（安全生产）加强路由器安全的十四个方法.pdfVIP

（安全生产）加强路由器安 全的十四个方法 加强路由器安全的十四个方法 - 路由器是局域网连接外部网络的重要桥梁，是网络系统中不可或缺的重要部件，也是网 络安全的前沿关口。但是路由器的维护却很少被大家所重视。试想，如果路由器连自身的安 全都没有保障，整个网络也就毫无安全可言。因此在网络安全管理上，必须对路由器进行合 理规划、配置，采取必要的安全保护措施，避免因路由器自身的安全问题而给整个网络系统 带来漏洞和风险。我们下面就给大家介绍一些加强路由器安全的措施和方法，让我们的网络 更安全。 1.为路由器间的协议交换增加认证功能，提高网络安全性。 路由器的一个重要功能是路由的管理和维护，目前具有一定规模的网络都采用动态的路由协 议，常用的有：RIP 、EIGRP 、OSPF 、IS-IS 、BGP 等。当一台设置了相同路由协议和相同区域 标示符的路由器加入网络后，会学习网络上的路由信息表。但此种方法可能导致网络拓扑信 息泄漏，也可能由于向网络发送自己的路由信息表，扰乱网络上正常工作的路由信息表，严 重时可以使整个网络瘫痪。这个问题的解决办法是对网络内的路由器之间相互交流的路由信 息进行认证。当路由器配置了认证方式，就会鉴别路由信息的收发方。 2.路由器的物理安全防范。 路由器控制端口是具有特殊权限的端口，如果攻击者物理接触路由器后，断电重启，实施“密 码修复流程”，进而登录路由器，就可以完全控制路由器。 3.保护路由器口令。 在备份的路由器配置文件中，密码即使是用加密的形式存放，密码明文仍存在被破解的可能。 一旦密码泄漏，网络也就毫无安全可言。 4.阻止察看路由器诊断信息。 关闭命令如下：noservicetcp-small-serversnoserviceudp-small-servers 5.阻止查看到路由器当前的用户列表。 关闭命令为：noservicefinger 。 6.关闭CDP 服务。 在 OSI 二层协议即链路层的基础上可发现对端路由器的部分配置信息:设备平台、操作系统 版本、端口、IP 地址等重要信息。可以用命令:nocdprunning或 nocdpenable 关闭这个服务。 7.阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃。 “IPsource-route”是一个全局配置命令，允许路由器处理带源路由选项标记的数据流。启 用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过 防火墙。关闭命令如下：noipsource-route 。 8.关闭路由器广播包的转发。 SumrfD.o.S 攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫 痪。应在每个端口应用“noipdirected-broadcast”关闭路由器广播包。 9.管理HTTP 服务。 HTTP 服务提供 Web 管理接口。“noiphttpserver”可以停止HTTP 服务。如果必须使用 HTTP ， 一定要使用访问列表 “iphttpaccess-class”命令，严格过滤允许的 IP 地址，同时用 “iphttpauthentication”命令设定授权限制。 10.抵御 spoofing(欺骗)类攻击。 使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自 外部的包。在路由器端口配置： ipaccess-grouplistinnumber 访问控制列表如下： access-listnumberdenyicmpanyanyredirectaccess-listnumberdenyip0.255.25 5.255anyaccess-listnumberdenyip55anyaccess-listnumberdenyi phostany 注:上述四行命令将过滤 BOOTP/DHCP 应用中的部分数据包，在类似环境中 使用时要有充分的认识。 11.防止包嗅探。 黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码， 包括SNMP 通信密码，也包括路由器的登录和特权密码，这样网络管理员难以保证网络的安 全性。在不可信任的网络上不要用非加密协议登录路由器。如果路由器支持加密协议，请使 用SSH 或 KerberizedTelnet ，或使用IPSec 加密路由器所有的管理流。 12.校验数据流路径的合法性。 使用 RPF(reversepathforwarding)反相路径转发，由于攻击者地址是违法的，所以攻击包被 丢 弃 ， 从 而 达 到 抵 御 spoofing 攻 击 的 目 的 。