| |
● 允許Web服務(wù)器到外部用戶的向外答復(fù)。
● 允許外部SMTP服務(wù)器向內(nèi)部郵件服務(wù)器的向內(nèi)連接請求。
● 允許內(nèi)部郵件服務(wù)器向外部SMTP服務(wù)器的向外答復(fù)。
● 允許內(nèi)部郵件服務(wù)器向外DNS查詢。
● 允許到內(nèi)部郵件服務(wù)器的向內(nèi)的DNS答復(fù)。
● 允許內(nèi)部主機的向外TCP連接。
● 允許對請求主機的向內(nèi)TCP答復(fù)。
其他訪問規(guī)則可以根據(jù)各自的實際情況建立。列出允許的所有通信流后，設(shè)計訪問列表就變得簡單了。注意應(yīng)將所有向內(nèi)對話應(yīng)用于路由器外部接口的IN方向，所有向外對話應(yīng)用于路由器外部接口的OUT方向。
二、常見攻擊手段及其對策
1. 防止外部ICMP重定向欺騙
攻擊者有時會利用ICMP重定向來對路由器進行重定向，將本應(yīng)送到正確目標的信息重定向到它們指定的設(shè)備，從而獲得有用信息。禁止外部用戶使用ICMP重定向的命令如下：
interface serial0
no ip redirects
2. 防止外部源路由欺騙
源路由選擇是指使用數(shù)據(jù)鏈路層信息來為數(shù)據(jù)報進行路由選擇。該技術(shù)跨越了網(wǎng)絡(luò)層的路由信息，使入侵者可以為內(nèi)部網(wǎng)的數(shù)據(jù)報指定一個非法的路由，這樣原本應(yīng)該送到合法目的地的數(shù)據(jù)報就會被送到入侵者指定的地址。禁止使用源路由的命令如下：
no ip source-route
3. 防止盜用內(nèi)部IP地址
攻擊者可能會盜用內(nèi)部IP地址進行非法訪問。針對這一問題，可以利用Cisco路由器的ARP命令將固定IP地址綁定到某一MAC地址之上。具體命令如下：
arp 固定IP地址 MAC地址 arpa
4. 在源站點防止smurf
要在源站點防止smurf，關(guān)鍵是阻止所有的向內(nèi)回顯請求。這就要防止路由器將指向網(wǎng)絡(luò)廣播地址的通信映射到局域網(wǎng)廣播地址�？梢栽贚AN接口方式中輸入如下命令：
no ip directed-broadcast
三、關(guān)閉路由器上不用的服務(wù)
路由器除了可以提供路徑選擇外，它還是一臺服務(wù)器，可以提供一些有用的服務(wù)。路由器運行的這些服務(wù)可能會成為敵人攻擊的突破口，為了安全起見，最好關(guān)閉這些服務(wù)。
通過以上介紹的各種方法，我們成功地將一臺普通路由器配置為一臺堡壘路由器，在沒有增加任何投入的情況下，提高了整個園區(qū)網(wǎng)的安全性。但應(yīng)該說明的是，堡壘路由器的實現(xiàn)是以犧牲整個網(wǎng)絡(luò)的效率為代價的，可能會影響到園區(qū)網(wǎng)對外訪問的速度 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
