6.2 保护管理流量
CCNA安全640-554认证考试指南
如果根本没有意识到问题，修复问题更无从谈起。因此，本节会先对管理流量进行分类和描述，并指出管理流量的一些弱点。此外，本节也会介绍一些有助于保护管理流量的概念。接下来，本章会在稍后部分中介绍一些实施案例。
6.2.1 什么是管理流量，什么是管理层
在第一次拿到一台新的路由器或交换机时，需要通过一根蓝色的反转线将计算机和这台设备的控制台端口连接起来，以对其进行管理。这时首次出现管理流量这个概念。在默认情况下，连接控制台端口时，管理员不会看到任何提示连接者输入用户名或密码的信息。如果要求连接方输入用户名和密码，就等于在这台路由器或交换机的管理层添加了第一层的保护。
管理层不仅包括对系统进行配置，也包括谁可以访问这台设备，以及这名用户可以在设备上执行什么操作？管理层包括往返于Cisco路由器或交换机的消息，这些信息的作用是维护和报告这台设备当前的状态（这可以通过比如SNMP[简单网络管理协议]这类管理协议来实现）。
6.2.2 超越蓝色的反转线
使用蓝色反转线直接连接控制台端口是一种比较安全的方法。问题是，在管理位于不同位置的多台设备（包括这些设备分布在同一栋楼的不同层）时，使用控制台端口就会极不方便。常用的解决方案是给设备配置一个可以远程对其进行管理的IP地址。也正是在此时此刻，安全风险会随之升高。因为管理员是通过IP进行连接的，而这让未授权的用户也可以在远程建立连接。如果管理层足够安全的话，管理员本是可以控制与设备建立连接的人，他/她建立连接的时间，可以在设备上执行的操作，同时设备还会对其所作操作进行报告。同时，管理员也希望在自己管理的设备与自己的计算机之间发送的所有数据包都会进行加密，这样一来，即使有人在这些数据包穿越网络时捕获了这些数据包，也无法获得数据包中的内容（这些数据包中有可能包含了关于配置命令或访问密码之类的敏感信息）。
6.2.3 管理层最佳做法
在实施网络时，切记下面的最佳做法。因为实施其中任何一项，都可以提高网络管理层的安全状况。
关键
强健的密码：也就是让密码难以破解。只要使用密码，就应该使用复杂且不易猜出的密码。攻击者破解密码的方式有许多种，包括字典攻击和/或暴力破解。字典攻击会自动用一个长长的单词表（可能的密码）自动尝试用户登录；每次尝试失败时，就会自动尝试下一个单词（以此类推）。暴力破解攻击则不使用单词表，而是尝试成百上千万次各类字符的组合，以期找到匹配的密码（在尝试失败后，会自动修改猜测的字符组合；如果达到了设置的次数上限，猜测就会停止；攻击者也可以主动修改组合的字符数，以及组合中会使用的字符）。强大的密码破解起来，花费的时间比简单的密码要长得多。
用户认证与AAA：需要管理员使用用户名和密码进行认证。这就比只使用密码进行认证，而根本不知道登录的用户是谁要安全得多。要使用用户名和密码进行认证，可以使用一种称为认证、授权和审计（AAA）的方法。使用这些方式，就可以对哪些管理员可以连接到哪些设备，管理员在登录到设备上时可以执行什么操作等予以控制，AAA也可以创建审计记录来对管理员执行的操作进行记录。
基于角色的访问控制（RBAC）：并非每个管理员都需要拥有设备的全部操作权限，管理员可以通过AAA和自定义privilege level/分析器视图（parser view）来控制管理员的权限。比如，对于初级管理员，授予的许可可能就会比较有限。因此，可以将初级管理员都划分到一个组中；这些用户都会继承到这些许可。这是RBAC的一种用法。RBAC还可以创建自定义privilege level，然后再将用户账户划分到相应的级别中。无论管理员拥有多少种访问方式，都应该通过修改管理计划，在变更执行前，先对配置的变更进行批准、通信和追踪。
加密的管理协议：无论采用的是带内还是带外的管理方式，都应该对通信进行加密（比如采取SSH或HTTPS协议）。带外（OOB）管理意味着管理协议拥有一个完全独立的网络，终端用户及其流量则通过另一个不同的网络进行通信。而带内管理则是将管理协议使用的数据包与用户数据包混合在同一个网络中（这种方式没有OOB安全）。无论采取带内还是带外，如果必须采用明文管理协议（比如Telnet或HTTP），都要将其与VPN（虚拟专用网）隧道结合起来，因为VPN隧道可以对管理协议数据包的内容进行加密和保护。
