip audit info [action [alarm] [drop] [reset]]
指定对于分类为信息签名的签名所采取的默认行动。
alarm选项表示，当发现某一分组中签名匹配，PIX防火墙就将事件报告给所有已配置的系统日志服务器。drop选项丢弃不合格的分组。reset选项丢弃不合格的分组，并且如果它是一条有效连接的一部分，则关闭该连接。默认值为alarm。如想取消事件响应，使用不带action选项的ip audit info命令。
no ip audit info
设置针对分类为信息的签名而采取的行动，调查默认行动。
show ip audit info
显示默认信息行动。
ip audit attack [action [alarm] [drop] [reset]]
指定对于攻击签名所应采取的默认行动。action选项如前所定义。 no ip audit attack
将针对攻击签名而采取的行为是默认行为。
show ip audit attack
显示默认攻击行动。审计策略（审计规则）定义了所有可应用于某一接口的签名的属性以及一系列行动。使用审计策略，用户可限制审计的流量或指定签名匹配时采取的行动。每个审计策略由一个名称识别，可针对信息或攻击签名进行定义。每个接口可有2个策略，一个用于信息签名，另一个用于攻击签名。如果定义的策略中无行动，则采取已配置的默认行动。每个策略需要一个不同名称。
ip audit name audit_name info[action [alarm] [drop] [reset]]
除被ip audit signature命令禁用或排除的信息签名之外，所有信息签名均被认为是策略的一部分。行动与前面描述的相同。
no ip audit name audit_name [info]
删除审计策略audit_name。
ip audit name audit_name attack [action [alarm] [drop] [reset]]
除被ip audit signature命令禁用或排除的攻击签名之外，所有攻击签名均被认为是策略的一部分。行动与前面描述的相同。
no ip audit name audit_name [attack]
删除审计规定audit_name。
show ip audit name [name [info|attack]]
显示所有审计策略或按名称和可能的类型显示特定策略。
ip audit interface if_name audit_name
向某一接口应用审计规定或策略（经由ip audit name命令）。
no ip audit interface [if_name]
从某一接口删除一个策略。
show ip audit interface
显示接口配置。

三、使用DHCP（Using DHCP）
　　PIX防火墙支持动态主机配置协议（DHCP）服务器和DHCP客户机。DHCP是一个协议，向互联网主机提供自动配置参数。此协议有两个组成部分：
用于从DHCP服务器向主机（DHCP客户机）提供主机特定配置参数的协议
用于向主机分配网络地址的机制
　　 DHCP服务器是向DHCP客户机提供配置参数的计算机，DHCP客户机则是使用DHCP获得网络配置参数的计算机或网络设备。
　　在PIX防火墙中实施DHCP服务器和DHCP客户机特性的主要目的是大大简化PIX防火墙单元的配置。
　　本部分包括以下内容：
DHCP客户机（DHCP Client）
DHCP服务器（DHCP Server）
　　DHCP客户机（DHCP Client）
PIX防火墙中的DHCP客户机支持经过专门设计，适用于小型办公室、家庭办公室（SOHO）环境，这些环境中使用PIX防火墙直接与支持DHCP服务器功能的DSL或电缆调制解调器相连。随着PIX防火墙上DHCP客户机特性的实施，PIX防火墙对DHCP服务器来说即可作为DHCP客户机，允许服务器用IP地址、子网掩模和可选的默认路由来配置单元的启动接口
　　不支持使用DHCP客户机特性从通用DHCP服务器获取IP地址的操作。此外，PIX防火墙DHCP客户机不支持故障转换配置。
为支持PIX防火墙中的DHCP客户机特性，进行了以下改进：
增强了ip address和show ip address命令：
- ip address if_name dhcp [setroute] [retry retry_cnt]
- ip address outside dhcp [setroute] [retry retry_cnt]
- show ip address if_name dhcp
添加了新的debug命令：
- debug dhcpc packet
- debug dhcpc detail
- debug dhcpc error
ip address dhcp命令可在指定PIX防火墙接口上启动DHCP客户机特性。可选setroute参数让PIX防火墙使用DHCP服务器返回的默认网关参数来设置默认路由。
debug dhcpc命令为启动的DHCP客户机特性提供纠错工具。
用于实施DHCP客户机的PIX防火墙命令在《Cisco PIX防火墙命令参考》的ip address命令页和debug命令页中介绍。具体信息请参见这些命令页。
注意 DHCP所需的外部接口的IP地址也可用作PAT全局地址。这样，ISP就无需向PIX防火墙分配静态IP地址了。使用带interface关键字的global命令来使PAT使用DHCP所需的外部接口IP地址。有关global命令的具体信息，请参见《Cisco PIX防火墙命令参考》中的global命令页。
启动DHCP客户机特性和设置默认路由（Enabling the DHCP Client Feature and Setting Default Route）
为在给定PIX防火墙接口上启动DHCP客户机特性并经由DHCP服务器设置默认路由，需将ip address dhcp setroute命令作为您整个PIX防火墙配置的一部分加以配置，这其中包括setroute选项。指定将在其上启动DHCP客户机的接口名。
DHCP服务器（DHCP Server）
PIX防火墙中的DHCP服务器支持经过了专门设计，适用于使用PIX 506的远程家庭或分支机构（ROBO）环境。与PIX防火墙相连的是PC客户机和其它网络设备（DHCP客户机），它们建立了不安全（未加密）或安全（使用IPSec加密）的网络连接来访问企业或公司网络。作为一个DHCP服务器，PIX防火墙通过使用DHCP向DHCP客户机提供了网络配置参数。这些配置参数为DHCP客户机提供了用于访问企业网的网络参数，以及在网络中网络服务（如DNS服务器）使用的参数。
在5.3版软件发布前，PIX防火墙DHCP服务器支持10个DHCP客户机、PIX防火墙5.3及更高版本在PIX防火墙上支持32个DHCP客户机，在其它平台上支持256个。在6.0或更高版本中，PIX防火墙DHCP服务器支持256个DHCP客户机。您不能使用C类网络掩模为256个客户机配置1个DHCP服务器。例如，如果一家公司有C类网络地址172.17.1.0，带网络掩模255.255.255.0，那么172.17.1.0（网络IP）和172.17.1.255（广播）不可能在DHCP地址池范围之内。此外，一个地址用于PIX防火墙接口。因此，如果用户使用C类网络掩模，就只能最多拥有253个DHCP客户机。如想配置256个客户机，就不能使用C类网络掩模。
注意 PIX防火墙DHCP服务器不支持BOOTP请求和故障转换配置。用于实施DHCP服务器特性的PIX防火墙命令在《Cisco PIX防火墙命令参考》的dhcp命令页和debug命令页中介绍。具体信息请参见这些命令页。

