學(xué)習(xí)一些關(guān)于路由器配置的知識(shí)還是非常有用的，這里我們主要介紹路由器配置的相關(guān)知識(shí)，包括介紹堵住安全漏洞、避免身份危機(jī)等方面。路由器是信息網(wǎng)絡(luò)中實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)的關(guān)鍵設(shè)備，它將不同網(wǎng)絡(luò)或網(wǎng)段之間的數(shù)據(jù)信息進(jìn)行“翻譯”，以實(shí)現(xiàn)網(wǎng)絡(luò)互聯(lián)和資源共享。
堵住安全漏洞
路由器同計(jì)算機(jī)及其他網(wǎng)絡(luò)設(shè)備一樣，自身也存在一些缺陷和漏洞。利用路由器自身缺點(diǎn)進(jìn)行網(wǎng)絡(luò)攻擊，是黑客常用的手段。因此，我們必須在堵住路由器安全漏洞上采取必要的措施。限制系統(tǒng)物理訪問是最有效的方法之一。它是將控制臺(tái)和終端會(huì)話路由器配置成在較短閑置時(shí)間后，自動(dòng)退出系統(tǒng)，以堵住路由器的安全漏洞，保護(hù)整個(gè)網(wǎng)絡(luò)的安全。此外，應(yīng)避免將調(diào)制解調(diào)器連接到路由器的輔助端口。
避免身份危機(jī)
黑客常常利用弱口令或默認(rèn)口令進(jìn)行攻擊。加長(zhǎng)口令，有助于防御這類攻擊。當(dāng)網(wǎng)絡(luò)管理人員調(diào)離或退出本崗位時(shí)，應(yīng)立即更換口令。另外，還應(yīng)啟用路由器的口令加密功能。在大多數(shù)的路由器上，可以路由器配置一些協(xié)議，如遠(yuǎn)程驗(yàn)證撥入用戶服務(wù)，結(jié)合驗(yàn)證服務(wù)器提供經(jīng)過加密、驗(yàn)證的路由器訪問，以加強(qiáng)路由器的安全系數(shù)，提高整個(gè)網(wǎng)絡(luò)的安全性。
限制邏輯訪問
限制邏輯訪問，主要是借助于合理處置訪問控制列表，限制遠(yuǎn)程終端會(huì)話，有助于防止黑客獲得系統(tǒng)邏輯訪問。SSH是優(yōu)先的邏輯訪問方法，但如果無法避免TELNET，不妨使用終端訪問控制，以限制只能訪問可信主機(jī)。因此，需要給TELNET在路由器上使用的虛擬終端端口添加一份訪問列表。
控制消息協(xié)議ICMP有助于排除故障，但也為攻擊者提供了用來瀏覽網(wǎng)絡(luò)設(shè)備、確定時(shí)間戳和網(wǎng)絡(luò)掩碼以及對(duì)OS修正版本作出推測(cè)的信息。為了防止黑客搜集上述信息，只允許以下類型的ICMP流量進(jìn)入網(wǎng)絡(luò):ICMP網(wǎng)無法到達(dá)的、主機(jī)無法到達(dá)的、端口無法到達(dá)的、包太大的、源抑制的以及超出生存時(shí)間(TTL)的。此外，邏輯訪問控制還應(yīng)禁止ICMP流量以外的所有流量。
使用入站訪問控制，可將特定服務(wù)器引導(dǎo)至對(duì)應(yīng)的服務(wù)器。例如，只允許SMTP流量進(jìn)入郵件服務(wù)器;DNS流量進(jìn)入DNS服務(wù)器;通過安全套接協(xié)議層(SSL)的HTTP(HTTPS)流量進(jìn)入WEB服務(wù)器。為了避免路由器成為DoS攻擊目標(biāo)，應(yīng)拒絕以下流量進(jìn)入:沒有IP地址的包，采用本地主機(jī)地址、廣播地址、多播地址以及任何假冒的內(nèi)部地址的包。還可以采取增加SYM ACK隊(duì)列長(zhǎng)度、縮短ACK超時(shí)等措施，來保護(hù)路由器免受TCP SYN攻擊。
監(jiān)控路由器配置更改
在對(duì)路由器配置進(jìn)行改動(dòng)時(shí)，需要對(duì)其進(jìn)行監(jiān)控。如果使用了SNMP，則一定要選擇功能強(qiáng)大的共用字符串，最好是使用提供消息加密功能的 SNMP。如果不通過SNMP管理而對(duì)設(shè)備進(jìn)行遠(yuǎn)程路由器配置，最好將SNMP設(shè)備路由器配置成只讀，拒絕對(duì)這些設(shè)備進(jìn)行寫訪問。這樣，能防止黑客改動(dòng)或關(guān)閉接口。此外，還要將系統(tǒng)日志信息從路由器發(fā)送至指定服務(wù)器。同時(shí)，為進(jìn)一步確保安全管理，還可使用SSH等加密機(jī)制，利用SSH與路由器建立加密的遠(yuǎn)程會(huì)話。
實(shí)施路由器配置管理
配置管理的一個(gè)重要部分，就是確保網(wǎng)絡(luò)使用合理的路由器協(xié)議，避免使用路由信息協(xié)議(RIP)。因?yàn)镽IP很容易被欺騙而接受不合法的路由更新。所以，必須實(shí)施控制存放、檢索及更新路由器配置，以便在新配置出現(xiàn)問題時(shí)能更換、重裝或恢復(fù)到原先的路由器配置。另外，還可以通過兩種方法，將配置文檔存放在支持命令行接口(CLT)的路由器平臺(tái)上。一種是運(yùn)行腳本，腳本能在路由器配置服務(wù)器到路由器之間建立SSH會(huì)話、登錄系統(tǒng)、關(guān)閉控制器日志功能、顯示配置、保存路由器配置到本地文件以及退出系統(tǒng)。另一種是在路由器配置服務(wù)器到路由器之間建立IPSEC遂道，通過該安全遂道內(nèi)的TFTP，將路由器配置文件拷貝到服務(wù)器。同時(shí)，還應(yīng)明確哪些人員可以更改路由器配置、何時(shí)進(jìn)行更改以及如何進(jìn)行更改，在進(jìn)行任何更改之前，制定詳細(xì)的逆序操作規(guī)程。
京公網(wǎng)安備 11010502049343號(hào)