分享
 
 
 

十四条保护路由器安全的办法

王朝other·作者佚名  2008-05-31
窄屏简体版  字體: |||超大  

在互联网的世界里,路由器是不可或缺的重要部件,没有它我们将没有办法和五彩斑斓的外部世界建立联系。因此,路由器的管理一直是管理员最重要的日常工作之一。

本文作者结合自己的工作实践,总结了14条保护路由器、防止非法入侵的办法,您不妨一试。路由器是系统的主要设备,也是安全的前沿关口。如果路由器连自身的安全都没有保障,整个也就毫无安全可言。因此在安全管理上,必须对路由器进行合理规划、配置,采取必要的安全保护措施,避免因路由器自身的安全问题而给整个系统带来和风险。下面是一些加强路由器安全的具体措施,用以阻止对路由器本身的攻击,并防范信息被窃取。

1.为路由器间的协议交换增加认证功能,提高安全性。

路由器的一个重要功能是路由的管理和维护,目前具有一定规模的都采用动态的路由协议,常用的有:RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了相同路由协议和相同区域标示符的路由器加入后,会学习上的路由信息表。但此种方法可能导致拓扑信息泄漏,也可能由于向发送自己的路由信息表,扰乱上正常工作的路由信息表,严重时可以使整个瘫痪。这个问题的解决办法是对内的路由器之间相互交流的路由信息进行认证。当路由器配置了认证方式,就会鉴别路由信息的收发方。有两种鉴别方式,其中“纯文本方式”安全性低,建议使用“MD5方式”。

2.路由器的物理安全防范。

路由器控制端口是具有特殊权限的端口,如果攻击者物理接触路由器后,断电重启,实施“密码修复流程”,进而登录路由器,就可以完全控制路由器。

3.保护路由器口令。

在备份的路由器配置文件中,密码即使是用加密的形式存放,密码明文仍存在被破解的可能。一旦密码泄漏,也就毫无安全可言。

4.阻止察看路由器诊断信息。

关闭命令如下:noservicetcp-small-serversnoserviceudp-small-servers

5.阻止查看到路由器当前的用户列表。

关闭命令为:noservicefinger。

6.关闭CDP。

在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息:设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令:nocdprunning或nocdpenable关闭这个。

7.阻止路由器接收带源路由标记的包,将带有源路由选项的流丢弃。

“IPsource-route”是一个全局配置命令,允许路由器处理带源路由选项标记的流。启用源路由选项后,源路由信息指定的路由使流能够越过默认的路由,这种包就可能绕过防火墙。关闭命令如下:noipsource-route。

8.关闭路由器广播包的转发。

sumrfD.o.S攻击以有广播转发配置的路由器作为反射板,占用资源,甚至造成的瘫痪。应在每个端口应用“noipdirected-broadcast”关闭路由器广播包。

9.管理HTTP。

HTTP提供Web管理接口。“noiphttpserver”可以停止HTTP。如果必须使用HTTP,一定要使用访问列表“iphttpaccess-class”命令,严格过滤允许的IP地址,同时用“iphttpauthentication”命令设定授权限制。

10.抵御spoofing(欺骗)类攻击。

使用访问控制列表,过滤掉所有目标地址为广播地址和宣称来自内部,实际却来自外部的包。在路由器端口配置:ipaccess-grouplistinnumber访问控制列表如下:access-listnumberdenyicmpanyanyredirectaccess-listnumberdenyip127.0.0.00.255.255.255anyaccess-listnumberdenyip224.0.0.031.255.255.255anyaccess-listnumberdenyiphost0.0.0.0any注:上述四行命令将过滤BOOTP/DHCP应用中的部分包,在类似环境中使用时要有充分的认识。

11.防止包嗅探。

经常将嗅探软件安装在已经侵入的上的计算机内,监视流,从而盗窃密码,包括SNMP通信密码,也包括路由器的登录和特权密码,这样管理员难以保证的安全性。在不可信任的上不要用非加密协议登录路由器。如果路由器支持加密协议,请使用SSH或KerberizedTelnet,或使用IPSec加密路由器所有的管理流。

12.校验流路径的合法性。

使用RPF(reversepathforwarding)反相路径转发,由于攻击者地址是违法的,所以攻击包被丢弃,从而达到抵御spoofing攻击的目的。RPF反相路径转发的配置命令为:ipverifyunicastrpf。注意:首先要支持CEF(CiscoExpressForwarding)快速转发。

13.防止SYN攻击。

目前,一些路由器的软件平台可以开启TCP拦截功能,防止SYN攻击,工作模式分拦截和监视两种,默认情况是拦截模式。(拦截模式:路由器响应到达的SYN请求,并且代替器发送一个SYN-ACK报文,然后等待客户机ACK。如果收到ACK,再将原来的SYN报文发送到器;监视模式:路由器允许SYN请求直接到达器,如果这个会话在30秒内没有建立起来,路由器就会发送一个RST,以清除这个连接。)首先,配置访问列表,以备开启需要保护的IP地址:accesslist[1-199][denypermit]tcpanydestinationdestination-wildcard然后,开启TCP拦截:IptcpinterceptmodeinterceptIptcpinterceptlistaccesslist-numberIptcpinterceptmodewatch

14.使用安全的SNMP管理方案。

SNMP广泛应用在路由器的监控、配置方面。SNMPVersion1在穿越公网的管理应用方面,安全性低,不适合使用。利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP的安全性能。配置命令:snmp-servercommunityxxxxxRWxx;xx是访问控制列表号SNMPVersion2使用MD5数字身份鉴别方式。不同的路由器设备配置不同的数字签名密码,这是提高整体安全性能的有效手段。

总之,路由器的安全防范是安全的一个重要组成部分,还必须配合其他的安全防范措施,这样才能共同构筑起安全防范的整体工程。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有