路由器是局域网连接外部网络的重要桥梁，是网络系统中不可或缺的重要部件，也是网络安全的前沿关口。然而路由器的保护却很少被大家所器重。试想文件夹加密，如果路由器连本身的安全都没有保障，整个网络也就毫无安全可 ...
路由器是局域网衔接外部网络的主要桥梁，是网络体系中不可或缺的主要部件，也是网络平安的前沿关口。然而路由器的保护却很少被大家所看重。试想，如果路由器连本身的安全都不保障，全部网络也就毫无安全可言。

因而在网络安全管理上，必需对路由器进行公道计划、配置，采用必要的安全掩护办法，防止因路由器自身的安全问题而给整个网络系统带来破绽和危险。我们下面就给大家先容一些增强路由器安全的措施和方式，让我们的网络更安全。

1. 为路由器间的协议交流增添认证功能，进步网络安全性。

路由器的一个重要功效是路由的管理和维护，目前具备必定范围的网络都采取动态的路由协议，常用的有：RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了雷同路由协定和雷同区域标示符的路由器参加网络后，会学习网络上的路由信息表。

但此种办法可能导致网络拓扑信息泄露，也可能因为向网络发送本人的路由信息表，捣乱网络上畸形工作的路由信息表，重大时可以使整个网络瘫痪。这个问题的解决措施是对网络内的路由器之间彼此交换的路由信息进行认证。当路由器配置了认证方法，就会辨别路由信息的收发方。

2. 路由器的物理安全防备。

路由器把持端口是存在特别权限的端口，如果攻击者物理接触路由器后，断电重启，实行“密码修复流程”，进而登录路由器，就能够完整节制路由器。

3. 维护路由器口令。

在备份的路由器配置文件中，密码即便是用加密的情势寄存，密码明文仍存在被破解的可能。一旦密码泄露，网络也就毫无安全可言。

4. 阻拦观察路由器诊断信息。

关闭命令如下： no service tcp-small-servers no service udp-small-servers

5. 禁止查看到路由器当前的用户列表。

关闭命令为：no service finger。

6. 关闭CDP服务。

在OSI二层协定即链路层的基本上可发明对端路由器的局部配相信息: 设备平台、操作体系版本、端口、IP地址等重要信息。可以用命令: no cdp running或no cdp enable封闭这个服务。

7. 禁止路由器接受带源路由标志的包，将带有源路由选项的数据流抛弃。

“IP source-route”是一个全局配置命令，答应路由器处置带源路由选项标志的数据流加密。启用源路由选项后，源路由信息指定的路由使数据流可能超出默认的路由，这种包就可能绕过防火墙。关闭命令如下： no ip source-route。

8. 封闭路由器播送包的转发。

Sumrf D.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。应在每个端口运用“no ip directed-broadcast”关闭路由器广播包。

9. 治理HTTP服务。

HTTP服务供给Web治理接口。“no ip http server”可以结束HTTP服务。如果必需使用HTTP，必定要使用访问列表“ip http access-class”命令，严厉过滤许可的IP地址，同时用“ip http authentication ”命令设定受权限度。

10. 抵抗spoofing(诈骗) 类攻击。

应用访问掌握列表，过滤掉所有目的地址为网络播送地址跟声称来自内部网络，实际却来自外部的包。 在路由器端口配置： ip access-group list in number 拜访把持列表如下： access-list number deny icmp any any redirect access-list number deny ip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.0 31.255文件加密.255.255 any access-list number deny ip host 0.0.0.0 any 注: 上述四行命令将过滤BOOTP/DHCP 利用中的部门数据包，在相似环境中使用时要有充足的意识。

11. 避免包嗅探。

黑客常常将嗅探软件装置在已经侵入的网络上的盘算机内，监视网络数据流，从而偷盗密码，包含SNMP 通讯密码，也包含路由器的登录和特权密码，这样网络管理员难以保障网络的安全性。在不可托任的网络上不要用非加密协议登录路由器。如果路由器支撑加密协议，请使用SSH 或 Kerberized Telnet，或使用IPSec加密路由器所有的管理流。

12.校验数据流路径的正当性。

应用RPF (reverse path forwarding)反相门路转发，因为攻打者地址是守法的，所以袭击包被抛弃，从而到达抵抗spoofing 攻打的目标。RPF反相门路转发的配置命令为: ip verify unicast rpf。 留神: 首先要支撑 CEF(Cisco Express Forwarding) 疾速转发。

13. 避免SYN 袭击。

目前，一些路由器的软件平台能够开启TCP 拦阻功效，预防SYN 攻击，工作模式分拦截跟监督两种，默认情形是拦阻模式。(拦截模式: 路由器响应达到的SYN恳求，并且取代服务器发送一个SYN-ACK报文，而后等候客户机ACK。假如收到ACK，再将本来的SYN报文发送到服务器; 监督模式：路由器容许SYN要求直接达到服务器，如果这个会话在30秒内不树立起来，路由器就会发送一个RST，以肃清这个衔接。) 首先，配置拜访列表，以备开启需要维护的IP地址: access list [1-199] [deny　permit] tcp any destination destination-wildcard 而后，开启TCP拦截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch

14. 使用安全的SNMP管理计划。

SNMP普遍利用在路由器的监控、配置方面。SNMP Version 1在穿梭公网的管理当用方面，安全性低，不合适使用。应用访问列表仅仅容许来自特定工作站的SNMP访问通过这一功能可以来晋升SNMP服务的安全机能。配置命令： snmp-server community xxxxx RW xx ;xx是访问节制列表号 SNMP Version 2使用MD5数字身份辨别方法。不同的路由器设备配置不同的数字签名密码，这是进步整体安全机能的有效手腕。

综述：

路由器作为全部网络的要害性装备，保险问题是须要咱们特殊器重。当然，假如仅仅是靠上面的这些设置方式，来掩护咱们的网络是远远不够的，还须要配合其余的装备来一起做好保险防备办法，将我们的网络打造成为一个平安稳固的信息交换平台。

本文由http://www.cksis***/整理并发布！