11.防止包嗅探 。
经常将嗅探软件安装在已经侵入的上的计算机内,监视流,从而盗窃密码,包括SNMP通信密码,也包括路由器的登录和特权密码,这样管理员难以保证的安全性 。在不可信任的上不要用非加密协议登录路由器 。如果路由器支持加密协议,请使用SSH或KerberizedTelnet,或使用IPSec加密路由器所有的管理流 。
12.校验流路径的合法性 。
使用RPF(reversepathforwarding)反相路径转发,由于攻击者地址是违法的,所以攻击包被丢弃,从而达到抵御spoofing攻击的目的 。RPF反相路径转发的配置命令为:ipverifyunicastrpf 。注意:首先要支持CEF(CiscoExpressForwarding)快速转发 。
13.防止SYN攻击 。
目前,一些路由器的软件平台可以开启TCP拦截功能,防止SYN攻击,工作模式分拦截和监视两种,默认情况是拦截模式 。(拦截模式:路由器响应到达的SYN请求,并且代替器发送一个SYN-ACK报文,然后等待客户机ACK 。如果收到ACK,再将原来的SYN报文发送到器;监视模式:路由器允许SYN请求直接到达器,如果这个会话在30秒内没有建立起来,路由器就会发送一个RST,以清除这个连接 。)首先,配置访问列表,以备开启需要保护的IP地址:accesslist[1-199][deny permit]tcpanydestinationdestination-wildcard然后,开启TCP拦截:IptcpinterceptmodeinterceptIptcpinterceptlistaccesslist-numberIptcpinterceptmodewatch
14.使用安全的SNMP管理方案 。
SNMP广泛应用在路由器的监控、配置方面 。SNMPVersion1在穿越公网的管理应用方面,安全性低,不适合使用 。利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP的安全性能 。配置命令:snmp-servercommunityxxxxxRWxx;xx是访问控制列表号SNMPVersion2使用MD5数字身份鉴别方式 。不同的路由器设备配置不同的数字签名密码,这是提高整体安全性能的有效手段 。
总之,路由器的安全防范是安全的一个重要组成部分,还必须配合其他的安全防范措施,这样才能共同构筑起安全防范的整体工程 。
推荐阅读
- 十九朵玫瑰代表什么 十九朵玫瑰代表什么意思
- 上海市五十四中学怎么样
- 从后台得到webshell十大技巧大汇总
- 十斤辣椒要放多少盐
- 中国古代十大名枪
- 中国十大河流
- 10.50是十元零5角吗
- 华为手机支付保护中心在哪里
- 6FR过渡75r后十分钟评测
- 联想E320十大功过 利好版