配置DHCP服务器特性（Configuring the DHCP Server Feature）
确保在启动DHCP服务器特性前，使用ip address命令来配置IP地址和inside接口的子网掩模。
按照以下步骤来在给定PIX防火墙接口上启动DHCP服务器特性。（步骤1到6为必需）。
步骤1
使用dhcpd address命令指定一个DHCP地址池。PIX防火墙将向客户机分配此池中的地址之一并在给定长度的时间内使用。默认值为inside接口。例如：
dhcp address 10.0.1.101-10.0.1.110 inside
步骤2
（可选）指定客户机将使用的DNS服务器的IP地址。您最多可指定2个DNS服务器。例如：dhcpd dns 209.165.201.2 209.165.202.129
步骤3
（可选）指定客户机将使用的WINS服务器的IP地址。您最多可指定2个WINS服务器。例如：dhcpd wins 209.165.201.5
步骤4
指定授予客户机的租用时间长度。这相当于客户机在租用到期前可使用分配给它的IP地址的时间长度（以秒为单位）。默认值为3600秒。例如：
dhcpd lease 3000
步骤5
（可选）配置客户机将使用的域名。例如：dhcpd domain example.com
步骤6
启动PIX防火墙中的DHCP端口监督程序，以接收启动接口上的DHCP客户机请求。现在您仅可在inside接口（默认值）上启动DHCP服务器特性。例如：
dhcpd enable inside

