路由器的安全性基础设置

路由器是局域网连接外部网络的重要桥梁,是网络系统中不可或缺的重要部件,也是网络安全的前沿关口。但是路由器的维护却很少被大家所重视。试想,如果路由器连自身的安全都没有保障,整个网络也就毫无安全可言。因此在网络安全管理上,必须对路由器进行合理规划、配置,采取必要的安全保护措施,避免因路由器自身的安全问题而给整个网络系统带来漏洞和风险。我们下面就给大家介绍一些路由器加强路由器安全的措施和方法,让我们的网络更安全。

1. 为路由器间的协议交换增加认证功能,提高网络安全性。

路由器的一个重要功能是路由的管理和维护,目前具有一定规模的网络都采用动态的路由协议,常用的有:RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了相同路由协议和相同区域标示符的路由器加入网络后,会学习网络上的路由信息表。但此种方法可能导致网络拓扑信息泄漏,也可能由于向网络发送自己的路由信息表,扰乱网络上正常工作的路由信息表,严重时可以使整个网络瘫痪。这个问题的解决办法是对网络内的路由器之间相互交流的路由信息进行认证。当路由器配置了认证方式,就会鉴别路由信息的收发方。

2. 路由器的物理安全防范。

路由器控制端口是具有特殊权限的端口,如果攻击者物理接触路由器后,断电重启,实施“密码修复流程”,进而登录路由器,就可以完全控制路由器。

3. 保护路由器口令。

在备份的路由器配置文件中,密码即使是用加密的形式存放,密码明文仍存在被破解的可能。一旦密码泄漏,网络也就毫无安全可言。

4. 阻止察看路由器诊断信息。

关闭命令如下: no service tcp-small-servers no service udp-small-servers

5. 阻止查看到路由器当前的用户列表。

关闭命令为:no service finger。

6. 关闭CDP服务。

在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息: 设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令: no cdp running或no cdp enable关闭这个服务。

7. 阻止路由器接收带源路由标记的包,将带有源路由选项的数据流丢弃。

“IP source-route”是一个全局配置命令,允许路由器处理带源路由选项标记的数据流。启用源路由选项后,源路由信息指定的路由使数据流能够越过默认的路由,这种包就可能绕过防火墙。关闭命令如下: no ip source-route。

8. 关闭路由器广播包的转发。

Sumrf D.o.S攻击以有广播转发配置的路由器作为反射板,占用网络资源,甚至造成网络的瘫痪。应在每个端口应用“no ip directed-broadcast”关闭路由器广播包。

9. 管理HTTP服务。

HTTP服务提供Web管理接口。“no ip http server”可以停止HTTP服务。如果必须使用HTTP,一定要使用访问列表“ip http access-class”命令,严格过滤允许的IP地址,同时用“ip http authentication ”命令设定授权限制。

10. 抵御spoofing(欺骗) 类攻击。

使用访问控制列表,过滤掉所有目标地址为网络广播地址和宣称来自内部网络,实际却来自外部的包。 在路由器端口配置: ip access-group list in number 访问控制列表如下: access-list number deny icmp any any redirect access-list number deny ip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.0 31.255.255.255 any access-list number deny ip host 0.0.0.0 any 注: 上述四行命令将过滤BOOTP/DHCP 应用中的部分数据包,在类似环境中使用时要有充分的认识。

11. 防止包嗅探。

黑客经常将嗅探软件安装在已经侵入的网络上的计算机内,监视网络数据流,从而盗窃密码,包括SNMP 通信密码,也包括路由器的登录和特权密码,这样网络管理员难以保证网络的安全性。在不可信任的网络上不要用非加密协议登录路由器。如果路由器支持加密协议,请使用SSH 或 Kerberized Telnet,或使用IPSec加密路由器所有的管理流。

12.校验数据流路径的合法性。

使用RPF (reverse path forwarding)反相路径转发,由于攻击者地址是违法的,所以攻击包被丢弃,从而达到抵御spoofing 攻击的目的。RPF反相路径转发的配置命令为: ip verify unicast rpf。 注意: 首先要支持 CEF(Cisco Express Forwarding) 快速转发。

13. 防止SYN 攻击。

目前,一些路由器的软件平台可以开启TCP 拦截功能,防止SYN 攻击,工作模式分拦截和监视两种,默认情况是拦截模式。(拦截模式: 路由器响应到达的SYN请求,并且代替服务器发送一个SYN-ACK报文,然后等待客户机ACK。如果收到ACK,再将原来的SYN报文发送到服务器; 监视模式:路由器允许SYN请求直接到达服务器,如果这个会话在30秒内没有建立起来,路由器就会发送一个RST,以清除这个连接。) 首先,配置访问列表,以备开启需要保护的IP地址: access list [1-199] [denypermit] tcp any destination destination-wildcard 然后,开启TCP拦截: Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch

14. 使用安全的SNMP管理方案。

SNMP广泛应用在路由器的监控、配置方面。SNMP Version 1在穿越公网的管理应用方面,安全性低,不适合使用。利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP服务的安全性能。配置命令: snmp-server community xxxxx RW xx ;xx是访问控制列表号 SNMP Version 2使用MD5数字身份鉴别方式。不同的路由器设备配置不同的数字签名密码,这是提高整体安全性能的有效手段。

综述:

路由器作为整个网络的关键性设备,安全问题是需要我们特别重视。当然,如果仅仅是靠上面的这些设置方法,来保护我们的网络是远远不够的,还需要配合其他的设备来一起做好安全防范措施,将我们的网络打造成为一个安全稳定的信息交流平台。

分类:路由器
时间:2011-03-22

路由器的安全性基础设置的相关文章

路由器基础设置教程

本文讲解路由器最基本的设置方式,让真正的初学者一看就明白!

