目前大多数的企事业单位和部门连Internet网，通常都是一台路由器与ISP连坚固现 。这台路由器就是沟通外部Internet和内部网络的桥梁，假如这台路由器能够合理进行安全设置，那么就可以对内部的网络提供一定安全性或对已有的安全多了一层屏障 。现在大多数的路由器都是Cisco公司的产品或与其功能近似，本文在这里就针对Cisco路由器的安全配置进行治理 。
考虑到路由器的作用和位置，路由器配置的好坏不仅影响本身的安全也影响整个网络的安全 。目前路由器（以Cisco为例）本身也都带有一定的安全功能，如访问列表、加密等，但是在缺省配置时，这些功能大多数都是关闭的 。需要进行手工配置 。怎样的配置才能最大的满足安全的需要，且不降低网络的性能？本文从以下几个部分分别加以说明：
一. 口令治理
口令是路由器是用来防止对于路由器的非授权访问的主要手段，是路由器本身安全的一部分 。最好的口令处理方法是将这些口令保存在TACACS 或RADIUS认证服务器上 。但是几乎每一个路由器都要有一个本地配置口令进行权限访问 。如何维护这部分的安全？
1． 使用enable secret
enable secret 命令用于设定具有治理员权限的口令 。并且假如没有enable secret，则当一个口令是为控制台TTY设置的，这个口令也能用于远程访问 。这种情况是不希望的 。还有一点就是老的系统采用的是enable passWord，虽然功能相似，但是enable password采用的加密算法比较弱 。
2． 使用service password-encryption
这条命令用于对存储在配置文件中的所有口令和类似数据（如CHAP）进行加密 。避免当配置文件被不怀好意者看见，从而获得这些数据的明文 。但是service password-encrypation的加密算法是一个简单的维吉尼亚加密，很轻易被破译 。这主要是针对enable password命令设置的口令 。而enable secret命令采用的是MD5算法，这种算法很难进行破译的 。但是这种MD5算法对于字典式攻击还是没有办法 。
所以不要以为加密了就可以放心了，最好的方法就是选择一个长的口令字，避免配置文件被外界得到 。且设定enable secret和service password-encryption 。
二. 控制交互式访问
任何人登录到路由器上都能够显示一些重要的配置信息 。一个攻击者可以将路由器作为攻击的中转站 。所以需要正确控制路由器的登录访问 。尽管大部分的登录访问缺省都是禁止的 。但是有一些例外，如直连的控制台终端等 。
控制台端口具有非凡的权限 。非凡注重的是，当路由器重启动的开始几秒假如发送一个Break信号到控制台端口，则利用口令恢复程式可以很轻易控制整个系统 。这样假如一个攻击者尽管他没有正常的访问权限，但是具有系统重启（切断电源或系统崩溃）和访问控制端口（通过直连终端、Modem、终端服务器）的能力就可以控制整个系统 。所以必须保证所有连结控制端口的访问的安全性 。
除了通过控制台登录路由器外还有很多的方法，根据配置和操作系统版本的不同，可以支持如Telnet、rlogin、Ssh以及非基于IP的网络协议如LAT、MOP、X.29和V.120等或者Modem拨号 。所有这些都涉及到TTY，本地的异步终端和拨号Modem用标准的"TTYs" 。远地的网络连结不管采用什么协议都是虚拟的TTYs，即"VTYs" 。要控制路由器的访问，最好就是控制这些TTYs或VTYs，加上一些认证或利用login、no password命令禁止访问 。
1．控制TTY
缺省的情况下一个远端用户可以连结到一个TTY，称为"反向Telnet"，答应远端用户和连接到这个TTY上的终端或Modem进行交互 。但是这些特征答应一个远端用户连接到一个本地的异步终端口或一个拨入的Modem端口，从而构造一个假的登录过程来偷盗口令或其他的非法活动 。所以最好禁止这项功能，可以采用transport input none设置任何异步或Modem不接收来自网络用户的连结 。假如可能，不要用相同的Modem拨入和拨出，且禁止反向Telnet拨入 。
推荐阅读
- 路由器的类型
- 选择安全路由器的标准
- 连接一个终端到Cisco路由器
- 路由器能否取代防火墙？
- 路由器的安全设计
- 基本的CISCO路由器安全配置
- 路由器的安全与可靠的问题
- 2505路由器HUB端口的安全性配置
- 在低端路由器上实现双机热备份和EIGRP的路由调整实例
- Cisco1600和800系列路由器运行OSPF的注意事项