下例为上述过程的配置列表。
! set the ip address of the inside interface
ip address inside 10.0.1.2 255.255.255.0
! configure the network parameters the client will use once in the corporate network and
dhcpd address 10.0.1.101-10.0.1.110
dhcpd dns 209.165.201.2 209.165.202.129
dhcpd wins 209.165.201.5
dhcpd lease 3000
dhcpd domain example.com
! enable dhcp server daemon on the inside interface
dhcpd enable inside
下例为DHCP地址池和DNS服务器地址的配置，带启动了DHCP服务器特性的内部接口：
dhcpd address 10.0.1.100-10.0.1.108
dhcpd dns 209.165.200.227
dhcpd enable
下例为DHCP地址池的配置，使用auto_config命令来配置dns,wins和域参数： dhcpd address 10.0.1.100-10.0.1.108
dhcpd auto_config
dhcpd enable
下面是远程办公室中一个PIX防火墙上所配置的DHCP服务器和IPSec特性的部分配置范例。PIX 506单元的VPN对等设备是另一PIX防火墙，它的外部接口IP地址为209.165.200.228，作为公司网络的网关。
! configure interface ip address
ip address outside 209.165.202.129 255.255.255.0
ip address inside 172.17.1.1 255.255.255.0
! configure ipsec with corporate pix
access-list ipsec-peer permit ip 172.17.1.0 255.255.255.0 192.168.0.0 255.255.255.0
ipsec transform-set myset esp-des esp-sha-hmac
crypto map mymap 10 ipsec-isakmp
crypto map mymap 10 match address ipsec-peer
crypto map mymap 10 set transform-set myset
crypto map mymap 10 set peer 209.165.200.228
crypto map mymap interface outside
sysopt connection permit-ipsec
nat (inside) 0 access-list ipsec-peer
isakmp policy 10 authentication preshare
isakmp policy 10 encryption des
isakmp policy 10 hash sha
isakmp policy 10 group 1
isakmp policy 10 lifetime 3600
isakmp key 12345678 address 0.0.0.0 netmask 0.0.0.0
isakmp enable outside
!configure dhcp server address
dhcpd address 172.17.1.100-172.17.1.109
dhcpd dns 192.168.0.20
dhcpd wins 192.168.0.10
dhcpd lease 3000
dhcpd domain example.com
! enable dhcp server on inside interface
dhcpd enable
! use outside interface ip as PAT global address
nat (inside) 1 0 0
global (outside) 1 interface

四、使用SNMP（Using SNMP）
　　snmp_server命令使PIX防火墙可发送SNMP陷阱，以便PIX防火墙可从远程监控。
使用snmp-server host命令来指定哪些系统可接受SNMP陷阱。此部分包括下列内容：
简介（Introduction）
MIB支持（MIB Support）
SNMP使用率说明（SNMP Usage Notes）
SNMP陷阱（SNMP Traps）
编辑Cisco Syslog MIB文件（Compiling Cisco Syslog MIB Files）
使用防火墙和内存池MIB（Using the Firewall and Memory Pool MIBs）
简介（Introduction）
可用的PIX防火墙SNMP MIB-II组有系统（System）和接口（Interfaces）。
Cisco防火墙MIB和Cisco内存池MIB也可用。
所有SNMP值仅为只读（RO）
使用SNMP，您可以监控PIX防火墙上的系统事件。SNMP事件可以读取，但PIX防
火墙上的信息不能用SNMP更改。SNMP管理站可用的PIX防火墙SNMP陷阱如下所示：
? 通用陷阱
- 上链路和下链路（电缆与接口相连与否；电缆与正在工作还是与非工作状
态的接口相连）
- 冷启动
- 验证故障（公用字符串不匹配）
? 经由Cisco Syslog MIB发送的与安全相关的事件：
- 拒绝全局访问
- 故障转换系统日志信息
- 系统日志信息
使用CiscoWorks for Windows或任意其它SNMP V1、MIB-II兼容型浏览器来接收
SNMP陷阱并浏览MIB。SNMP陷阱出现于UDP端口162。
MIB支持（MIB Support）
注意 PIX防火墙不支持Cisco系统日志MIB的浏览。您可浏览MIB-II的系统和接口
组。MIB的浏览与发送陷阱不同。浏览意味着从管理站执行MIB树的snmpget或
snmpwalk命令以确定数值。
PIX防火墙平台中的系统OID
PIX平台
系统 OID
PIX 506
.1.3.6.1.4.1.9.1.389
PIX 515
.1.3.6.1.4.1.9.1.390
PIX 520
.1.3.6.1.4.1.9.1.391
PIX 525
.1.3.6.1.4.1.9.1.392
PIX 535
.1.3.6.1.4.1.9.1.393
其它
.1.3.6.1.4.1.9.1.227 (初始PIX 防火墙OID)

接收请求和发送系统日志陷阱 按照以下步骤来接收请求并从PIX防火墙向SNMP管理站发送陷阱：
步骤1
用snmp-server host命令确定SNMP管理站的IP地址。
步骤2
按需设置snmp-server的location、contact和community口令选项。如果您只需发送冷启动、上链路、下链路通用陷阱，则无需进一步配置。如果您仅想接收SNMP请求，则无需进一步配置。
步骤3
添加一条snmp-server enable traps命令语句?/td>
步骤4
用logging history命令设置记录级别：
logging history debugging
我们建议您在初始设