1 cdp——cisco discovery protocol

  建议关闭，特别是在交换机面向用户PC机的接口关闭cdp，和router面向用户的接口关闭cdp。

否则pc机向交换机获取大量软硬件信息建立邻居关系，DOS掉了switch，而router不关，向客户方向发送动态路由信息也是不安全的。

2 tcp/udp小服务

  用于网络测试tcp的ping，（config）#service tcp-small-servers  默认关闭

测试命令：telnet 192.168.1.1 echo/daytime/chargen,可以看到回显的现象

3 ip directed broadcast直接广播

   老版本——启用     高版本 ——默认关闭

  引发dos攻击，分两种，syn同步攻击，和smurf攻击：通过恶意发起大量的icmp request占用带宽的攻击。

在接口下直接输入：（config-if）#ip directed broadcast

在router接pc口建议开启，常用于网络唤醒技术远程开机等

4 ip source routing源站路由   

  必须关闭  （config）#no ip source-route

坏处在于原跳改变下一跳，和穿越PAT发起攻击，使得PAT技术无法保护内部

这一点cisco的防火墙就比较好了，因为向这样的流量都被干掉了。其实router和ASA的应用区别在于，router本身是为了更好的转发包，而cisco的ASA大家都知道，是尽可能的干掉你所有流量，设计的理念本身就是不同的嘛

5 finger service默认就是关闭的

如果开启了这个命令（config）#service finger，攻击者telnet ip finger 可以达到在不用任何认证的情况下自动show  user的作用，可见很不安全

6 snmp

 三部分结构组成      manager——PC          agent——router      MIB——router上的路由管理信息库

 三种包类型        snmp-get：主机向router索取MIB信息

                   snmp-set：主机通过管理设置router

                   snmp-trap：router发生改变后发送trap给主机

snmp版本1和2基本配置

                    相对版本三是不安全的，config#snmp-server enable traps

                                                 snmp-server host ip

                                                 community 命名 ro/rw只读，写功能

v3：

      snmp-server view 名称 mib-3 included（mib的范围）

      snmp-server group 组名 V3 privilege read 名称 write 名称

      snmp-server user 用户名 组名 V3 authentication md5 密码1 privilege des 密码2  

      snmp-server host ip version 3 privilege 用户名

7 SSH登录

 主机名设置：hostname ssh

 配置域名  ：ip domain name pengcent.com—— 之后的密钥是从FQDN全域名中进行命名的，所以要配置域名

产生密钥   ：crypto key generate rsa modulus 1024 （默认长度是512）其中SSH V2版本中最低的密钥

             长度也要768

用户密码   :username cent privilege 15 password pengcent

本地认证和登陆协议： line vty 0 15

                     login local

                     transport input ssh

8 ntp

  PKI证书系统认证  和  syslog服务器软件都必须使用ntp的，可对全局路由器同步时间