IOS-XR ICMP. Il presente documento rileva i parametri di configurazione hardening per i seguenti protocolli, su router Cisco con software IOS-XR

Transcript

1 Il presente documento rileva i parametri di configurazione hardening per i seguenti protocolli, su router Cisco con software - CDP - DNS - NTP - AAA - Console - AUX - Telnet ICMP Servizi da disabilitare configurazione di Interfaccia : ipv4 unreachables disable Disabilitazione dei messaggi ICMP di unreachable per la generica interfaccia CDP Servizi da abilitare globale: cdp di Interfaccia : cdp Abilitazione del Cisco Discovery Protocol Abilitazione del Cisco Discovery Protocol DNS domain name-server <ip_server1> domain name-server <ip_server2> domain list <domain-name> del name-server principale e di quello secondario (DNS Trusted) gestione dei domini DNS

2 NTP Clock timezone CET 1 Clock summer-time CEST recurring last sunday march 02:00 last sunday october 02:00 Impostazione del fuso orario da visualizzare (Central European Time). Impostazione dell aggiornamento periodico e automatico dell ora solare (Central European Summer Time) generica del servizio NTP ntp peer <ip-ntp-peer> server <ip_ntp_server1_xx> server <ip_ntp_server2_xx> source Loopback<number> access-group peer 1 access-group serve 2 update-calendar La configurazione NTP specificata è da applicare agli apparati che costituiscono i Transiti dei POP ipv4 access-list 1 10 permit ipv4 host <ip-ntp-peer> any 20 permit ipv4 host <ip_ntp_server1_xx> any 30 permit ipv4 host <ip_ntp_server2_xx> any 40 deny any any ipv4 access-list 2 10 permit ipv4 <subnet_lo_accesso> any 20 deny any any dei colloqui NTP verso i Server NTP e il peer. dei colloqui NTP verso l accesso. del servizio NTP sui Centri Stella (CS) e sui Transiti Internazionali ntp server <ip_ntp_server1_rm> server <ip_ntp_server2_rm> server <ip_ntp_server1_mi> server <ip_ntp_server2_mi> source Loopback<number> access-group peer 1 update-calendar per i Centri Stella e i Transiti Internazionali. Ipv4 access-list 1 10 permit ipv4 host <ip_ntp_server1_rm> any 20 permit ipv4 host <ip_ntp_server2_rm> any 30 permit ipv4 host <ip_ntp_server1_mi> any 40 permit ipv4 host <ip_ntp_server2_mi> any 50 deny any any del colloquio verso i server NTP.

3 Note: Nel caso si voglia indicare un server ntp preferito (server <ip_ntp_server1_xx> prefer) verificare che il server scelto sia effettivamente quello che garantisce il minor numero di hop per il suo raggiungimento. Sul CRS-1 peer presente nel pop occorrerà poi indicare come preferito l altro server ntp della coppia (server <ip_ntp_server2_xx> prefer), sia per motivi di prossimità geografica che per operare in bilanciamento di carico. In assenza di server NTP indicato come preferito, l algoritmo del protocollo NTP stabilisce la relazione client/server senza prendere in considerazione i costi igp e valutando tre parametri che definiscono l affidabilità e la qualità del clock: ritardo, offset e dispersione. L ACL 1 controlla il colloquio NTP con i server NTP di riferimento e, attraverso la relativa Loopback, con l apparato funzionalmente speculare (peer) nel caso dei Transiti di Outer Core. L ACL 2 controlla il colloquio NTP con gli apparati di Accesso, individuati attraverso la loro interfaccia di loopback, per i quali gli apparati di Transito del Backbone costituiscono il riferimento gerarchico per la sincronizzazione. AAA tacacs-server host <ip_server1> single-connection tacacs-server host <ip_server2> single-connection Definizione dei server TACACS primario e secondario tacacs-server key <secret_key> Definizione della chiave di autenticazione verso i server TACACS tacacs source-interface Loopback<number> Definizione dell interfaccia sorgente delle richieste di autenticazione TACACS aaa group server tacacs+ tacacs_group server <ip_server1> server <ip_server2> Definizione del tacacs_group di riferimento AAA aaa accounting exec default start-stop group tacacs_group aaa accounting commands default start-stop group tacacs_group aaa accounting system default start-stop group tacacs_group Definizione delle modalità di Accounting. aaa authorization exec default group tacacs_group none aaa authorization exec NOAUTHORIZATION none aaa authorization commands default group tacacs_group none aaa authorization commands NOAUTHORIZATION none Definizione delle modalità di authorization e della label per la gestione delle eccezioni. Se il TACACS è fuori servizio l autorizzazione non viene gestita e si può fare tutto aaa authentication login default group tacacs_group local aaa authentication login NOAUTHENTICATION tacacs_group local Definizione delle modalità di authentication e della label per la gestione delle eccezioni. Se il TACACS è fuori servizio è previsto che l autenticazione avvenga comunque in locale. Definizione utenza locale aaa default-taskgroup root-system username <user_id> group root-system group cisco-support secret <password> Nel caso di irraggiungibilità dei server TACACS nel corso di un accesso già autenticato, l utente potrà operare con privilegi da root-system Definizione account per l utenza locale. Vengono assegnati privilegi da root-system e cisco-support per garantire i permessi massimi di accesso

