1、在路由器上配置一個(gè)登錄帳戶
我強(qiáng)烈建議在路由器和交換機(jī)上配置一個(gè)真實(shí)的用戶名和口令帳號。這樣做，意味著你需要用戶和口令來獲得訪問權(quán)。
除此之外，我建議為用戶名使用一個(gè)秘密口令，而不僅有一個(gè)常規(guī)口令。它用MD5加密方法來加密口令，并且大大提高了安全性。舉例如下：
Router（config）#user name root secret My$Password
在配置了用戶名后，你必須啟用使用該用戶名的端口。舉例如下：
Router（config）# line con 0
Router（config-line）#login local
Router（config）#line aux 0
Router（config-line）#login local
Router（config）#line vty 0 4
Router（config-line）#login local
2、在路由器上設(shè)置一個(gè)主機(jī)名
我猜測路由器上缺省的主機(jī)名是router.你可以保留這個(gè)缺省值，路由器同樣可以正常運(yùn)行。然而，對路由器重新命名并唯一地標(biāo)識它才有意義。舉例如下：
Router（config）#hostname Router-Branch-23
除此之外，你可以在路由器上配置一個(gè)域名，這樣它就知道所處哪個(gè)DNS域中。舉例如下：
Router-Branch-23（config）#ip domain name TechRepublic.com
3、為進(jìn)入特權(quán)模式設(shè)置口令
當(dāng)談到設(shè)置進(jìn)入特權(quán)模式的口令時(shí)，許多人想到使用enablepassword命令。然而，代替使用這個(gè)命令，我強(qiáng)烈推薦使用enablesecret命令。
這個(gè)命令用MD5加密方法加密口令，所以提示符不以明文顯示。舉例如下：
Router（config）#enable secret My$Password
4、加密路由器口令
Cisco路由器缺省情況下在配置中不加密口令。然而，你可以很容易地改變這一點(diǎn)。舉例如下：
Router（config）#service password-encryption
5、禁用Web服務(wù)
Cisco路由器還在缺省情況下啟用了Web服務(wù)，它是一個(gè)安全風(fēng)險(xiǎn)。如果你不打算使用它，最好將它關(guān)閉。舉例如下：
Router（config）#no ip http server
6、配置DNS,或禁用DNS查找
讓我們討論Cisco路由器中我個(gè)人認(rèn)為的一個(gè)小毛?。喝笔∏闆r下，如果在特權(quán)模式下誤輸入了一個(gè)命令，路由器認(rèn)為你試圖Telnet到一個(gè)遠(yuǎn)程主機(jī)。然而它對你輸入的內(nèi)容卻執(zhí)行DNS查找。
如果你沒有在路由器上配置DNS,命令提示符將掛起直到DNS查找失敗。由于這個(gè)原因，我建議使用下面兩個(gè)方法中的一個(gè)。
一個(gè)選擇是禁用DNS.做法是：
Router（config）#no ip domain-lookup
或者，你可以正確地配置DNS指向一臺真實(shí)的DNS服務(wù)器。
Router（config）#ip name-server
7、配置命令別名
許多網(wǎng)絡(luò)管理員都知道在路由器上配置命令的縮寫（也就是別名）。舉例如下：
Router（config）#alias exec s sh run
這就是說你現(xiàn)在可以輸入s,而不必輸入完整的showrunning-configuration命令。
8、設(shè)置路由器時(shí)鐘，或配置NTP服務(wù)器
多數(shù)Cisco設(shè)備沒有內(nèi)部時(shí)鐘。當(dāng)它們啟動時(shí)，它們不知道時(shí)間是多少。即使你設(shè)置時(shí)間，如果你將路由器關(guān)閉或重啟，它不會保留該信息。
首先設(shè)置你的時(shí)區(qū)和夏令時(shí)。例子如下：
Router（config）#clock timezone CST-6
Router（config）#clock summer-time CDT recurring
然后，為了確保路由器的事件消息顯示正確的時(shí)間，設(shè)置路由器的時(shí)鐘，或者配置一個(gè)NTP服務(wù)器。設(shè)置時(shí)鐘的例子如下：
Router# clock set 10:54:00 Oct 5 2005
如果你已經(jīng)在網(wǎng)絡(luò)中有了一個(gè)NTP服務(wù)器（或可以訪問Internet的路由器），你可以命令路由器將之作為時(shí)間源。這是你最好的選擇，當(dāng)路由器啟動時(shí)，它將通過NTP服務(wù)器設(shè)置時(shí)鐘。舉例如下：
Router（config）# ntp server 132.163.4.101
9、不讓日志消息打擾你的配置過程
CiscoIOS中另一個(gè)我認(rèn)為的小毛病就是在我配置路由器時(shí)，控制臺界面就不斷彈出日志消息（可能是控制臺端口，AUX端口或VTY端口）。要預(yù)防這一點(diǎn)，你可以這樣做。
所以在每一條端口線路上，我使用日志同步命令。舉例如下：
Router（config）#line con 0
Router（config-line）#logging synchronous
Router（config）#line aux 0
Router（config-line）#logging synchronous
Router（config）#line vty 0 4
Router（config-line）#logging synchronous
除此之外，你可以在端口上修改這些端口的執(zhí)行超時(shí)時(shí)間。例如，我們假設(shè)你想禁用VTY線路上默認(rèn)的十分鐘超時(shí)時(shí)間。在線路配置模式下使用exec-timeout00命令，使路由器永不退出。
10、在路由器緩沖區(qū)或系統(tǒng)日志服務(wù)器中記錄系統(tǒng)消息
捕獲路由器的錯(cuò)誤和事件以及監(jiān)視控制臺是解決問題的關(guān)鍵。默認(rèn)情況下，路由器不會將緩沖的事件記錄發(fā)送到路由器內(nèi)存中。
然而，你可以配置路由器將緩沖的事件記錄發(fā)送到內(nèi)存。舉例如下：
Router（config）#logging buffered 16384
你還可以將路由器事件發(fā)送到一個(gè)系統(tǒng)日志服務(wù)器。由于該服務(wù)器處在路由器外部，就有一個(gè)附加的優(yōu)點(diǎn)：即使路由器斷電也會保留事件記錄。
