路由器是局域网毗连外部收集的重要桥梁，是收集系统中不成或缺的重要部件，也是收集平安的前沿关隘。但是路由器的庇护却很少被各人所重视。试想，假设路由器连本身的平安都没有保障，整个收集也就毫无平安可言。因而在收集平安治理上，必需对路由器停止合理规划、设置装备摆设，摘取需要的平安庇护办法，制止因路由器本身的平安问题而给整个收集系统带来破绽和风险。我们下面就给各人介绍一些路由器加强路由器平安的办法和办法，让我们的收集更平安。
1. 为路由器间的协议交换增加认证功用，进步收集平安性。
路由器的一个重要功用是路由的治理和庇护，目前具有必然规模的收集都摘用动态的路由协议,常用的有：RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了不异路由协议和不异区域标示符的路由器加进收集后，会进修收集上的路由信息表。但此种办法可能招致收集拓扑信息泄露，也可能因为向收集发送本身的路由信息表，侵扰收集上一般工做的路由信息表，严峻时能够使整个收集瘫痪。那个问题的处理办法是对收集内的路由器之间彼此交换的路由信息停止认证。当路由器设置装备摆设了认证体例，就会辨别路由信息的收发方。
2. 路由器的物理平安提防。
路由器掌握端口是具有特殊权限的端口，假设进攻者物理接触路由器后，断电重启，施行“密码修复流程”，进而登录路由器，就能够完全掌握路由器。
3. 庇护路由器口令。
在备份的路由器设置装备摆设文件中，密码即便是用加密的形式存放，密码明文仍存在被破解的可能。一旦密码泄露，收集也就毫无平安可言。
4. 阻遏观察路由器诊断信息。
封闭号令如下： no service tcp-small-servers no service udp-small-servers
5. 阻遏查看到路由器当前的用户列表。
封闭号令为：no service finger。
6. 封闭CDP办事。
在OSI二层协议即链路层的根底上可发现对端路由器的部门设置装备摆设信息: 设备平台、操做系统版本、端口、IP地址等重要信息。能够用号令: no cdp running或no cdp enable封闭那个办事。
7. 阻遏路由器领受带源路由标识表记标帜的包，将带有源路由选项的数据流丢弃。
“IP source-route”是一个全局设置装备摆设号令，容许路由器处置带源路由选项标识表记标帜的数据流。启用源路由选项后，源路由信息指定的路由使数据流可以越过默认的路由，那种包就可能绕过防火墙。封闭号令如下： no ip source-route。
8. 封闭路由器播送包的转发。
Sumrf D.o.S进攻以有播送转发设置装备摆设的路由器做为反射板，占用收集资本，以至形成收集的瘫痪。应在每个端口利用“no ip directed-broadcast”封闭路由器播送包。
9. 治理HTTP办事。
”号令设定受权限造。
10. 抵御spoofing(哄骗) 类进攻。
利用拜候掌握列表，过滤掉所有目标地址为收集播送地址和声称来自内部收集，现实却来自外部的包。 在路由器端口设置装备摆设： ip access-group list in number 拜候掌握列表如下： access-list number deny icmp any any redirect access-list number deny ip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.0 31.255.255.255 any access-list number deny ip host 0.0.0.0 any 注: 上述四行号令将过滤BOOTP/DHCP 利用中的部门数据包，在类似情况中利用时要有足够的熟悉。
11. 避免包嗅探。
黑客经常将嗅探软件安拆在已经侵略的收集上的计算机内，监视收集数据流，从而偷盗密码,包罗SNMP 通信密码，也包罗路由器的登录和特权密码，如许收集治理员难以包管收集的平安性。在不成相信的收集上不要用非加密协议登录路由器。假设路由器撑持加密协议，请利用SSH 或 Kerberized Telnet，或利用IPSec加密路由器所有的治理流。
12.校验数据流途径的合法性。
利用RPF (reverse path forwarding)反相途径转发，因为进攻者地址是违法的，所以进攻包被丢弃，从而到达抵御spoofing 进攻的目标。RPF反相途径转发的设置装备摆设号令为: ip verify unicast rpf。 重视: 起首要撑持 CEF(Cisco Express Forwarding) 快速转发。
13. 避免SYN 进攻。
目前，一些路由器的软件平台能够开启TCP 拦截功用，避免SYN 进攻，工做形式分拦截和监视两种，默认情状是拦截形式。(拦截形式: 路由器响应抵达的SYN恳求，而且取代办事器发送一个SYN-ACK报文，然后期待客户机ACK。假设收到ACK，再将本来的SYN报文发送到办事器; 监视形式：路由器容许SYN恳求间接抵达办事器，假设那个会话在30秒内没有成立起来，路由器就会发送一个RST,以肃清那个毗连。) 起首，设置装备摆设拜候列表，以备开启需要庇护的IP地址: access list [1-199] [deny|permit] tcp any destination destination-wildcard 然后，开启TCP拦截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch
14. 利用平安的SNMP治理计划。
SNMP普遍利用在路由器的监控、设置装备摆设方面。SNMP Version 1在穿越公网的治理利用方面，平安性低，不合适利用。操纵拜候列表仅仅容许来自特定工做站的SNMP拜候通过那一功用能够来提拔SNMP办事的平安性能。设置装备摆设号令： snmp-server community xxxxx RW xx ;xx是拜候掌握列表号 SNMP Version 2利用MD5数字身份辨别体例。差别的路由器设备设置装备摆设差别的数字签名密码，那是进步整体平安性能的有效手段。
综述：路由器做为整个收集的关键性设备，平安问题是需要我们特殊重视。当然，假设仅仅是靠上面的那些设置办法，来庇护我们的收集是远远不敷的，还需要共同其他的设备来一路做好平安提防办法，将我们的收集打形成为一个平安不变的信息交换平台。