等保2.0对机房要求，等保交换机配置要求三级

大多数网络配置，尤其是级别保险和再保险的基本要求是相同的。主要区别在于再保险网络不允许DHCP 和NAT 转换。在再保险网络中，设备无法获得基于IP的网络。必须在接口或全局设置地址、静态IP，并设置“端口+IP+MAC”。以下是一些常见的网络配置，供参考。下面我们以华为设备为例。

1. 配置控制台用户界面

设置控制台用户界面的用户优先级、验证方式和验证密码。

[华为] 用户界面控制台0

[Huawei-ui-console0] 用户权限级别15

[Huawei-ui-console0]认证方式密码

[Huawei-ui-console0]设置认证密码加密

[Huawei-ui-console0] 退出

您还可以将认证方式设置为AAA认证。

用户界面控制台0

认证方式aaa

停止

啊

local-user 用户名密码irreversible-cipher 密码设置本地用户名和密码。注意：配置的密码长度不能超过16个字符。

local-user user-name service-type 在“终端”中，设置本地用户的访问类型为控制台用户。

停止

2. 配置VTY 用户界面（示例如下）。

设置VTY用户界面的最大数量为8个，以限制呼入和呼出。要限制特定IP地址或地址范围的用户登录您的设备，您必须设置设备属性和用户优先级，并设置验证。 VTY 用户界面方法和验证、密码。

配置VTY用户界面最大数量[华为] user-interfaceminimum-vty 8

配置VTY用户界面的呼入呼出限制类型

[华为] ACL2000

[Huawei-acl-basic-2000]规则拒绝源10.1.1.1 0

[Huawei-acl-basic-2000] 规则允许来源任意

[Huawei-acl-basic-2000] 已结束

[华为] 用户界面vty 0 7

[Huawei-ui-vty0-7] ACL 2000入方向

配置VTY用户界面的终端属性

[Huawei-ui-vty0-7]外壳

[Huawei-ui-vty0-7]空闲超时30

[Huawei-ui-vty0-7] 屏幕长度30

[Huawei-ui-vty0-7]history-command max-size 20

设置VTY 用户界面的用户优先级

[Huawei-ui-vty0-7]用户权限级别2

设置VTY用户界面的用户认证方式为密码认证。

[Huawei-ui-vty0-7]认证方式密码

[Huawei-ui-vty0-7]设置认证密码加密

请输入您的密码(8-128):

确认密码：

[Huawei-ui-vty0-7]结束

3. 配置用户通过SSH方式登录设备。

sysname SSH 服务器#acl 编号2001 规则5 允许源10.137.217.10 0 规则10 允许源10.137.217.20 0 规则15 拒绝源10.137.217.30 0# rsa 对等公钥rsakey001 公钥代码开始30820107 028201 00DD89 041 5E30AA97 6F384B5D B366A704 8C0E7906 EC6B088B B9567D75 914B5B4EA7B2E519 38D1184B 863A38BA 7E0F0DBE 5C5AE4CA 55B192B5 31AC48B0 7D21E362E3F2A58C 04C443CF 51CF5113 6 B5B9E81 2AB1B712 50EB24A4 AE5083A1 DB18ECE2395C9BB8 06E8F00B E24FB516 95878440 3B617F8A AAB1F8C6 DE8C3CF0 9E4D237D1C17BF4A AF09C474 C0 83AF17 CD3 07533 96B32232 C 57FF0B1 99197102 F1033B81AA6D4744 520F2368 5FAF7204 BA4B6E61 5EF22414 E64E2A33 1EEB7F18 8D980596DBFD300C 947A5ABA 8 79DC4F8 4 8B76951 3C35CD B5 2B29 1702 B77693F7 9910EE5287F25297 7F985E5F 186C9493 F267804E 7F5F9D52 87350A0A 4F49881B F6AB7C1B 020125 结束公钥代码结束对等公钥#aaa 本地用户client001 密码不可逆加密%@%@*~Br';[g6Pv5Zf$~{hY+N! `{ $[Y{ ; 102P )B ,EBz\1FN!c+%@%@ 本地用户client001 权限级别3 本地用户client001 服务类型ssh 本地用户client002 密码不可逆加密%@%@HW=5%Mr ;2)/RX$FnU1HLO%-TBMp4wn% ;~ \#%iAut}_~O%0L%@%@ 本地用户client002 权限级别3 本地用户client002 服务类型ssh# ssh user client002 分配rsa-key rsakey001 ssh user client002 身份验证类型rsa stelnet server enable#user-interface vty 0 4 acl 2001 接收认证方式aaa 协议接收ssh4. 报警管理设置

