Правила безопасности

Для предотвращения атак на все что внутри вашей сети и на сам маршрутизатор, неплохо включить списки доступа на внешнем интерфейсе Cisco.
Вот примерный шаблон:

Список на вход:


ip access-list extended GLOBAL_ACL_IN
 deny   ip host 92.4.155.148 any log Hackers_IP
 deny   ip host 109.230.246.53 any log Hackers_IP
 deny   ip host 65.182.110.230 any log Hackers_IP
 deny   ip host 175.208.161.80 any log Hackers_IP
 deny   ip host 108.171.179.137 any log Hackers_IP
 deny   ip host 115.170.65.64 any log Hackers_IP
 deny   ip host 199.195.212.30 any log Hackers_IP
 deny   ip host 95.211.37.229 any log Hackers_IP
 deny   ip host 88.249.123.221 any log Hackers_IP
 deny   ip host 85.105.182.240 any log Hackers_IP
 deny   ip host 115.168.71.84 any log Hackers_IP
 deny   ip host 122.116.192.196 any log Hackers_IP
 deny   ip host 190.247.207.25 any log Hackers_IP
 deny   ip host 201.144.87.163 any log Hackers_IP
 deny   ip host 109.230.246.53 any log Hackers_IP
 deny   ip host 187.114.11.153 any log Hackers_IP
 deny   ip host 95.61.186.216 any log Hackers_IP
 deny   ip 10.0.0.0 0.255.255.255 any log Private_network
 deny   ip 172.16.0.0 0.15.255.255 any log Private_network
 deny   ip 192.168.0.0 0.0.255.255 any log Private_network
 deny   ip host 255.255.255.255 any log Antispoof
 deny   ip 224.0.0.0 15.255.255.255 any log Multicast_and_MBGP
 deny   ip 127.0.0.0 0.255.255.255 any log Loopback
 deny   ip 169.254.0.0 0.0.255.255 any log Link-Local
 deny   tcp any any eq telnet log
 deny   tcp any any eq 123 log
 deny   tcp any any eq domain log
 deny   tcp any any eq ftp-data log
 deny   tcp any any eq ftp log
 deny   tcp any any eq 22 log
 deny   udp any any eq 22 log
 deny   udp any any eq 23 log
 deny   udp any any eq bootps log
 deny   udp any any eq bootpc log
 deny   udp any any eq tftp log
 deny   udp any any eq 5060 log
 deny   tcp any any eq 5060 log
 deny   tcp any any eq 1720 log
 deny   udp any any eq 1720 log
 deny   tcp any any eq 3389 log
 deny   tcp any any eq 8080 log
 permit ip any any

Мы блокируем трафик на вход по портам:

Telnet

SSH

NTP

DNS

FTP

TFTP

DHCP

SIP

H323

RDP

и еще 8080 на всякий случай.

И весь трафик вот с этих IP (с них идут попытки взлома):

65.182.110.230
175.208.161.80
108.171.179.137
115.170.65.64
199.195.212.30
95.211.37.229
88.249.123.221
85.105.182.240
115.168.71.84
122.116.192.196
190.247.207.25
201.144.87.163
109.230.246.53
187.114.11.153
95.61.186.216

Да! учтите, что SSH по стандартному (22) порту работать больше не будет, переносите на другой порт!