一、路由器同電腦及其他網(wǎng)絡(luò)設(shè)備一樣，自身也存在一些缺陷和漏洞。利用路由器自身缺點(diǎn)進(jìn)行網(wǎng)絡(luò)攻擊，是黑客常用的手段。因此，我們必須在堵住路由器安全漏洞上采取必要的措施。限制系統(tǒng)物理訪問是最有效的方法之一，它是將控制臺和終端會話路由器配置成在較短閑置時間后，自動退出系統(tǒng)，以堵住路由器的安全漏洞，保護(hù)整個網(wǎng)絡(luò)的安全。

二、攻擊者常常利用弱口令或默認(rèn)口令進(jìn)行攻擊，使用復(fù)雜的口令有助于防御這類攻擊，還應(yīng)啟用路由器的口令加密功能配置一些協(xié)議，如遠(yuǎn)程驗(yàn)證撥入用戶服務(wù)，結(jié)合驗(yàn)證服務(wù)器提供經(jīng)過加密、驗(yàn)證的路由器訪問，以加強(qiáng)路由器的安全系數(shù)，提高整個網(wǎng)絡(luò)的安全性。

三、限制邏輯訪問，主要是借助于合理處置訪問控制列表，限制遠(yuǎn)程終端會話，有助于防止黑客獲得系統(tǒng)邏輯訪問，SSH是優(yōu)先的邏輯訪問方法，如果一定要使用TELNET，不妨使用終端訪問控制，以限制只能訪問可信主機(jī)。

四、控制消息協(xié)議ICMP有助于排除故障，但也為攻擊者提供了用來瀏覽網(wǎng)絡(luò)設(shè)備、確定時間戳和網(wǎng)絡(luò)掩碼以及對OS修正版本作出推測的信息，為了防止入侵者搜集上述信息，我們可以設(shè)定ICMP網(wǎng)無法到達(dá)的、主機(jī)無法到達(dá)的、端口無法到達(dá)的、包太大的、源抑制的以及超出生存時間的。

五、使用入站訪問控制，可將特定服務(wù)器引導(dǎo)至對應(yīng)的服務(wù)器，為了避免路由器成為DoS攻擊目標(biāo)，應(yīng)拒絕沒有IP地址的包，采用本地主機(jī)地址、廣播地址、多播地址以及任何假冒的內(nèi)部地址的包，還可以采取增加SYM ACK隊(duì)列長度、縮短ACK超時等措施，來保護(hù)路由器免受TCP SYN攻擊。

六、在對路由器配置進(jìn)行改動時，需要對其進(jìn)行監(jiān)控。如果使用了SNMP，則一定要選擇功能強(qiáng)大的共用字符串，最好是使用提供消息加密功能的SNMP，如果不通過SNMP管理而對設(shè)備進(jìn)行遠(yuǎn)程路由器配置，最好將SNMP設(shè)備路由器配置成只讀，拒絕對這些設(shè)備進(jìn)行寫訪問，利用SSH與路由器建立加密的遠(yuǎn)程會話。
最后要說一下，配置管理的一個重要部分，就是確保網(wǎng)絡(luò)使用合理的路由器協(xié)議，避免使用路由信息協(xié)議，因?yàn)镽IP很容易被欺騙而接受不合法的路由更新，所以必須實(shí)施控制存放、檢索及更新路由器配置，以便在新配置出現(xiàn)問題時能更換、重裝或恢復(fù)到原先的路由器配置。

最新評論