路由器交换机安全设置有哪些？
方法一： 只在管理VLAN的接口上配置，其它VLAN接口不用配置。
在入方向放置reflect
ip access-list extended infilter
permit ip any any reflect cciepass
在出方向放置evaluate
ip access-list extended outfilter
evaluate cciepass
deny ip 10。 54。48。0 0。0。0。255 any
deny ip 10。54。49。0。0。0。0。255 any
deny ip 10。54。50。0 0。0。0。255 any
deny ip 10。 5...全部
方法一： 只在管理VLAN的接口上配置，其它VLAN接口不用配置。
在入方向放置reflect
ip access-list extended infilter
permit ip any any reflect cciepass
在出方向放置evaluate
ip access-list extended outfilter
evaluate cciepass
deny ip 10。
54。48。0 0。0。0。255 any
deny ip 10。54。49。0。0。0。0。255 any
deny ip 10。54。50。0 0。0。0。255 any
deny ip 10。
54。51。0 0。0。0。255 any
permit ip any any
应用到管理接口
int vlan 63
ip access-group infilter in
ip access-group outfilter out
方法二：在管理VLAN接口上不放置任何访问列表，而是在其它VLAN接口都放。
以办公VLAN为例：
在出方向放置reflect
ip access-list extended outfilter
permit ip any any reflect cciepass
在入方向放置evaluate
ip access-list extended infilter
deny ip 10。
54。48。0 0。0。0。255 10。54。49。0 0。0。0。255
deny ip 10。54。48。0 0。0。0。255 10。54。50。0 0。0。0。255
deny ip 10。
54。48。0 0。0。0。255 10。54。51。0 0。0。0。255
deny ip 10。54。48。0 0。0。0。255 10。54。63。0 0。0。0。255
evaluate cciepass
permit ip any any
应用到办公VLAN接口：
int vlan 48
ip access-group infilter in
ip access-group outfilter out
IP欺骗得简单防护。
如过滤非公有地址访问内部网络。过滤自己内部网络地址；回环地址(127。0。0。0/8)；RFC1918私有地址；DHCP自定义地址(169。254。0。0/16)；科学文档作者测试用地址(192。
0。2。0/24)；不用的组播地址(224。0。0。0/4)；SUN公司的古老的测试地址(20。20。20。0/24;204。152。64。0/23)；全网络地址(0。0。0。0/8)。
Router(Config)# access-list 100 deny ip 192。
168。0。0 0。0。0。255 any log
Router(Config)# access-list 100 deny ip 127。0。0。0 0。255。255。255 any log
Router(Config)# access-list 100 deny ip 192。
168。0。0 0。0。255。255 any log
Router(Config)# access-list 100 deny ip 172。16。0。0 0。15。255。255 any log
Router(Config)# access-list 100 deny ip 10。
0。0。0 0。255。255。255 any log
Router(Config)# access-list 100 deny ip 169。254。0。0 0。0。255。255 any log
Router(Config)# access-list 100 deny ip 192。
0。2。0 0。0。0。255 any log
Router(Config)# access-list 100 deny ip 224。0。0。0 15。255。255。255 any
Router(Config)# access-list 100 deny ip 20。
20。20。0 0。0。0。255 any log
Router(Config)# access-list 100 deny ip 204。152。64。0 0。0。2。255 any log
Router(Config)# access-list 100 deny ip 0。
0。0。0 0。255。255。255 any log
建议采用访问列表控制流出内部网络的地址必须是属于内部网络的。如：
Router(Config)# no access-list 101
Router(Config)# access-list 101 permit ip 192。
168。0。0 0。0。0。255 any
Router(Config)# access-list 101 deny ip any any log
Router(Config)# interface eth 0/1
Router(Config-if)# description “internet Ethernet”
Router(Config-if)# ip address 192。
168。0。254 255。255。255。0
Router(Config-if)# ip access-group 101 in。收起
