IOS比我們相像中的要“堅(jiān)強(qiáng)”

思科IOS自帶了很多功能，用以加強(qiáng)自身的安全性，但很多時(shí)候我們都忽略了，沒(méi)有正確使用。IOS比我們想象中的堅(jiān)強(qiáng)，合理使用這些安全特性，可以增強(qiáng)網(wǎng)絡(luò)的安全。

1、限制設(shè)備的密碼長(zhǎng)度，一般在默認(rèn)情況下，我們都沒(méi)有設(shè)置。具體設(shè)置如下：
WYLZ-R1(config)#security passwords min-length 7
在這里設(shè)備密碼的最小長(zhǎng)度是7，然后配置一個(gè)5位長(zhǎng)度的密碼時(shí)，如下所示：
WYLZ-R1(config)#enable secret cisco
% Invalid Password length - must contain 7 to 25 characters. Password configuration failed
此時(shí)提示，無(wú)效的密碼長(zhǎng)度，密碼長(zhǎng)度在7到25個(gè)字符之間。

2、密碼加密策略，默認(rèn)情況下telnet密碼和enable password都是明文顯示的，通過(guò)show run就完全可以看到，使用密碼策略可以將密碼加密以密文的形式顯示。具體設(shè)置如下：
WYLZ-R1(config)#do sh run | b line
line con 0
 exec-timeout 0 0
 logging synchronous
line aux 0
line vty 0 4
 password cisco123      //以明文顯示了telnet密碼
 login
 length 0
 transport input none
啟用密碼加密策略
WYLZ-R1(config)#service password-encryption
WYLZ-R1(config)#do sh run | b line
line con 0
 exec-timeout 0 0
 logging synchronous
line aux 0
line vty 0 4
 password 7 02050D4808095E731F       //密碼已經(jīng)以密文的形式顯示了。
 login
 length 0
 transport input none
當(dāng)然了，這種形式加密的密碼是可以破解的，所以建議telnet密碼和特權(quán)密碼不要相同。

3、為不同的用戶分配不同的權(quán)限，很多時(shí)候我們只設(shè)置一個(gè)telnet密碼和一個(gè)特權(quán)密碼，那么任何人登錄都具有完全控制權(quán)限。
WYLZ-R1(config)#privilege exec level 2 show interface e0/0
WYLZ-R1(config)#privilege exec level 2 show ip int bri
WYLZ-R1(config)#privilege exec level 2 show cdp nei
WYLZ-R1(config)#privilege exec level 2 ping
WYLZ-R1(config)#privilege exec level 2 traceroute
上面是設(shè)置用戶登錄后可以執(zhí)行的命令
WYLZ-R1(config)#username user01 privilege 2 password cisco123
將用戶與權(quán)限級(jí)別進(jìn)行關(guān)聯(lián)。
測(cè)試后如下所示：
WYLZ-R2#telnet 172.16.12.1
Trying 172.16.12.1 ... Open

User Access Verification

Username: user01
Password:
WYLZ-R1#sh run        //不可以執(zhí)行show run命令，沒(méi)有權(quán)限。
            ^
% Invalid input detected at '^' marker.

WYLZ-R1#conf t         //不可以執(zhí)行conf t命令，同樣沒(méi)有權(quán)限。
           ^
% Invalid input detected at '^' marker.

WYLZ-R1#sh ip int bri
Interface                  IP-Address      OK? Method Status                Protocol
Ethernet0/0                172.16.12.1     YES manual up                    up     
Ethernet0/1                unassigned      YES NVRAM  administratively down down   
Ethernet0/2                unassigned      YES NVRAM  administratively down down   
Ethernet0/3                unassigned      YES NVRAM  administratively down down   
Ethernet1/0                unassigned      YES NVRAM  administratively down down   
Ethernet1/1                unassigned      YES NVRAM  administratively down down   
Ethernet1/2                unassigned      YES NVRAM  administratively down down   
Ethernet1/3                unassigned      YES NVRAM  administratively down down   
Serial2/0                  unassigned      YES NVRAM  administratively down down   
Serial2/1                  unassigned      YES NVRAM  administratively down down   
Serial2/2                  unassigned      YES NVRAM  administratively down down   
精確細(xì)致地為不同用戶賦予不同的權(quán)限，可以有效地保護(hù)網(wǎng)絡(luò)的安全。