《14招保护思科路由器安全的方法》由会员分享，可在线阅读，更多相关《14招保护思科路由器安全的方法（10页珍藏版）》请在金锄头文库上搜索。
1、14招保护思科路由器安全的方法在路由器是不可或缺的重要部件，没有它我们将没有办法和五彩斑斓的外部世界建立联系。因此，路由器的管理一直是网络管理员最重要的日常工作之一。本文作者结合自己的工作实践，总结了14条保护路由器、防止非法入 在路由器是不可或缺的重要部件，没有它我们将没有办法和五彩斑斓的外部世界建立联系。因此，路由器的管理一直是网络管理员最重要的日常工作之一。 本文作者结合自己的工作实践，总结了14条保护路由器、防止非法入侵的办法，您不妨一试。 路由器是网络系统的主要设备，也是网络协议交换增加认证功能，提高网络安全性 路由器的一个重要功能是路由的管理和维护，目前具有一定规模的网络都采用动态
2、的路由协议，常用的有：RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了相同路由协议和相同区域标示符的路由器加入网络后，会学习网络上的路由信息表。但此种方法可能导致网络拓扑信息泄漏，也可能由于向网络发送自己的路由信息表，扰乱网络上正常工作的路由信息表，严重时可以使整个网络瘫痪。这个问题的解决办法是对网络内的路由器之间相互交流的路由信息进行认证。当路由器配置了认证方式，就会鉴别路由信息的收发方。有两种鉴别方式，其中纯文本方式安全性低，建议使用MD5方式. 2. 路由器的物理安全防范 路由器控制端口是具有特殊权限的端口，如果攻击者物理接触路由器后，断电重启，实施密码修复流程,进而登录
3、路由器，就可以完全控制路由器。 3. 保护路由器口令 在备份的路由器配置文件中，密码即使是用加密的形式存放，密码明文仍存在被破解的可能。一旦密码泄漏，网络也就毫无安全可言。 4. 阻止察看路由器诊断信息 关闭命令如下： no service tcp-small-servers no service udp-small-servers 5. 阻止查看到路由器当前的用户列表 关闭命令为：no service finger. 6. 关闭CDP服务 在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息： 设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令： no cdp runni
4、ng或no cdp enable关闭这个服务。 7. 阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃 IP source-route是一个全局配置命令，允许路由器处理带源路由选项标记的数据流。启用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过防火墙。关闭命令如下： no ip source-route. 8. 关闭路由器广播包的转发 Sumrf D.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。应在每个端口应用no ip directed-broadcast关闭路由器广播包。 9. 管理HTTP服务 HTTP服务提
5、供Web管理接口。no ip http server可以停止HTTP服务。如果必须使用HTTP,一定要使用访问列表ip http access-class命令，严格过滤允许的IP地址，同时用ip http authentication 命令设定授权限制。在路由器是不可或缺的重要部件，没有它我们将没有办法和五彩斑斓的外部世界建立联系。因此，路由器的管理一直是网络管理员最重要的日常工作之一。本文作者结合自己的工作实践，总结了14条保护路由器、防止非法入 10. 抵御spoofing（欺骗） 类攻击 使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自外部的包。 在路由器
6、端口配置： ip access-group list in number 访问控制列表如下：access-list number deny icmp any any redirect access-list number denyip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.031.255.255.255 any access-list number deny ip host 0.0.0.0 any 注： 上述四行命令将过滤BOOTP/DHCP 应用中的部分数据包，在类似环境中使用时要有充分的认识。 11.