日志记录：记载日志是创建审计记录的一种方式。日志记录不仅包括记录管理员所执行的修改，也包括记录路由器或交换机因出现了某种故障，或某个门限值被超过而创建的系统事件。管理员需要判断出哪些信息是最重要的，并指定所使用的日志级别。日志级别的作用是指定在日志消息中包含多少信息，同时可能还会指出某些并不严重的日志消息不需要进行记录。由于日志消息中可能会包含一些敏感信息，因此为了确保日志消息免遭到篡改或损毁，它们的存储和传输应该进行保护。要按照日志记录的需求为日志分配足够的存储空间。日志记录可以通过许多方式来完成，可以创建日志信息的设备也有很多种，包括由路由器或交换机自动创建出来并发送给系统日志服务器的消息。系统日志服务器的作用就是接收和存储网络设备创建的系统日志消息。如果使用SNMP的话，最好使用版本3，因为版本3拥有认证和加密功能。SNMP可以用来修改路由器或交换机上的信息，也可以用来从路由器或交换机上采集信息。所谓SNMP trap就是路由器或交换机创建的信息，以警告管理器或管理工作站发生了某个事件。
网络时间协议（NTP）：使用NTP同步网络设备的时钟可以将那些包含时间戳的日志消息轻松地关联起来。NTP最为理想的版本是版本3，因为NTPv3可以对时间更新进行认证。给各个设备之间的日志消息建立准确的时间顺序是很重要的，尤其是当网络中出现了违反安全策略的事件，因而管理员需要重建事件发生的顺序（以作为呈堂证供）时。
保护系统文件：要尽可能让这些文件（本地路由器和交换机文件系统中运行的启动配置文件和IOS镜像文件）无法被删除，无论是无意中被删除还是刻意删除。这可以通过本章稍后将要介绍的一些IOS内置特性来实现。
注释
虽然带外管理往往优于带内管理，但有些管理应用却更适合带内管理的方案。比如，若某个网络管理应用需要验证多个主机和子网的可达性。为了检查可达性，该应用可能需要向远程IP地址发送多条ping消息，或者检验远程主机上多个4层服务的可用性。要执行这类可达性校验，网络管理应用就需要穿越整个生产数据网发送流量。而带内管理一般是给小型网络提供的一种更加经济的解决方案。即使使用带内管理，管理流量也应该使用一个独立的子网/VLAN进行传输，而这个子网/VLAN只有少数几个人/设备可以访问。这种做法可以减少网络遭受攻击的风险。
6.2.4 密码推荐
使用密码是对外提供访问的另一种方式。不过单独使用密码，并不像要求访问者输入用户ID或登录名，同时提供该名称关联的密码那样安全。
下面是创建密码的一些指导方针。
最好将密码的最小长度设置为8位；越长越好。如果用户名和密码是存储在路由器本地的运行配置上，那么设置最小密码长度在路由器本地就可以实现，方法是在命令security passwords min-length后面输出新密码的最小密码长度，受其影响的密码包括enable secret密码、vty、AUX和console 0的线路密码。在此之前设置好的密码可以正常工作，无论其密码长度是否满足要求。
密码可以包含一切数字字母符号，最好混合使用大小写字母、符号和空格。常见的安全规则是，不要用可以在字典中找到的单词作为密码，因为这类密码很容易破解。密码最前面的空格会被忽略，但是后面的空格（包括密码中间的空格或末尾的空格），则会成为密码的一部分，而且这也不失为一种好办法。另一种不错的做法是在密码中使用一些特殊符号，或者将两个（平素并不相关的）单词拼接成一个密码。要注意，不要使用复杂到必须写在纸上才能记住的密码，因为把密码写在纸上会增加密码被破解的风险。
在理想环境下，密码应该是比较复杂的，而且也应该定期进行更换。更换密码的周期依安全策略而定。密码变更得越频繁，被破解的可能性也就越小。