路由器可以做交换机使用 路由器当交换机用设置方法步骤

管理网络的朋友可能经常会遇到这样的情况,只有两台路由器,但网线只有一根,那么实现多台电脑同时上网就需要交换机,那么多余的一台路由器可以做交换机用吗?答案是肯定的,不过需要对路由器进行一定设置。最近笔者公司就出现这种情况要新增电脑,但没有交换机,但以前有一台老路由器闲置没用,今天就刚好用上派场了,通过简单设置,路由器就变成交换机功能了,下面与大家分享下方法: 路由器当交换机用主要进行以下设置即可,下面我们以使用用户最多的TP-LINK路由器为例,为大家介绍,其它品牌路由器与此类似。步骤如下: 一

路由器如何限速 巧妙设置就能行得通

对于多人分享的宽带,不管是家庭还是企业,一些人喜欢不停的挂着p2p软件(迅雷、qq旋风、电驴eMule、网际快车flashget等),会导致其它人连网页打开都很卡,登录半天都还是面对白茫茫的一片网页,其实现在市面上常见的路由器都有限速功能,通过巧妙的设置,就可以比较合理的分配带宽,营造一个更加和谐的网络共享环境。 对通过(无线)路由器设置来限速的问题: 当你家和你的朋友用一个路由器上网,都是用一条线时,他看在线电影你也许就玩不成网络游戏,是不是非常郁闷?那么你知道路由器限速的方法路以及路

路由器如何做交换机使用 路由器当交换机用设置方法

管理网络的朋友可能经常会遇到这样的情况,只有两台路由器,但网线只有一根,那么实现多台电脑同时上网就需要交换机,那么多余的一台路由器可以做交换机用吗?答案是肯定的,不过需要对路由器进行一定设置。最近笔者公司就出现这种情况要新增电脑,但没有交换机,但以前有一台老路由器闲置没用,今天就刚好用上派场了,通过简单设置,路由器就变成交换机功能了,下面与大家分享下方法: ●相关阅读:交换机和路由器的区别 路由器当交换机用主要进行以下设置即可,下面我们以使用用户最多的TP-LINK路由器为例,为大家介绍,其它品

深入TP-Link路由器接口介绍及设置介绍

深入tp-link路由器接口介绍及设置介绍,同事负责tp-link路由器接口介绍,这是一件工程很大的项目。外行人会一头雾水,下面只是这个问题的一些皮毛,但对于一点也不了解的新手而言,已经足够让你对tp-link路由器接口介绍有一个全新的认识了。 tp-link路由器接口介绍首先具备的条件是:路由器一个(可以为4口,8口,16口,甚至更多的),如果你有很多台电脑,可以买个多口的交换机.网线直通线数条,电信mode一个(或者你是专线那就不需要mode了)。 tp-link路由器接口介绍 pc电脑至少

磊科路由器的拨号服务器的设置方法

对于一个大型企业或学校来说,为了更好的管理网络,主要是防止有人非法接入网络,配置一台拨号服务器是必须做的事情,这样所有上网的用户,必须用所分配帐号密码拨号才能上网,下面我们以磊科路由器为例,给大家介绍拨号服务器如何设置。 登录上磊科路由器,在左侧导航栏中选择PPPoE Server,这里主要是设置PPPoE服务端的一些参数,打开后我们可以看到下图所示界面: 1、PPPoEServer状态:是否启用PPPoE拨号服务端功能,默认为启用状态,如果关闭了此功能,客户机将无法通过PPPoE拨号连接到路由

有线路由器接无线路由器的设置方法以JHR-N835R举例

随着无线网络的快速发展,无线路由器对于我们生活中也是不可缺少的一部分;很多朋友家里都有一台有线路由器,都想再接一台无线路由器,从而实现wifi上网,它的方便、快捷,深受朋友们的喜欢。我用的是JHR-N835R无线路由器,那下边就详细介绍“有线路由器如何接无线路由器”操作方法: 第一种类型:A路由lan口接B路由Wan口 一、有线路由器设置 1、进入有线路由器设置界面,将LAN口参数设置; 2、WAN口设置,连接类型PPPoE,填入上网帐号,密码; 3、DHCP设置,DHCP服务器选择启用,自动获

如何设置两台路由器 两台路由器的连接和设置方法介绍

当一台路由器在所提供的接口数量上无法满足局域网内所有计算机在数量的要求时,通常的做法是增加一个路由器,实现网络的扩展。对此,必须合理的使用组网技术。下面小编就与大家共同讨论一下两台路由器的连接和设置方法。 两台路由器的连接的方法 1、首先心中要有一个总体的构架,这样在组网和设计、配置的时候才不会凌乱。通常需要考虑一下每台路由器都是与哪些电脑相连,由于连接不同路由器的IP地址分配方式是不一样的,不过对于DHCP方式所分配的IP则无需考虑。同时我们需要同路由器进行标记,以防止混淆。 2、硬件的连接:

如何设置迅雷路由器限速?迅雷限速设置图文教程

时常发现很多用户都会在问路由器如何进行限速设置,看来很多人对于路由器限速功能并不太了解,下面就为大家介绍如何设置迅雷路由器限速,希望能帮助到大家。 方法/步骤 1、进入路由器后点击左边的三角进入下一页,如下图所示: 2、设备管理下就可以设置路由器限速,在限速下面的那个【无】上点击一下就可以进行设置。 3、设置限速的上传和下载的速度。 4、设置成功。 5、此时在限速下就可以看你刚刚设置的限速的网络速度了。 END 如何设置迅雷路由器限速?以上就是迅雷限速设置图文教程,希望对大家有所帮助!