7、防止包嗅探 黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码，包括SNMP 通信密码，也包括路由器的登录和特权密码，这样网络管理员难以保证网络的安全性。在不可信任的网络上不要用非加密协议登录路由器。如果路由器支持加密协议，请使用SSH 或 Kerberized Telnet,或使用IPSec加密路由器所有的管理流。 12.校验数据流路径的合法性 使用RPF （reverse path forwarding）反相路径转发，由于攻击者地址是违法的，所以攻击包被丢弃，从而达到抵御spoofing 攻击的目的。RPF反相路径转发的配置命令为： ip verify uni
8、cast rpf. 注意： 首先要支持 CEF（Cisco Express Forwarding） 快速转发。 13. 防止SYN 攻击 目前，一些路由器的软件平台可以开启TCP 拦截功能，防止SYN 攻击，工作模式分拦截和监视两种，默认情况是拦截模式。（拦截模式： 路由器响应到达的SYN请求，并且代替服务器发送一个SYN-ACK报文，然后等待客户机ACK.如果收到ACK,再将原来的SYN报文发送到服务器； 监视模式：路由器允许SYN请求直接到达服务器，如果这个会话在30秒内没有建立起来，路由器就会发送一个RST,以清除这个连接。） 首先，配置访问列表，以备开启需要保护的IP地址： acces
9、s list 1-199 deny|permit tcp any destination destination-wildcard 然后，开启TCP拦截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch 14. 使用安全的SNMP管理方案 SNMP广泛应用在路由器的监控、配置方面。SNMP Version 1在穿越公网的管理应用方面，安全性低，不适合使用。利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP服务的安全
10、性能。配置命令： snmp-server community xxxxx RW xx ;xx是访问控制列表号 SNMP Version 2使用MD5数字身份鉴别方式。不同的路由器设备配置不同的数字签名密码，这是提高整体安全性能的有效手段。 总之，路由器的安全防范是网络安全的一个重要组成部分，还必须配合其他的安全防范措施，这样才能共同构筑起安全防范的整体工程。Cisco路由器上防止分布式拒绝服务攻击的一些建1、使用ipverfyunicastreverse-path网络接口命令这个功能检查每一个经过路由器的数据包。在路由器的CEF（交换（switching）。只要该路由器打开了CEF功能，所有独
11、立的网1、使用 ip verfy unicast reverse-path 网络接口命令 这个功能检查每一个经过路由器的数据包。在路由器的CEF（交换（switching）。只要该路由器打开了CEF功能，所有独立的网络接口都可以配置为其它交换（switching）模式。RPF（反向传输路径转发）属于在一个网络接口或子接口上激活的输入端功能，处理路由器接收的数据包。 在路由器上打开CEF功能是非常重要的，因为RPF必须依靠CEF.Unicast RPF包含在支持CEF的Cisco IOS 12.0及以上版本中，但不支持Cisco IOS 11.2或11.3版本。2、使用访问控制列表（ACL）过滤
12、RFC 1918中列出的所有地址 参考以下例子： interface xy ip access-group 101 in access-list 101 deny ip 10.0.0.0 0.255.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any3、参照RFC 2267,使用访问控制列表（ACL）过滤进出报文 参考以下例子： ISP中心 - IS
13、P端边界路由器 - 客户端边界路由器 - 客户端网络 ISP端边界路由器应该只接受源地址属于客户端网络的通信，而客户端网络则应该只接受源地址未被客户端网络过滤的通信。以下是ISP端边界路由器的访问控制列表（ACL）例子： access-list 190 permit ip 客户端网络 客户端网络掩码 any access-list 190 deny ip any any log interface 内部网络接口 网络接口号 ip access-group 190 in 以下是客户端边界路由器的ACL例子： access-list 187 deny ip 客户端网络 客户端网络掩码 any ac
14、cess-list 187 permit ip any any access-list 188 permit ip 客户端网络 客户端网络掩码 any access-list 188 deny ip any any interface 外部网络接口 网络接口号 ip access-group 187 in ip access-group 188 out 如果打开了CEF功能，通过使用单一地址反向路径转发（Unicast RPF），能够充分地缩短访问控制列表（ACL）的长度以提高路由器性能。为了支持Unicast RPF,只需在路由器完全打开CEF;打开这个功能的网络接口并不需要是CEF交换接口
15、。1、使用ipverfyunicastreverse-path网络接口命令这个功能检查每一个经过路由器的数据包。在路由器的CEF（交换（switching）。只要该路由器打开了CEF功能，所有独立的网4、使用CAR（Control Access Rate）限制ICMP数据包流量速率 参考以下例子： interface xy rate-limit output access-group 2020 3000000 512000 786000 conform-action transmit exceed-action drop access-list 2020 permit icmp any any echo-reply 请参阅IOS Essential Features 获取更详细资料。5、设置SYN数据包流量速率 interface int rate-limit output access-group 153 45000000 100000 100000 con
