سال‌ها روش رایج این بود که یک ACL با ده‌ها خط deny برای پورت‌های معروف بدافزارها روی اینترفیس WAN بگذاریم. این کار نصفه است: فهرست هیچ‌وقت کامل نمی‌شود، CPU را درگیر می‌کند و از خود روتر محافظت نمی‌کند. روش امروز سیسکو، که در راهنمای رسمی Harden Cisco IOS Devices آمده، روتر را به سه Plane تقسیم می‌کند و هر کدام را جداگانه امن می‌کند. این مطلب یک چک‌لیست عملی بر همین پایه است، با کانفیگ آماده برای روترهای ISR ، ISR 4000 و Catalyst 8000.

سه Plane روتر

۱) خاموش کردن سرویس‌های غیرضروری

هر سرویسی که روشن است و استفاده نمی‌شود، یک در باز است. روی روتر مرزی این‌ها را خاموش کنید:

no ip http server
no ip http secure-server
no ip source-route
no ip bootp server
no service pad
no service config
service tcp-keepalives-in
service tcp-keepalives-out
!
interface GigabitEthernet0/0/0
 description WAN to ISP
 no ip proxy-arp
 no ip redirects
 no ip unreachables
 no ip directed-broadcast
 no cdp enable
 no lldp transmit
 no lldp receive

اگر از WebUI روی ISR 4000 استفاده می‌کنید، به‌جای خاموش کردن کامل ip http secure-server ، دسترسی آن را با ip http access-class به شبکه مدیریت محدود کنید و HTTP ساده را خاموش نگه دارید.

۲) Management Plane

! strong local credentials (type 9)
enable algorithm-type scrypt secret N3w-Str0ng-Enable
username netadmin privilege 15 algorithm-type scrypt secret N3w-Str0ng-User
security passwords min-length 10
!
! SSH only, from management network only
ip domain name shabake.local
crypto key generate rsa modulus 2048
ip ssh version 2
ip access-list standard MGMT-NET
 permit 10.10.99.0 0.0.0.255
line vty 0 15
 transport input ssh
 access-class MGMT-NET in
 exec-timeout 10 0
 login local
login block-for 120 attempts 5 within 60
login on-failure log
!
! time, logging, SNMPv3
ntp server 10.10.99.10
service timestamps log datetime msec localtime show-timezone
logging buffered 64000 informational
logging host 10.10.99.6
snmp-server group NMS v3 priv access MGMT-NET
snmp-server user nms-user NMS v3 auth sha AuthPass123 priv aes 128 PrivPass123

توضیح کامل رمزها و AAA را در عوض کردن پسورد روتر سیسکو و محدود کردن دسترسی VTY را در تعویض پورت مدیریت روتر سیسکو آورده‌ایم. SNMP نسخه 1 و 2c را با community «public» و «private» هرگز روی روتر مرزی باز نگذارید.

۳) Control Plane

دو کار اصلی: محدود کردن ترافیکی که به CPU می‌رسد، و احراز هویت پروتکل‌های مسیریابی.

• CoPP: سیاستی که ترافیک به مقصد CPU را دسته‌بندی و محدود می‌کند؛ کانفیگ کامل را در Control Plane و حفاظت از منابع روتر ببینید.
• احراز هویت BGP و OSPF: تا کسی نتواند همسایه جعلی بسازد یا مسیر تزریق کند.
• محدودیت prefix و TTL Security: تا اشتباه ISP یا حمله، جدول مسیریابی را منفجر نکند.

router bgp 65010
 neighbor 203.0.113.1 remote-as 64500
 neighbor 203.0.113.1 password Bgp-S3cret
 neighbor 203.0.113.1 ttl-security hops 1
 address-family ipv4
  neighbor 203.0.113.1 maximum-prefix 1000000 90 warning-only
  neighbor 203.0.113.1 prefix-list FROM-ISP in
!
interface GigabitEthernet0/0/1
 ip ospf authentication message-digest
 ip ospf message-digest-key 1 md5 Ospf-S3cret

روی نسخه‌های جدید IOS XE برای OSPF به‌جای MD5 می‌توانید از احراز هویت HMAC-SHA با key chain استفاده کنید.

