路由器配置前我們要知道路由器是信息網絡中實現網絡互聯的關鍵設備，它將不同網絡或網段之間的數據信息進行“翻譯”，以實現網絡互聯和資源共享。下面就來看路由器的快速配置方法：
堵住安全漏洞
路由器同計算機及其他網絡設備一樣，自身也存在一些缺陷和漏洞。利用路由器自身缺點進行網絡攻擊，是黑客常用的手段。因此，我們必須在堵住路由器安全漏洞上采取必要的措施。限制系統物理訪問是最有效的方法之一。它是將控制臺和終端會話路由器配置成在較短閑置時間后，自動退出系統，以堵住路由器的安全漏洞，保護整個網絡的安全。此外，應避免將調制解調器連接到路由器的輔助端口。
避免身份危機
黑客常常利用弱口令或默認口令進行攻擊。加長口令，有助于防御這類攻擊。當網絡管理人員調離或退出本崗位時，應立即更換口令。另外，還應啟用路由器的口令加密功能。在大多數的路由器上，可以路由器配置一些協議，如遠程驗證撥入用戶服務，結合驗證服務器提供經過加密、驗證的路由器訪問，以加強路由器的安全系數，提高整個網絡的安全性。
限制邏輯訪問
限制邏輯訪問，主要是借助于合理處置訪問控制列表，限制遠程終端會話，有助于防止黑客獲得系統邏輯訪問。SSH是優先的邏輯訪問方法，但如果無法避免TELNET，不妨使用終端訪問控制，以限制只能訪問可信主機。因此，需要給TELNET在路由器上使用的虛擬終端端口添加一份訪問列表。
控制消息協議ICMP有助于排除故障，但也為攻擊者提供了用來瀏覽網絡設備、確定時間戳和網絡掩碼以及對OS修正版本作出推測的信息。為了防止黑客搜集上述信息，只允許以下類型的ICMP流量進入網絡:ICMP網無法到達的、主機無法到達的、端口無法到達的、包太大的、源抑制的以及超出生存時間(TTL)的。此外，邏輯訪問控制還應禁止ICMP流量以外的所有流量。
使用入站訪問控制，可將特定服務器引導至對應的服務器。例如，只允許SMTP流量進入郵件服務器;DNS流量進入DNS服務器;通過安全套接協議層(SSL)的HTTP(HTTPS)流量進入WEB服務器。為了避免路由器成為DoS攻擊目標，應拒絕以下流量進入:沒有IP地址的包，采用本地主機地址、廣播地址、多播地址以及任何假冒的內部地址的包。還可以采取增加SYM ACK隊列長度、縮短ACK超時等措施，來保護路由器免受TCP SYN攻擊。
監控路由器配置更改
在對路由器配置進行改動時，需要對其進行監控。如果使用了SNMP，則一定要選擇功能強大的共用字符串，最好是使用提供消息加密功能的 SNMP。如果不通過SNMP管理而對設備進行遠程路由器配置，最好將SNMP設備路由器配置成只讀，拒絕對這些設備進行寫訪問。這樣，能防止黑客改動或關閉接口。此外，還要將系統日志信息從路由器發送至指定服務器。同時，為進一步確保安全管理，還可使用SSH等加密機制，利用SSH與路由器建立加密的遠程會話。
實施路由器配置管理
配置管理的一個重要部分，就是確保網絡使用合理的路由器協議，避免使用路由信息協議(RIP)。因為RIP很容易被欺騙而接受不合法的路由更新。所以，必須實施控制存放、檢索及更新路由器配置，以便在新配置出現問題時能更換、重裝或恢復到原先的路由器配置。
1. 路由器的體系結構
圖1給出了一般路由器的邏輯體系結構。它主要由下面幾部分組成 ：路由引擎、轉發引擎、 路由表、網絡適配器和相關的邏輯電路等。轉發引擎負責把從一個網絡適配器來的數據包轉發到另一個網絡適配器出去。IP協議，包括對路由表的查找，構成了轉發引擎中最主要的部分。由于每個通過路由器并需要其轉發的數據包都要對路由表進行查找，所以路由表的查找效率如何往往決定了整個路由器的性能。路由引擎則包括了高層協議，特別是路由協議，它負責對路由表的更新。由于路由引擎不涉及通過路由器的數據通路，故它可用通用的CPU代替。
2.硬件路由表的數據結構設計
一般路由器中路由表的每一項至少有這樣的信息：目標地址、網絡隱碼、下一跳地址。如果對每一個IP地址都要一個表項，那么需要占用很大的2323*4字節的存儲器，而且其中必定有很多的表項沒有被使用，這就會造成極大的資源浪費。
為了用硬件實現路由表的查找，查找算法需要滿足如下的條件：
1) 實時的實現路由表的查找;
2) 有效的實現路由表的插入和刪除;
3) 提供有效的最長前綴匹配;
4) 具有良好的可擴展性;
5) 支持廣播和組播;
6) 有效的對Memory進行利用;
7) 硬件上容易實現，并具有良好的性能 。
