cisco路由器關閉一些不必要的服務

一、Cisco發現協議

CDP是一個Cisco專用協議，運行在所有Cisco產品的第二層，用來和其他直接相連的Cisco設備共享基本的設備信息。獨立於介質和協議。

黑客再勘測攻擊中使用CDP信息，這種可能性是比較小的。因為必須在相同的廣播域才能查看CDP組播幀。所以，建議在邊界路由器上關閉CDP,或至少在連接到公共網絡的接口上關閉CDP.
缺省情況下是啟用的。全局關閉CDP,使用no cdp run命令，關閉之後，應該使用show cdp驗證CDP是否已被關閉。

二、TCP和UDP低端口服務

TCP和UDP低端口服務是運行在設備上的端口19和更低端口的服務。所有這些服務都已經過時：如日期和時間（daytime,端口13），測試連通性（echo,端口7）和生成字符串（chargen,端口19）。

下面顯示了一個打開的連接，被連接的路由器上打開了chargen服務：Router#telnet 192.168.1.254 chargen

要在路由器上關閉這些服務，使用下面的配置：Router（config）#no service tcp-small-serversRouter（config）#no service udp-small-servers

關閉了這些服務之後，用下面方法進行測試，如：Router（config）#telnet 192.168.1.254 daytime

三、Finger

Finger協議（端口79）允許網絡上的用戶獲得當前正在使用特定路由選擇設備的用戶列表，顯示的信息包括系統中運行的進程、鏈路號、連接名、閒置時間和終端位置。通過show user命令來提供的。

Finger是一個檢測誰登錄到一台主機的UNIX程序，而不用親自登錄到設備來查看。

下面顯示了一個驗證finger服務被打開和如何關閉的例子：Router#telnet 192.168.1.254 finger

（connect 192.168.1.254 finger）Router（config）#no ip fingerRouter（config）#no service finger

當對路由器執行一個finger操作時，路由器以show users命令的輸出來作為響應。要阻止響應，使用no ip finger命令，將關閉finger服務。在較老的版本中，使用no service finger命令。在較新版本中，兩個命令都適用。

四、IdentD

IP鑒別支持對某個TCP端口身份的查詢。能夠報告一個發起TCP連接的客戶端身份，以及響應該連接的主機的身份。

IdentD允許遠程設備為了識別目的查詢一個TCP端口。是一個不安全的協議，旨在幫助識別一個想要連接的設備。一個設備發送請求到Ident端口（TCP 113），目的設備用其身份信息作為響應，如主機和設備名。

如果支持IP鑒別，攻擊者就能夠連接到主機的一個TCP端口上，發布一個簡單的字符串以請求信息，得到一個返回的簡單字符串響應。

要關閉IdentD服務，使用下面的命令：Router（config）#no ip identd