45fan.com - 路饭网

搜索: 您的位置主页 > 路由器密码 > 阅读资讯:路由器记录登陆失败的尝试次数(cisco为例)

路由器记录登陆失败的尝试次数(cisco为例)

2013-10-16 19:33:27 来源:www.45fan.com 【

我们在设置思科路由器时,经常遇到被人为恶意破解的情况,即使最强壮的密码也会遭受暴力破解的攻击。暴力破解攻击的原理很简单,只是简单地尝试每一种可能的字母、数字和字符组合,直至发现正确的密码。当然,密码的字符数越多,可能的组合数也就越多,破解的难度也越高,路由器的安全性也更有保证。

简单地加长密码的字符并不是防密码猜测攻击的唯一方法,在默认情况下,Cisco IOS仅提供了3次机会登陆路由器。如果3次尝试都失败了,那么连接将被重置。不过这并不能让黑客停止密码猜测攻击,黑客会坚持不懈地再次进行3次尝试。

很多网络设备都会强制执行登陆失败率机制。通常是在预设的失败登陆次数之后,锁定系统一段时间或冻结用户的帐号,直至管理员重置该帐号。最起码也会创建一条日志消息,记录失败登陆的尝试次数。Cisco IOS也提供了多种该类功能特性。

自Cisco IOS软件版本12.3(1)之后,IOS就可以记录失败登陆的尝试次数。下例中解释了如何建立验证失败日志。

Router(config)#aaa new-model

Router(config)#aaa authentication attempts login 5

Router(config)#aaa authentication login local-policy local

Router(config)#security authentication failure rate threshold-rate log

Router(config)#

只有正确配置了AAA之后,Security authentication功能特性才能正常工作。默认情况下,Cisco IOS仅允许3次尝试登陆,可以用AAA来调整该参数,在上例中,AAA:

1、被启用了(aaa new-model);

2、将登陆尝试次数增加到了5次(IOS默认为3次);

3、创建一个被成为local-policy策略,使用本地用户名数据库来验证登陆到路由器的用户。

命令Security authentication只有一个参数threshold-rate,该参数定义了一分钟内失败的登陆尝试次数。此时将会生成一条syslog消息,threshold-rate的取值范围是2~1024,默认值为10。除了生成syslog消息,再次允许登陆尝试之前需要延时15秒。

需要注意的是,threshold-rate必须小于等于aaa authentication attempts login的设置值。否则,AAA将命令security authentication记录时间之前断开连接尝试。


本文地址:http://www.45fan.com/a/password/ciscomima.html
Tags:
编辑:路饭网
关于我们 | 联系我们 | 友情链接 | 网站地图 | Sitemap | App | 返回顶部