【IT168 专稿】相信每个公司不管他的规模是大是小，员工人数是多是少都会拥有路由交换设备，毕竟路由器是连接内部网络和外部网络的桥梁，所以他的角色是非常重要的。普通没有经过设置的路由器安全没有保障，可以令黑客病毒非常容易的从外部网络进入内网，而路由器密码一但被偷窃篡改配置后全体员工都将无法访问网络。所以说要保证路由设备的安全我们首先要加强他的“入口”保护，所谓路由设备“入口”就是指登录路由器时的验证过程。今天我们就拿华为3Com公司的MSR2020为例，为大家介绍如何更好的配置路由设备登录权限验证参数。

    一、MSR2020路由器简介：
    为了保证技术的先进性，笔者选择的举例设备为华为3Com公司最新推出的针对中小企业的MSR2020路由器。新一代MSR系列路由器可以为不同规模的企业用户在单一的平台上构建集成数据、话音和IP电话的网络。单一的平台提供了更高的数据和话音综合密度，使得企业IP话音应用拓展到一个新阶段，同时简化了网络运营管理，降低了网络维护成本。该产品具备2个百兆接口，支持扩展模块插槽数为4个，支持VPN技术和QOS服务质量，内置了防火墙功能，DRAM内存为384MB，包转发绿是130到150KPS，核心处理器是RISC新一代处理器400MHz。最大的特点是该设备采用CF卡来保存配置信息，还有一个USB接口方便用户使用。

    二、安全从入口开始之密码验证：
    了解了MSR2020设备的基本信息后我们就开始学习如何加强他的安全认证了，一般来说我们都会给路由器开放TELNET服务功能，在网络中的任何一台计算机都可以通过telnet ip地址来实现管理路由器的目的，实际使用中telnet的密码验证也是非常重要的，他是防范病毒与黑客入侵的主要手段。下面我们就学习下如何在MSR2020路由器上开启telnet服务并设置相应权限的密码。

    第一步：为MSR2020接口设置IP地址信息，以后telnet登录都将针对这些IP地址进行管理。命令为ip address，我们给ETHERNET0/0接口设置IP地址为192.168.1.254。
    第二步：通过CONSOLE线进入到MSR路由器管理界面，然后输入system回车进入系统管理视图。
    第三步：默认情况下MSR路由器是没有开启telnet服务的，我们只能通过CONSOLE线进行管理，我们通过telnet server enable命令开启TELNET服务。（如图1）

    第四步：接下来为本机系统设置一个IP地址，当然需要能够访问到192.168.1.254接口，例如IP地址是192.168.1.1，子网掩码是255.255.255.0，网关写192.168.1.254。
    小提示：仅仅开启MSR路由设备上的telnet服务是远远不够的，这时我们通过telnet连接MSR路由器就会出现“login password has not been set”的提示。
    第五步：我们还需要为telnet服务设置一个密码验证口令，这就是加强路由设备安全的关键，进入系统视图输入如下命令。user-interface vty 0 4，回车后进入到vty视图。
    第六步：这步是关键，通过auth password命令来切换MSR路由器telnet的验证服务，如果设置为none则登录不需要密码，password参数要求通过telnet登录路由器时输入登录密码，而scheme参数则是要求登录时使用AAA验证。（如图2）

    第七步：接下来使用set authentication password cipher 111111，为路由器telnet设置一个111111的密码，cipher代表密码密文显示。
    第八步：但是设置的这个111111密码到底具备什么权限呢？总不能设置的任何密码都可以轻松的管理路由器吧，很多时候我们需要建立几个低权限密码，因此我们通过user privilege level 0设置其对应0级（最低级）权限。（如图3）

    小提示：一般为了提高设备的安全性我们都会给予telnet登录密码一个很小的权限，而通过设置super密码来提高相应的权限。

    第九步：这样设置后使用111111密码登录的使用者权限很低，我们需要设备添加权限1，2，3对应的密码。使用命令为“super password level 3|2|1 cipher 密码信息”，当然一般我们都是直接设置级别3的super帐户，而不用为1和2两个级别设置密码。例如笔者为super level 3级别的权限设置了222222密码。
    第十步：我们再在客户机上通过telnet 192.168.1.254命令访问MSR设备时就会出现要求输入password密码信息的提示了，我们输入111111进行登录。
    第十一步：不过由于111111密码对应的权限很低，是零级别的，所以可支持的命令很少，连系统视图都无法进入。（如图4）

    第十二步：这时就体现出super密码的用途了，我们输入super后回车，然后输入222222这个level 3权限验证密码，我们当前使用者就具备了level 3权限，可以进行各种设置。

    小结——华为路由交换设备的密码设置方法大同小异，上文主要介绍基于密码验证的登录方式，这种方式在以前的CISCO设备中广泛应用。可以通过不同级的密码达到安全防范的作用，不过这种仅仅基于密码的登录验证一方面降低了破解的难度，黑客只需要暴力破解密码一个参数就可以实现入侵的目的，另外在实际管理特别是多管理员多用户的情况下不太方便权限的划分和对设备登录以及配置修改信息的监控。为了解决这些问题我们应该在条件容许的情况下使用基于AAA的登录验证模式。