网络管理需要考虑的问题：

1.  二层服务器做隔离：PVLAN 或者 switchport security

2.  带内管理不建议使用telnet http 应使用ssh https

3.  任何从非信任网络来的管理流量建议使用IPsec或SSL，并用ACL控制管理流量的源

4.  使用SNMP建议使用SNMPv3，因为采用了加密和验证

5.  使用AAA服务器提供的中心验证，授权和审计

6.  Syslog服务器存储管理设备的syslog的信息，建议使用ACL控制访问syslog的流量

7.  应该使用NTP同步设备时间，有助于PKI和syslog的部署，建议使用NTPv3

 

LOG信息：作用1. Log排错   2. Log分析攻击   3. 通过log对事件进行关联

LOG输出目标：  1. Console    2. VTY line   3. Buffer   4. Log server  5. SNMP server

1.  console ：no logging console

2.  logging buffer 本地储存log

3.  远程登陆如何看到log：terminal monitor

基本配置：

         （config）logging buffered 5-------0 到 5的级别都产生信息

         （config）logging on路由器默认启用/enable防火墙默认不启用

         （config）logging trap 7（默认6）----发给服务器级别0-6的信息

         （config）logging 服务器ip地址

         （config）logging bufferd 7---------本地cache，重启看不到log信息

Log服务器实验演示

 

SNMP：simple network management protocol

组成：三部分

NMS：network management station （ciscoworks 2000）硬件

Agent：路由器就相当于客户端

MIB：树状资源编录图

SNMP行为：1.GET 由Agent发起        2.Set 由Manager发起        3. Trap由Agent发起

 

Community的安全问题：两种类型：1. Read only 采用public  2. Read write 采用private

类似密码的作用，有些设备默认启用了SNMP

 

SNMP版本：

SNMPv1：版本1和2c完全不安全，没有验证没有加密，只有community的简单信息

SNMPv2c：

SNMPv3：有验证有加密，类似vpn的加密验证方式

 

版本1和2c的基本配置：

Trap配置：                                        Get/Set配置：

Snmp-server location BJ                           Snmp-server community gwro ro

Snmp-server contact pengcent(名称)                Snmp-server community gwrw rw

Snmp-server enable traps

Snmp-server host 202.100.1.1 GW

注意：版本3的实验模拟器做不了

 

SNMPv3基本配置：

Snmp-server engineID remote 管理中心地址 管理中心引擎ID————可选命令

Snmp-server engineID local 本地engineID                ————可选命令

Snmp-server view 名称 mib-2 included 路由器也有很多种 ————MIB范围cisco几十种

Snmp-server group 组名 v3 noauth/auth/priv read 名称 write 名称

Snmp-server user 用户名 组名 v3 auth md5 验证密码 priv des 加密密码

Snmp-server host 服务器地址 version 3 priv 用户名       ————trap配置

 

NTP管理PKI，SNMP，Syslog时间统一的问题

NTP基本配置：

NTP服务器端配置：

R#clock set 12：24：00 12 sep 2011

R（config）#clock timezone GMT +8

            Ntp authentication-key 1 md5 cisco（可选，用于认证）

            Ntp authenticate                  （可选，用于认证）

            Ntp trusted-key 1                 （可选，用于认证）

            Ntp master

NTP客户端配置：

R（config）#clock timezone GMT +8

            Ntp authentication-key 1 md5 cisco（可选，用于认证）

            Ntp authenticate                  （可选，用于认证）

            Ntp trusted-key 1                 （可选，用于认证）

            Ntp server ntp服务器地址 key 1

查看命令：Show ntp status