| |
12.校驗數(shù)據(jù)流路徑的合法性。
使用RPF (reverse path forwarding)反相路徑轉(zhuǎn)發(fā)，由于攻擊者地址是違法的，所以攻擊包被丟棄，從而達到抵御spoofing 攻擊的目的。RPF反相路徑轉(zhuǎn)發(fā)的配置命令為: ip verify unicast rpf。 注意: 首先要支持 CEF(Cisco Express Forwarding) 快速轉(zhuǎn)發(fā)。
13. 防止SYN 攻擊。
目前，一些路由器的軟件平臺可以開啟TCP 攔截功能，防止SYN 攻擊，工作模式分?jǐn)r截和監(jiān)視兩種，默認(rèn)情況是攔截模式。(攔截模式: 路由器響應(yīng)到達的SYN請求，并且代替服務(wù)器發(fā)送一個SYN-ACK報文，然后等待客戶機ACK。如果收到ACK，再將原來的SYN報文發(fā)送到服務(wù)器; 監(jiān)視模式：路由器允許SYN請求直接到達服務(wù)器，如果這個會話在30秒內(nèi)沒有建立起來，路由器就會發(fā)送一個RST，以清除這個連接。) 首先，配置訪問列表，以備開啟需要保護的IP地址: access list [1-199] [deny permit] tcp any destination destination-wildcard 然后，開啟TCP攔截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch
14. 使用安全的SNMP管理方案。
SNMP廣泛應(yīng)用在路由器的監(jiān)控、配置方面。SNMP Version 1在穿越公網(wǎng)的管理應(yīng)用方面，安全性低，不適合使用。利用訪問列表僅僅允許來自特定工作站的SNMP訪問通過這一功能可以來提升SNMP服務(wù)的安全性能。配置命令： snmp-server community xxxxx RW xx ;xx是訪問控制列表號 SNMP Version 2使用MD5數(shù)字身份鑒別方式。不同的路由器設(shè)備配置不同的數(shù)字簽名密碼，這是提高整體安全性能的有效手段。
綜述：
路由器作為整個網(wǎng)絡(luò)的關(guān)鍵性設(shè)備，安全問題是需要我們特別重視。當(dāng)然，如果僅僅是靠上面的這些設(shè)置方法，來保護我們的網(wǎng)絡(luò)是遠(yuǎn)遠(yuǎn)不夠的，還需要配合其他的設(shè)備來一起做好安全防范措施，將我們的網(wǎng)絡(luò)打造成為一個安全穩(wěn)定的信息交流平臺。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
