路由器安全设置.docx

路由器安全设置.docx

《路由器安全设置.docx》由会员分享，可在线阅读，更多相关《路由器安全设置.docx（5页珍藏版）》请在冰豆网上搜索。

路由器安全设置

路由器安全设置

　本文和大家分享下路由器安全设置必看的24个要点，也是对于网络维护这块的经验分享吧！

在我们的整个网络中，路由器要算是一个关键性设备，如何设置路由器安全问题是我们特别关心的问题。

我们需要靠一些路由器安全设置方法，来保护我们的网络安全，再配合其他的设备来一起做好安全防范措施，将我们的网络打造成为一个安全稳定的信息交流平台还是没问题的。

　　1、让路由器间的协议交换增加认证功能，提高网络安全性。

　　路由器的一个重要功能是路由的管理和维护，目前具有一定规模的网络都采用动态的路由协议,常用的有：

RIP、EIGRP、OSPF、IS-IS、BGP等。

当一台设置了相同路由协议和相同区域标示符的路由器加入网络后，会学习网络上的路由信息表。

但此种方法可能导致网络拓扑信息泄漏，也可能由于向网络发送自己的路由信息表，扰乱网络上正常工作的路由信息表，严重时可以使整个网络瘫痪。

这个问题的解决办法是对网络内的路由器之间相互交流的路由信息进行认证。

当路由器配置了认证方式，就会鉴别路由信息的收发方。

　　2、路由器的物理安全防范。

　　路由器控制端口是具有特殊权限的端口，如果攻击者物理接触路由器后，断电重启，实施“密码修复流程”，进而登录路由器，就可以完全控制路由器。

　　3、保护路由器口令。

　　在备份的路由器配置文件中，密码即使是用加密的形式存放，密码明文仍存在被破解的可能。

一旦密码泄漏，网络也就毫无安全可言，我们在日常应用一定要引起注意。

　　4、阻止察看路由器诊断信息。

　　关闭命令如下：

noservicetcp-small-serversnoserviceudp-small-servers

　　5、阻止查看到路由器当前的用户列表。

　　关闭命令为：

noservicefinger。

　　6.、关闭CDP服务。

　　在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息:

设备平台、操作系统版本、端口、IP地址等重要信息。

可以用命令:

nocdprunning或nocdpenable关闭这个服务。

　　7.、阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃。

　　“IPsource-route”是一个全局配置命令，允许路由器处理带源路由选项标记的数据流。

启用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过防火墙。

关闭命令如下：

noipsource-route。

　　8、关闭路由器广播包的转发。

　　SumrfD.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。

应在每个端口应用“noipdirected-broadcast”关闭路由器广播包。

　　9、管理HTTP服务。

　　HTTP服务提供Web管理接口。

“noiphttpserver”可以停止HTTP服务。

如果必须使用HTTP，一定要使用访问列表“iphttpaccess-class”命令，严格过滤允许的IP地址，同时用“iphttpauthentication”命令设定授权限制。

　　10.、抵御spoofing（欺骗）类攻击。

　　使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自外部的包。

在路由器端口配置：

ipaccess-grouplistinnumber访问控制列表如下：

access-listnumberdenyicmpanyanyredirectaccess-listnumberdenyip127.0.0.00.255.255.255anyaccess-listnumberdenyip224.0.0.031.255.255.255anyaccess-listnumberdenyiphost0.0.0.0any注:

上述四行命令将过滤BOOTP/DHCP应用中的部分数据包，在类似环境中使用时要有充分的认识。

　　11、防止包嗅探。

　　黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码,包括SNMP通信密码，也包括路由器的登录和特权密码，这样网络管理员难以保证网络的安全性。

在不可信任的网络上不要用非加密协议登录路由器。

如果路由器支持加密协议，请使用SSH或KerberizedTelnet，或使用IPSec加密路由器所有的管理流。

　　12、校验数据流路径的合法性。

　　使用RPF（reversepathforwarding）反相路径转发，由于攻击者地址是违法的，所以攻击包被丢弃，从而达到抵御spoofing攻击的目的。

RPF反相路径转发的配置命令为:

ipverifyunicastrpf。

注意:

首先要支持CEF（CiscoExpressForwarding）快速转发。

　　13、防止SYN攻击。

　　目前，一些路由器的软件平台可以开启TCP拦截功能，防止SYN攻击，工作模式分拦截和监视两种，默认情况是拦截模式。

（拦截模式:

路由器响应到达的SYN请求，并且代替服务器发送一个SYN-ACK报文，然后等待客户机ACK。

如果收到ACK，再将原来的SYN报文发送到服务器;监视模式：

路由器允许SYN请求直接到达服务器，如果这个会话在30秒内没有建立起来，路由器就会发送一个RST,以清除这个连接。

）首先，配置访问列表，以备开启需要保护的IP地址:

accesslist[1-199][deny　permit]tcpanydestinationdestination-wildcard然后，开启TCP拦截：

IptcpinterceptmodeinterceptIptcpinterceptlistaccesslist-numberIptcpinterceptmodewatch

　　14、使用安全的SNMP管理方案。

　　SNMP广泛应用在路由器的监控、配置方面。

SNMPVersion1在穿越公网的管理应用方面，安全性低，不适合使用。

利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP服务的安全性能。

配置命令：

snmp-servercommunityxxxxxRWxx;xx是访问控制列表号SNMPVersion2使用MD5数字身份鉴别方式。

不同的路由器设备配置不同的数字签名密码，这是提高整体安全性能的有效手段。

　　15、更新你的路由器操作系统:

就像网络操作系统一样，路由器操作系统也需要更新，以便纠正编程错误、软件瑕疵和缓存溢出的问题。

要经常向你的路由器厂商查询当前的更新和操作系统的版本。

　　16、修改默认的口令:

据卡内基梅隆大学的

数情况下，你不需要来自互联网接口的主动的telnet会话。

如果从内部访问你的路由器设置会更安全一些。

　　20、禁用IP定向广播:

IP定向广播能够允许对你的设备实施拒绝服务攻击。

一台路由器的内存和CPU难以承受太多的请求。

这种结果会导致缓存溢出。

　　21、禁用IP路由和IP重新定向:

重新定向允许数据包从一个接口进来然后从另一个接口出去。

你不需要把精心设计的数据包重新定向到专用的内部网路。

　　22、包过滤:

包过滤仅传递你允许进入你的网络的那种数据包。

许多公司仅允许使用80端口（HTTP）和110/25端口（电子邮件）。

此外，你可以封锁和允许IP地址和范围。

　　23、审查安全记录:

通过简单地利用一些时间审查你的记录文件，你会看到明显的攻击方式，甚至安全漏洞。

你将为你经历了如此多的攻击感到惊奇。

　　24、不必要的服务:

永远禁用不必要的服务，无论是路由器、服务器和工作站上的不必要的服务都要禁用。

思科的设备通过网络

　　在路由操作系统中，默认地提供一些小的服务，如echo（回波），chargen（字符发生器协议）和discard（抛弃协议）。

这些服务，特别是它们的UDP服务，很少用于合法的目的，影响路由安全。

但是，这些服务能够用来实施拒绝服务攻击和其它攻击。

包过滤可以防止这些攻击从而提高路由器安全设置。