我們考慮，如果在對路由表的查找中，把子網隱碼和IP地址結合起來，對IP地址進行相應的分段，并把它們相連。這樣在路由表的表項中，只有IP地址的一部分及其相應的隱碼部分，可以實現良好的可擴展性，只要對Memory進行有效的管理，可以靈活的動態的實現對路由的插入和刪除。鑒于此，我們設計該表的結構(如下面的表一所示 )：
點擊查看大圖
它的思想是：把32位IPv4地址主要分成4部分，每部分8位。在該結構中，Address-part[0-4]是IP地址中的一部分，Mask-part[0-4]是相應的掩碼部分。Hit-next[0-4]是需要查找的目標IP地址與掩碼部分相與后，與Address-part一致時所要查找的下一路由項所在地址的指針。,Miss-hit[0-4]則是相互不一致時，下一路由項所在地址的指針。Shift位則用于判斷是否需要對IP地址中的下8位進行查找和判斷。它只有在當前的8位IP地址與目標地址中相應的8位一致時，才會被置位。Stop位用于判斷是否還需進行查找。它在IP地址查找結束時被置位，或沒有比當前項所對應的IP地址更長的路由表項時被置位。
圖2就是一個表1的例子 ：
在該例子中，每一方框中上面一行表示相應的IP地址部分和隱碼部分。下面一行表示相關的隱碼部分的二進制表示。 相應的查找算法如下：
/*查找算法開始 */
search = TRUE ;
WHILE ( search )
{
masked_key = key & ( entry ->mask_part ) ;
result = ( entry ->address_part ) = = masked_key
IF ( result = = TRUE ) {
best_match = entry ;
entryentry = entry ->hit_next;
}ELSE{ entryentry = entry ->miss_next;
IF ( entry ->stop = = TRUE ) search = FALSE;
}
}
RETURN best_match ;
/*查找算法結束 */
為了實現有效的插入和刪除，我們還要在路由表的數據結構中再另外添加幾個域 ：parent指針(指向本結點的父結點)，路由信息(routeinfo)等。它們的用途是在路由表的查找過程中，特別是在指針的回溯(pointer reversal)中，可以大大的節省查找時間。由于IP路由的插入和刪除比較復雜。我們只是粗略得說明一下。
IP路由的插入：
/*插入算法開始 */
/* 先用上面提到的查找算法找出best-match */
best_match = search ( new_entry );
/* 確定需要加入的路由中沒有被best-match包括的那幾位 */
for ( count = first_unmatched_bit ; count <= sizeof ( new_entry) ;
count+= sizeof ( address_part ) {
/* 創建新的結點 */
create new node ;
/* 將該結點連入best_match的hit_next */
link node into hit branch of best_match ;
}
/*插入算法結束 */
IP路由的刪除要分幾種情況討論 。如 best_match 是葉子結點 ，best_match的hit_next指針為空, best_match的miss_next指針為空 和hit_next指針和miss_next指針都不為空等四種情況。這里就不再討論?！ ×硗猓€可以通過兩種方法，將配置文檔存放在支持命令行接口(CLT)的路由器平臺上。一種是運行腳本，腳本能在路由器配置服務器到路由器之間建立SSH會話、登錄系統、關閉控制器日志功能、顯示配置、保存路由器配置到本地文件以及退出系統。另一種是在路由器配置服務器到路由器之間建立IPSEC遂道，通過該安全遂道內的TFTP，將路由器配置文件拷貝到服務器。同時，還應明確哪些人員可以更改路由器配置、何時進行更改以及如何進行更改，在進行任何更改之前，制定詳細的逆序操作規程。
路由器配置的方法您通過以上的內容應該有所了解了，這些都是基礎知識，很容易就會掌握的，希望讀者能夠掌握。
京公網安備 11010502049343號