从数学的角度上，攻击者最多需要尝试多少次才能猜中密码是可以计算出来的。如果只使用了一个大写字母，那么每个大写字母的命中率就是1/26。因此，如果密码的长度只有一个字符，那么猜中的几率就是261，也就是最多需要尝试26次。若密码的长度是两个字符，那么猜中的几率就是262，也就是最多需要尝试676次。如果同时使用了大写字母（26）、小写字母（26）、数字（10）和基本的特殊符号（32），那么每个字符就需要最多尝试94次。即使密码长度只有8个字符，那也是948种组合，也就是6,095,689,385,410,816种可能性。
6.2.5 使用AAA对用户进行验证
关键
未经授权的用户访问网络会给网络入侵者创造获取信息、破坏网络的机会。授权用户需要访问自己的网络资源，网络管理员也需要访问网络设备以对其进行配置和管理。AAA可以为此提供解决方案。简而言之，AAA的目的就是在授予用户任何访问权限之前，先分辨出用户的身份；一旦识别出了用户身份，AAA就会根据身份让其使用、查看或管理自己权限范围内的事物。AAA可以创建审计记录，来准确地记录用户执行的操作及其执行该操作的时间。这是AAA的精髓。用户账户既可以保存在本地数据库中也可以保存在远程设备上。若要调用本地路由器运行配置中创建的用户账户，可以使用本地数据库的方式。
1．AAA的组成
在Cisco环境中提供网络和管理访问（无论是该网络中管理网络的管理员，还是穿越该网络访问网络资源的用户）是基于一种模块化的架构来实现的，这种架构是由下列三部分构成的。
认证：认证即访问者证明自己身份的进程。网络环境提供认证的机制有很多种，包括使用用户名和密码、使用令牌卡、通过质询（challenge）和响应等。常用的做法是认证管理员向路由器控制台端口、AUX端口或vty线路发起的访问。这就和在银行类似，即交易之前，银行都会要求客户证明自己的身份。管理员可以控制用户进行认证的方式，选择的范围包括：调用路由器本地的运行配置来查询用户名、向保存有用户名和密码的外部服务器进行查询等。要指定使用的方法，需要创建一个认证“方法列表”来指定如何对用户进行认证。这个列表既可以是一个命名的方法列表，也可以是默认的方法列表。这些内容都会在本章稍后部分进行介绍。
授权：在用户或管理员通过了认证之后，需要通过授权来判断用户或管理员可以访问的资源，及可以执行的操作。对于普通用户来说，授权可以用来设置用户访问网络的时间。而对于管理员而言，授权则可以控制管理员可以查看或修改的内容。以银行为例，银行需要（在核实了客户身份后）判断一名用户是否有权提取某个数额的现金（一般是根据该账户在银行的收支情况）。管理员可以创建一个授权方法列表，以指定如何对网络中的用户进行授权。
审计：在进行了认证并（根据需要）进行了授权后，用户或管理员就可以开始访问网络了。审计的角色就是记录用户或管理员通过访问所执行的操作、访问的设备，及其访问设备的时长。这个过程称为创建审计记录。这就像银行根据客户提取的现金，将相应的取款进行记录。管理员可以创建并分配一个审计方法列表，以控制记录哪些信息，以及将记录报告发往哪里。
2．存储用户名、密码和访问规则的选择
关键
Cisco提供了多种对Cisco设备实施AAA服务的方式，其中许多方式都是使用一台中央服务器来保存用户名、密码，以及针对可以访问资源的用户制定规则。在过去几年间，与中央服务器有关的名称和访问方式可谓不胜枚举，比如，人们会称之为认证服务器、AAA服务器、ACS服务器、TACACS服务器或RADIUS服务器。这指的都是同一种功能：一台包含用户名、密码以及访问规则的服务器。路由器或交换机会充当该服务器的客户端，并向服务器发送请求消息来验证管理员的证书或需要访问本地路由器/交换机的用户。下面描述了其中一些中央服务器的类型。
Cisco Secure ACS解决方案引擎：这是一台专用服务器，其中包含了用户名、密码，以及其他有关用户可以访问的资源、用户进行访问的时间等信息。过去，该引擎是与预安装的ACS（访问控制服务器）软件一起销售的。路由器或交换机会成为该服务器的客户端。管理员可以通过配置路由器，使其在向用户或管理员提供访问权限之前，先对其进行认证。路由器会向ACS服务器发送请求消息，并让ACS服务器判断是否允许该用户或管理员继续进行访问。如果是对想要访问命令行界面的管理员进行认证，在路由器和ACS服务器之间使用的协议一般为TACACS+。如果是对终端用户进行认证，在路由器和ACS服务器之间使用的协议则一般为RADIUS。这并不是一成不变的规则，在很多情况下，由于这两个协议许多特性都很类似，因此管理员可以任选其一来使用。
