Secure 第二天作业

实验需求：

1. 需求一拓扑：

按照以上拓扑所示，在FW上配置FPM灵活包匹配技术，完成以下需求：

1）IN路由器Telnet Out路由器，并在密码输入错误后，屏蔽回显的“登录无效“通知。

设备配置：

##此处展示各设备的配置，可以粘贴文字，也可以粘贴截图##

class-map type access-control match-all deny.invalid

 match field TCP source-port eq 23

 match field IP length eq 0x47

 match start TCP payload-start offset 10 size 7 string "invalid"

class-map type stack match-all ip-tcp

 match field IP protocol eq 0x6 next TCP

policy-map type access-control fpm-tcp

 class deny.invalid

   drop

policy-map type access-control fpm-policy

 class ip-tcp

  service-policy fpm-tcp

!

interface FastEthernet0/0

 service-policy type access-control input fpm-policy

测试现象：

##此处展示实验需求的测试结果，可以粘贴文字，也可以粘贴截图##

Inside#telnet 202.100.1.1

Trying 202.100.1.1 ... Open

User Access Verification

Username: k

Password:

[Connection to 202.100.1.1 closed by foreign host]

Inside#

show policy-map type access-control control-plane

1. 需求二拓扑：

按照以上拓扑所示，在FW上配置CoPP控制层面策略，完成以下需求：

1. 限制从Out路由器抵达FW路由器的ICMP流量为2秒一个；
2. 仅允许IN路由器为源，通过Telnet和SSH网关FW路由器。

设备配置：

##此处展示各设备的配置，可以粘贴文字，也可以粘贴截图##

1） 限制从 Out 路由器抵达 FW 路由器的 ICMP 流量为 2 秒一个

ip access-list extended icmp

10 permit icmp any any

!

class-map match-all control.icmp

 match access-group name icmp

!

policy-map control.copp

class control.icmp

  police rate 1 pps

2） 仅允许 IN器为源，通过 Telnet 和 SSH 网关 FW 路由器

ip domain name lxf

crypto key generate rsa modulus 1204[李1] 

！

ip access-list extended control.telnet.ssh

 deny   tcp 10.1.1.0 0.0.0.255 any eq telnet

 deny   tcp 10.1.1.0 0.0.0.255 any eq 22

 permit tcp any any eq 22

 permit tcp any any eq telnet

!

class-map match-all control.telnet.ssh

 match access-group name control.telnet.ssh

!

policy-map control.copp

 class control.telnet.ssh

  drop

!

control-plane

 service-policy input control.copp

1. 参照需求二拓扑，在FW上配置CPPr控制层面保护，完成以下需求：

1. 限制抵达FW的Telnet网关流量的队列长度为10；
2. 过滤抵达FW去往SSH端口的流量；
3. 过滤抵达FW去往Closed-Port的流量。

设备配置：

##此处展示各设备的配置，可以粘贴文字，也可以粘贴截图##

1） 限制抵达 FW 的 Telne量的队列长度为 10!

class-map type queue-threshold match-any telnet

 match  protocol telnet

!

policy-map type queue-threshold telnet

 class telnet

   queue-limit 10

!

control-plane host

 service-policy type queue-threshold input telnet

2） 过滤抵达 FW 去往 SSH 端口的流量

3） 过滤抵达 FW 去往 Closed-Port 的流量

class-map type port-filter match-any cppr.class

 match  port tcp 22

 match  closed-ports

!

policy-map type port-filter cppr.policy

 class cppr.class

   drop

!

control-plane host

service-policy type port-filter input cppr.policy

show policy-map type queue-threshold control-plane  host

1. 参照需求二拓扑，在FW上配置MPP管理层面访问控制，完成以下需求：

1. 仅允许来自IN路由器的SSH和SNMP流量，并限制每秒20个包；
2. 指定FW直连IN路由器的接口为OOB管理接口，并仅允许SSH和SNMP流量。

设备配置：

##此处展示各设备的配置，可以粘贴文字，也可以粘贴截图##

1） 仅允许来自IN由器的 SSH 和 SNMP 流量，并限制每秒 20

ip access-list standard out.tra

 permit 10.1.1.0 0.0.0.255

 deny   any log

!

line vty 0 15

 access-class out.tra in

 login local

 transport input ssh

snmp-server community sshro ro out.tra

ip access-list extended mpp

 permit tcp 10.1.1.0 0.0.0.255 any eq 22

 permit udp 10.1.1.0 0.0.0.255 any eq snmp

!

class-map match-all mpp

 match access-group name mpp

policy-map mpp

 class mpp

  police rate 20 pps

   conform-action transmit

   exceed-action drop

control-plane host

 service-policy input mpp

2） 指定 FW 直连 IN 路由器的接口为 OOB 管理接口，并仅允许 SSH 和 SNMP 流量

!

control-plane host

 management-interface FastEthernet1/0 allow ssh snmp !

Management interface FastEthernet1/0

        Protocol        Packets processed

             ssh               31

            snmp                0

Inside#ssh -l admin 10.1.1.10

Password:

FW#

Outside#ssh - l admin 202.100.1.10

% Ambiguous command:  "ssh - l admin 202.100.1.10"

Outside#

1. 参照需求二拓扑，在Out上配置CPU/MEM通告，完成以下需求：

1. 如果60秒内，CPU利用率高于50%，则产生通告；
2. 如果10秒内，某一进程CPU利用率达到80%，则产生通告；
3. 当设备剩余处理器内存小于10MB，则产生通告；
4. 当设备I/O内存低于5M时，则产生通告。

设备配置：

##此处展示各设备的配置，可以粘贴文字，也可以粘贴截图##

1. 如果 60 秒内，CPU 利用率高于 50%，则产生通告

process cpu threshold type total rising 50 interval 60

1. 如果 10 秒 ，某一进程 CPU 利用率达到 80%，则产生通告

process cpu threshold type process rising 80 interval 10

1. 当设 剩余处理器内存小于 10MB，则产生通告

memory free low-watermark processor 10000

1. 当设I/O 内存低于 5M 时，则产生通告

memory free low-watermark IO 5000