۴) Data Plane: ACL زیرساخت و ضد Spoofing

به‌جای فهرست بلند پورت‌های بدافزار، یک Infrastructure ACL (iACL) بنویسید که سه کار می‌کند: بسته‌های با آدرس مبدأ جعلی یا رزرو را دور می‌ریزد، دسترسی به آدرس‌های خود زیرساخت (روترها و لینک‌ها) را جز برای پروتکل‌های لازم می‌بندد، و بقیه ترافیک عبوری را به فایروال پشت روتر می‌سپارد.

ip access-list extended WAN-IN
 remark --- anti-spoofing: RFC 1918, loopback, link-local, multicast, own space ---
 deny   ip 10.0.0.0 0.255.255.255 any
 deny   ip 172.16.0.0 0.15.255.255 any
 deny   ip 192.168.0.0 0.0.255.255 any
 deny   ip 127.0.0.0 0.255.255.255 any
 deny   ip 169.254.0.0 0.0.255.255 any
 deny   ip 224.0.0.0 31.255.255.255 any
 deny   ip 198.51.100.0 0.0.0.255 any
 remark --- allow required protocols to the router itself ---
 permit tcp host 203.0.113.1 host 203.0.113.2 eq bgp
 permit tcp host 203.0.113.1 eq bgp host 203.0.113.2
 permit icmp any host 203.0.113.2 echo-reply
 permit icmp any host 203.0.113.2 ttl-exceeded
 permit icmp any host 203.0.113.2 unreachable
 remark --- protect router's own addresses ---
 deny   ip any host 203.0.113.2
 remark --- transit traffic continues to the firewall ---
 permit ip any any
!
interface GigabitEthernet0/0/0
 ip access-group WAN-IN in
 ip verify unicast source reachable-via rx

در این نمونه 198.51.100.0/24 فضای آدرس خود سازمان است؛ بسته‌ای که از اینترنت با مبدأ آدرس خود شما برسد، قطعاً جعلی است. خط آخر، uRPF در حالت strict است که بسته‌های با مبدأ غیرقابل‌برگشت را دور می‌ریزد؛ توضیح کامل حالت‌های strict و loose را در سیسکو uRPF و فهرست کامل آدرس‌های رزرو و به‌روز کردن خودکار آن‌ها را در BOGON و راه رهایی از آن ببینید.

۵) نرم‌افزار و نگهداری

• نسخه IOS یا IOS XE را روی شاخه‌ای نگه دارید که هنوز پچ امنیتی می‌گیرد و Security Advisoryهای سیسکو را در Cisco Security Advisories دنبال کنید.
• از کانفیگ به‌طور منظم بکاپ بیرونی بگیرید؛ آموزش آن را در بکاپ کانفیگ سیسکو توسط TFTP ببینید.
• تغییرات را با archive و log config ثبت کنید تا معلوم باشد چه کسی چه چیزی را کی عوض کرده است.

archive
 log config
  logging enable
  notify syslog contenttype plaintext
  hidekeys

چک‌لیست نهایی

پرسش‌های متداول

ACL با فهرست پورت‌های بدافزار روی روتر لازم است؟
به‌عنوان لایه اصلی نه. iACL ، ضد Spoofing و CoPP از خود روتر محافظت می‌کنند و سیاست پورت‌های کاربران جای‌اش در فایروال است.

این تنظیمات روی سوئیچ لایه ۳ هم کاربرد دارد؟
بیشترشان بله؛ به‌جز CoPP که روی Catalyst 9000 سیاست ثابت دارد.

ترتیب اعمال چیست؟
اول دسترسی مدیریتی (SSH ، یوزر ، ACL VTY) را درست کنید و تست کنید، بعد سرویس‌ها را خاموش کنید، بعد CoPP و iACL را در حالت مانیتور اعمال و سپس سخت کنید.

منابع رسمی

• Cisco Guide to Harden Cisco IOS Devices
• Cisco Security Advisories

مشاوره با AKA NET

برای ممیزی امنیتی و Hardening روترهای مرزی سیسکو، طراحی iACL و CoPP با آکانت (AKA NET) تماس بگیرید.