配置SNMPv3用户和网管主机snmp-agent

snmp-agent sys-info 版本v3

snmp-agent mib-view linkdown 包括linkDown

snmp代理组v3华为隐私声明查看链接

snmp-agent usm-user v3 用户认证方式md5

snmp-agent usm-user v3 用户隐私模式aes128

snmp-agent 目标主机trap-参数名称参数v3 安全名称华为隐私

snmp-agent 目标主机trap 主机名nms 地址10.1.1.1 udp-port 162 trap 参数名称参数

snmp-agent 陷阱启用功能名称IFNET 陷阱名称linkDown

延迟抑制使能可延迟报告警报

5、配置接口安全和基于VLAN的MAC地址学**限制

vlan batch 100 200 接口Ethernet2/0/1 端口链路类型trunk port trunkallow-pass vlan 100 端口安全启用端口安全保护操作保护端口安全mac-address 粘性端口安全max-mac-num 4vlan 200 mac -limit max 500# 接口Ethernet2/0/2 端口链路类型Trunk 端口Trunk 允许路径VLAN 100 200 接口Ethernet2/0/3 端口链路类型Trunk 端口Trunk 允许路径VLAN 2006.ACL 设置

应用高级ACL配置流分类示例

时间范围satime 08:00 到17:30working-day#vlan 批处理10 20 30 100 #acl 编号3002 规则5 拒绝ip 源10.164.2.0 0.0.0.255 目标10.164.9.9 0 时间范围satimeacl 编号3003 规则5 拒绝ip 从10.164。 3.0 0.0.0.255 目的地10.164.9.9 0 时间范围satime 流分类C_MARKET 运算符或IF 匹配ACL 3002 流分类C_RD 运算符或IF 匹配ACL 3003 流行为rdinterface v lanif10 IP 地址10.164.1.1 255.255.255.0 interface Vlanif20 IP 地址10.164 .2.1 255.255.255.0 接口Vlanif30 IP 地址10.164.3.1 255.255.255.0 接口Vlanif100 IP 地址10.164.9。 1 255 .255.255.0 接口Ethernet2/0/0端口链路类型接入端口默认vlan 10接口Ethernet2/0/1端口链路类型接入端口默认vlan 20流量策略p_marketboundinterface 以太网2/0/2端口链路类型接入端口默认vlan 30 流策略p_rd 入接口Ethernet2/0/3 port link-type access port default vlan 100 应用二层ACL进行流分类配置示例7. 应用二层ACL进行流分类配置示例

ACL number 4000 Rule 5拒绝destination-mac 0260-e207-0002 source-mac 00e0-f201-0101#流量分类器tc1运算符或if-match acl 4000#流量行为tb1拒绝#流量策略tp1分类器tc1行为tb1#接口GigabitEthernet2/0/0 流量策略tp1 Inbound 8. 配置攻击防范

anti- Attack Fragment car cir 15000 启用畸形包攻击防范功能，避免畸形包攻击。 anti- Attack tcp-syn car cir 15000 开启防分片包攻击功能，避免分片包攻击。 anti- Attack icmp-flood car cir 15000 启用防洪泛攻击功能，避免洪泛攻击。在接口Ethernet2/0/0上配置流量抑制。单播抑制报文12600 报文模式抑制未知单播报文组播抑制报文25200 报文模式抑制组播报文广播抑制报文12600 广播报文采用报文模式流量抑制9. ARP 安全综合特性设置

arp-missspeed-limitsource-ipmaximum20 arp Learning strict 配置ARP 表项的严格学**功能arp-missspeed-limitsource-ip10.3.3.1maximum40 配置基于源IP 地址的ARP Miss 消息速率限制arpspeed -limit source-ip 10.2.2.1 up to 10 设置基于源IP地址的ARP速率限制arp。 speed-limit source-mac 0001-0001-0001 最多10 设置基于源MAC 地址的ARP 速率限制arp。 checkfixed-macenable ARP表项固定功能设置10.本地镜像端口设置

observ-port InterfaceEthernet2/0/2 //设置本地监控端口

interfaceEthernet2/0/0 Mirror to Observ-port inside //将Ethernet2/0/0配置为本地镜像端口，并指定在该端口的接收方向对报文进行镜像。

InterfaceEthernet2/0/1 Mirror to Monitor port receive //配置Ethernet2/0/1为本地镜像端口，并指定对该端口接收方向的报文进行镜像。