首先，我们需要控制对交换机或路由器的非法入侵。这涉及到限制交换机或路由器的管理员访问权限，以及确保这些设备的物理安全。对于路由器而言，其安全管理可以从以下几个方面入手。
路由器实际上是一台专用的计算机，攻击者通常会采用类似于攻击其他互联网计算机的手段来攻击路由器。我们可以通过多种方式配置路由器，包括控制台端口连接、调制解调器连接、TFTP服务器、Telnet程序以及SNMP网络管理工作站。这些配置方法虽然方便，但也带来了安全风险。
针对路由器的攻击主要有两种：一种是直接获取管理权限，另一种是通过远程攻击导致路由器崩溃或性能下降。为此，我们可以采取以下措施来提高路由器的安全性：
1. 阻止不必要的数据流。通过设置访问控制列表（ACL），限制来自互联网的未知用户的访问，只允许访问特定的ip地址和端口号。
2. 加强管理和访问控制。应用强密码策略，控制远程访问和控制台访问，设置密码并限制并发连接数。
3. 关闭不必要的网络服务。禁用如bootp和dns服务等默认服务，并扫描关闭不必要的开放端口。
4. 定期审查和检查日志。利用路由器的日志功能记录被拒绝的操作，以便及时发现问题。
接下来谈谈交换机的安全管理。交换机在内部网络中扮演着关键角色，它是数据包转发的优化计算机。尽管交换机也可能遭受攻击，但其安全性往往被忽视。以下是一些交换机安全管理的措施：
1. 及时安装和测试补丁更新。
2. 使用管理访问控制系统，与路由器的管理访问控制方法相同。
3. 禁用未使用的端口，以防止攻击者利用这些端口。
4. 关闭危险的服务，如HTTP服务。
5. 使用VLAN技术来分隔网段，增强网络的安全性和数据的隔离性。
综上所述，无论是路由器还是交换机，都需要通过一系列的安全配置和管理措施来确保网络的安全。这包括限制访问权限、加强密码策略、关闭不必要的服务以及定期检查日志等。通过这些措施，我们可以有效地提高企业网络的安全性和稳定性。
路由器和交换机已经成为当今企业网络建设中不可或缺的一部分。作为网络中最重要的设备之一，其安全配置和优化非常重要。主要从以下几个方面对其进行安全管理。
通过交换机或路由器控制入侵
控制交换机或路由器的入侵。
控制交换机或路由器的管理员访问。
以及路由器和交换机的物理保护。
1.1路由器安全管理
严格来说，路由器本身就是一台肩负特殊使命的计算机。一般来说，攻击者攻击路由器的方法与攻击互联网上其他计算机的方法类似。
我们可以通过以下五种方式配置路由器。
(1)通过控制台端口连接终端或运行终端模拟软件的计算机。
(2)调制解调器可以通过aux连接，它可以通过电话线连接到远程终端或运行终端模拟软件的计算机。
(3)通过网络中的TFTP服务器。
(4)通过Telnet程序。
(5)通过snmp网络管理工作站进入网络。
以上方法可以方便的配置路由器，但同时也留下了安全隐患。一般来说，针对路由器的攻击主要分为以上两种。
(1)通过某种手段或路径获取管理权限，直接入侵系统。
(2)使用远程攻击方式，路由器崩溃或运行效率明显下降。
相对来说，前者难度更大。
因此，路由器的安全问题可以从以下几个方面来解决:
1.停止不必要的数据流
从互联网到路由器的输入数据流来自未知和不受信任的用户。这些用户需要访问企业的内部Web服务器，通过使用访问控制列表acl，他们只能访问一组特定的ip地址和端口号。并限制这些用户访问其他端口号或ip地址。
比如我们可以在路由器上启用WAN接口的扩展acl，屏蔽外部icmp报文的echo，这样可以有效防止攻击者通过相关echo内容收集路由器4的相关信息。下面的语句可以实现这个设置。
路由器(配置)#访问列表101拒绝icmp任何202.100.2.1 0 . 0 . 0 . 255回应
路由器(配置)#访问列表101允许任何任何
路由器(配置-if)#ip访问组101 in
Cisco路由器和交换机使用一种特殊的协议——Cisco发现协议cdp来发现有关相邻Cisco设备的信息。该协议安全性能较弱，因此cdp在边界路由器中是绝对禁用的，根据管理软件的要求，可能需要在内部路由器和交换机中禁用该协议。以下语句禁用该协议。
路由器(配置)#无cdp运行
路由器(配置-if)#无cdp启用
2.加强管理和访问控制。
(1)应用强密码策略。