Windows Server系统中的Cisco Secure ACS：这个软件包可以用来对用户和管理员进行认证。路由器或网络访问服务器（NAS）上的AAA服务会与一台外部的（运行在Microsoft Windows系统上的）Cisco Secure ACS进行通信。这是ACS的一个早期版本，但是在认证考试中仍然经常提到。
当前版本的ACS的功能：当今，实施ACS服务器最常见的方法是使用某种VMware在虚拟设备上运行。还有一种为ACS提供支持的时髦服务称为Cisco ISE（身份服务引擎），它既可以运用于物理设备，也可以运用于逻辑设备。
独立的AAA：AAA服务也可以由路由器自己来实现。通过这种方式实现的认证和授权也称为本地认证和授权。包含用户名和密码的数据库即为路由器或IOS设备的运行配置。从AAA的角度上看，该运行配置也就是路由器上的本地数据库。因此，在路由器本地创建了一个用户，那么也可以称为在路由器的本地数据库中创建了一个用户。这两种说法是同一个意思。在这个环境中，由于路由器充当自己的AAA服务器，而没有使用ACS服务器，因此它也就不需要通过TACACS+或RADIUS这种协议来与远程的ACS服务器进行通信。
关键
3．授权VPN用户
使用AAA的一种常见方式是对通过远程访问IPSec VPN来访问企业LAN的用户进行认证。
下面来看一看如何对想要通过VPN对网络进行访问的用户应用认证和授权。第一步是通过认证鉴定用户的身份，在确定了用户身份之后，可以进一步控制他们可以执行的操作。比如，若一位用户通过VPN进行连接，根据这位用户的身份，他/她有可能可以，也有可能无法访问网络中的某些部分。这类访问有时称为数据包模式（packet mode），这就像用户是在尝试通过网络发送数据包，而不是获取命令行界面的使用权限。通过拨号连接（老技术）的用户很有可能是通过PPP连接（以相同的概念）进行认证的。无论通过哪种方式，在认证用户时都需要用户提供其用户名和密码，然后根据安全规则来验证该用户有权访问的内容。如果使用远程访问控制服务器（ACS）对终端用户进行认证和授权，作者会用RADIUS协议作为路由器和AAA服务器之间的传输协议。
AAA访问控制既可以通过本地的用户名-密码数据库，也可以通过远程服务器（如ACS服务器）来实现。为给一小部分网络用户提供访问，或由于ACS服务器有可能宕机而为其提供一个备份方案，可以同时通过username命令在路由器上配置本地安全数据库。
4．路由器访问认证
要注意，如果需要对一名用户或管理员进行授权，必须先使用认证。在不能通过认证来确定一名用户的真实身份之前，是不能使用授权的。
一般来说，如果需要对一名管理员进行认证，通常也就需要授权这名管理员可以执行的操作。管理员往往都需要访问CLI。当管理员进入CLI之后，该界面就会显示出EXEC操作模式。如果希望授权路由器提供该CLI界面，这就是先使用AAA来对用户（即本例中的管理员）进行认证，然后再授权用户连接到CLI提示符（甚至将管理员连接到相应的privilege level）的一个绝佳示例。这类访问（CLI）也称为字符模式（character mode）。想想管理员在CLI界面敲进去的那些字符，这可以帮助读者记住字符模式这种说法。对于管理员而言，对其登录请求进行认证并授予其使用EXEC操作的权限是很有必要的。如果采取远程ACS服务器来对管理员进行认证和授权，作者会用TACACS+协议（作为路由器和ACS服务器之间的传输协议），因为与RADIUS相比，TACACS+的控制更加准确，而RADIUS也可以作为一种备选方案。这两种协议本书都会另起一章进行详细介绍。