4 Note: La porta su cui avviene di default la comunicazione TACACS è la 49. Il time out di default è di 5 secondi. I server devono essere configurati in modalità single-connection, ossia le richieste di authentication, authorization, accounting dirette al server devono avvenire tutte su un unica connessione TCP. Una eventuale secret_key definita a livello di singola istruzione ( tacacs-server host <ip_server1> key <secret_key> ) sovrascrive, per il server specificato, la chiave globale impostata mediante il comando tacacs-server key. Sono in ogni caso possibile entrambe le modalità di configurazione: o si configura la chiave mediante istruzione globale (come indicato nel template) o, in modo alternativo, la si specifica in relazione alle singole istruzioni. L interfaccia di loopback specificata è l interfaccia sorgente per le richieste di autenticazione verso i server TACACS. Lo <user id> definito deve, analogamente alle <password>, essere minimo di 8 caratteri e contenere almeno una maiuscola, un carattere numerico e un carattere speciale. Console + AUX linea di console line console timeout login response 0 authorization exec NOAUTHORIZATION authorization commands NOAUTHORIZATION login authentication NOAUTHENTICATION delle linea di Console linea aux line aux timeout login response 0 authorization exec NOAUTHORIZATION authorization commands NOAUTHORIZATION login authentication NOAUTHENTICATION delle linea AUX Note Le due line sono utilizzate per la gestione in Fuori Banda dell apparato. Le sessioni hanno un EXEC time out di 20 minuti.

5 Telnet line template telnet length 30 access-class ingress 30 transport input telnet delle linee per il trasporto delle sessioni Telnet all apparato line template telnet_1 length 30 access-class ingress 40 transport input telnet Governo del Telnet vty-pool IPCOM 5 6 line_template telnet_1 vty-pool default 0 4 line_template telnet ipv4 access-list permit ipv4 host <proxy MIB.COM> any 20 permit ipv4 <subnet_ip.com/noc> any 30 permit ipv4 <punto_punto> any 40 permit ipv4 <punto_punto> any xx deny ipv4 any any ipv4 access-list permit ipv4 <proxy IP.COM> any 20 deny ipv4 any any Definizione dei vty-pool per il controllo degli accessi in Telnet dalle diverse sorgenti consentite. Limitazione degli host che accedono da remoto via VTY in Telnet all apparato telnet vrf default ipv4 server max-servers 7 del massimo numero di sessioni Telnet contemporaneamente gestite dall apparato Note Le sessioni telnet hanno un EXEC time out di 20 minuti. Il numero di linee possibili sullo schermo (lenght) è fissato pari a 30. L ACL 30 si applica al line template telnet e consente il Telnet da : - Proxy MIB.COM : < ip address > - Subnet IP.COM/NOC : < ip address mask > - Apparati direttamente connessi (punto-punto): x.x.x.x L ACL 40 si applica al line template telnet_1 e consente il Telnet da : - Proxy IP.COM: < ip address > Il numero di sessioni Telnet che possono essere contemporaneamente supportate è fissato pari a 7