无论是使能密码、telnet密码还是其他密码，在设置时都要尽量使用强密码策略。创建密码时，必须混合使用大小写、数字和符号，对它们进行加密，并启用服务器密码加密命令。
路由器(配置)#服务器密码加密
路由器(配置)#启用加密口令
(2)控制远程访问和控制台访问。
要严格控制对路由器vty的访问，不需要远程访问就禁止，需要就设置强密码。由于vty的数据在网络传输过程中没有加密，所以需要严格控制。
比如设置强密码，控制并发连接数，使用访问控制列表，严格控制访问地址。您可以命令exec-time 10来确保会话在超过十分钟不活动后关闭。以下语句用于实现此设置。
路由器(配置)#线路vty 0 15
路由器(配置行)#登录
路由器(配置行)#密码密码
路由器(配置行)#执行超时10
严格控制对控制台端口和AUX端口的访问，控制台端口设置高强度密码。aux端口默认打开。如果未启用关闭，实现语句如下:
路由器(配置)#线路配置0
路由器(配置线)传输输入无
路由器(配置行)#密码密码
路由器(配置)#线路辅助0
路由器(配置行)#传输输入无
路由器(配置行)#无执行
(3)关于网络配置
Cisco iOS版本增加了可以通过web管理路由器的功能。这对于不熟悉思科设置的人来说，无疑是一件方便的事情。然而，随着便捷管理的引入，安全风险也随之产生。如果启用了WEB管理模式，很容易绕过用户认证或遭遇dos攻击。所以管理员要禁止WEB配置，禁止web管理很简单，就以下语句。
路由器(配置)#无ip http服务器
3.关闭其他不必要的服务。
在已部署的路由器中，每个开放端口都与一个监听服务相关联。为了减少攻击的可能性，必须关闭不必要的默认服务，如bootb和dns服务，并且很少使用。此外，您应该扫描路由器可以打开哪些端口，并关闭不必要的端口。下面的语句可以实现这个设置。
路由器(配置)#无ip域-查找
路由器(配置)#无ip bootp服务器
路由器(配置)#无snmp服务器
路由器(配置)#无SNMP-服务器社区公共RO
路由器(配置)# no SNMP-服务器社区管理员RW
4.定期审查和检查日志。
大多数路由器都有日志功能，可以记录所有被拒绝的带有入侵企图的操作。你应该养成定期备份和检查日志的好习惯。为了安全起见，使用路由器的日志功能非常重要。cisco路由器支持以下日志。
(1)AAA log:主要收集用户的wave连接、登录、http访问权限变更等信息。这些日志通过tacacs+radius协议发送到认证服务器，并存储在本地。
(2)sn mp Trap log:将系统状态的变化发送给sn mp管理工作站。在网管工作站上启用smap trap来监控链路的扩展和补充变化。当路由器上的链路断开时，网络管理工作站可以接收链路更改陷阱信息。
(3)系统日志:根据配置记录大量的系统事件，并将这些日志发送到以下地方。
控制台端口
系统日志服务器
这里我最关心的是系统日志，默认情况下，它们被发送到控制台端口。通过控制台监控观察系统的运行情况，但这种方式信息量小，不能记录下来供以后查看。下面的语句是通过Show命令查看系统当前的运行情况。
路由器#显示配置
路由器#显示运行配置
建议使用syslog服务器，将路由器日志信息发送到Linux或windows下的syslog服务器，以便长期保存和日后查看。
1.2交换机的安全管理
交换机在内部网络中起着重要的作用，通常是整个内部网络的核心。实际上，交换机是一台为转发数据包而优化的计算机。甚至电脑也可能被攻击，比如非法获取交换机的控制权，导致网络瘫痪，另一方面还会被DOS攻击。然而，与路由器相比，交换机的安全性往往被忽视。事实上，许多为路由器定义的安全概念也适用于交换机。
1.补丁和更新
必须尽快安装和测试补丁更新。
2.使用管理访问控制系统
使用与路由器相同的方法来控制交换机的管理访问。
3.禁用未使用的端口。
为了防止攻击者访问未使用的端口，应该禁用交换机中未使用的以太网端口。
4.关闭危险的服务。
确保禁用所有未使用的服务。此外，确保http被禁用。
5.使用vlan技术
VLAN可以分隔网段，不同VLAN之间的通信必须通过网络层的路由来完成，否则即使是同一个交换机上的端口。如果它们不在vlan中，就永远无法相互通信。同时，ACL用于保护交换机和限制vlan之间的数据流，可以提供直接保护，防止内部入侵。
不容易分享。如果对你喜欢这篇文章有帮助，请喜欢或者关注。谢谢你
