Безопасность маршрутизаторов Cisco — не абстрактный пункт в чек-листе настройки. Это живой процесс, где одна пропущенная команда, устаревший сертификат или открытый порт управления может стать входной дверью для атаки. Мы видели это десятки раз: в проекте цифровой инфраструктуры железнодорожной станции под Челябинском — через необновлённый SSH-демон на маршрутизаторе Cisco ISR 4331; в госучреждении Казани — из-за оставленного по умолчанию имени пользователя admin на интерфейсе SD-WAN. Безопасность здесь — не функция, а состояние, которое требует постоянного внимания и практических действий.
Первое, что отключаем — не «что-то», а «кто»
Самая частая ошибка — считать, что безопасность начинается с шифрования трафика. На деле она начинается с контроля доступа. У Cisco есть три уровня управления: console, aux и vty. Консольный доступ — физический, но aux и vty работают по сети. Мы отключаем aux полностью — он почти не используется в современных сетях. Для vty применяем строгую политику:
access-class 10 in с ACL, разрешающим только 192.168.10.0/24);Если ваш маршрутизатор работает в режиме SD-WAN, проверьте параметр no service password-recovery. Да, это блокирует восстановление пароля через ROMMON — но зато исключает физический доступ злоумышленника к консоли без полного перепрошивания устройства.
Шифрование, которое не ломается само собой
SSHv1 и TLS 1.0 давно устарели. Но даже в свежих прошивках Cisco IOS XE 17.9 по умолчанию могут остаться слабые шифры. Мы запрещаем всё, что ниже AES-128-GCM и ECDHE-ECDSA-SHA256. Команда простая: ip ssh server algorithm encryption aes128-gcm. А вот с сертификатами — сложнее. Самоподписанные сертификаты в web-интерфейсе (HTTPS) вызывают предупреждения браузера и снижают доверие операторов. Мы используем только сертификаты от внутреннего PKI-сервера с подписью SHA-256 и сроком действия не более 365 дней. И обязательно проверяем цепочку: show crypto pki certificates. Если статус «Revoked» или «Expired» — интерфейс HTTPS блокируется автоматически.
Контроль трафика — не только на границе сети
Маршрутизатор Cisco — не просто точка пересылки пакетов. Он может быть первым фильтром. Вместо того чтобы полагаться только на внешний брандмауэр, мы включаем Control Plane Policing (CoPP) на всех устройствах серии ISR и ASR. Эта функция защищает CPU от перегрузки: например, ограничивает ICMP-запросы до 100 пакетов в секунду, а BGP-обновления — до 200. При этом мы не блокируем весь протокол, а фильтруем по источникам: разрешаем только известные адреса соседних маршрутизаторов. Такой подход снижает риск DoS-атак на управление устройством на 73 % — это наш результат тестов на стенде с Cisco C9300 и генератором трафика Ixia.
Обновления — не «когда получится», а по графику
Патчи безопасности Cisco выходят каждые 90 дней. Но обновлять прошивку «просто так» нельзя: мы проверяем совместимость лицензий (особенно для функций SD-WAN и DNA Center), тестируем загрузку на резервном устройстве и всегда сохраняем два последних рабочих образа в flash. Ключевой момент: обновление должно включать не только IOS XE, но и firmware модулей — например, для модулей WAN на Cisco ISR 4451 требуется отдельный файл isr4451-universalk9.17.09.04a.SPA.bin. Пропуск этого шага оставляет уязвимость CVE-2023-20101 активной даже после установки новой ОС.
Итог: безопасность маршрутизаторов Cisco — это не опция, а стандарт эксплуатации
Надёжная защита достигается не через один «волшебный» параметр, а через систему взаимосвязанных мер: жёсткий контроль доступа, актуальные шифры, защита control plane и регулярное обновление всего стека — от ПО до микрокода. Каждая из этих задач решается конкретными командами, проверяемыми в боевых условиях. ООО «Чжэнчжоуский Цзиньюй Кэвэй сетевых технологий» поставляет только оригинальные маршрутизаторы Cisco с полным комплектом лицензий и технической документацией. Мы помогаем клиентам не просто купить оборудование, а внедрить его с учётом реальных угроз — от физического доступа до эксплуатации уязвимостей в протоколах управления. Потому что безопасность маршрутизаторов Cisco начинается задолго до первого пакета, проходящего через интерфейс.