天下网吧 >> 网吧天地 >> 网吧技术 >> 网吧安全 >> 正文

网络安全的保障---合理“布兵”路由器

2008-2-18ccidnet佚名

  路由器是信息网络中实现网络互联的关键设备,它将不同网络或网段之间的数据信息进行“翻译”,以实现网络互联和资源共享。因此,路由器安全问题直接影响整个网络的安全。笔者认为,保护路由器安全可采取以下安全措施。

堵住安全漏洞

  路由器同计算机及其他网络设备一样,自身也存在一些缺陷和漏洞。利用路由器自身缺点进行网络攻击,是黑客常用的手段。因此,我们必须在堵住路由器安全漏洞上采取必要的措施。限制系统物理访问是最有效的方法之一。它是将控制台和终端会话配置成在较短闲置时间后,自动退出系统,以堵住路由器的安全漏洞,保护整个网络的安全。此外,应避免将调制解调器连接到路由器的辅助端口。

避免身份危机

  黑客常常利用弱口令或默认口令进行攻击。加长口令,有助于防御这类攻击。当网络管理人员调离或退出本岗位时,应立即更换口令。另外,还应启用路由器的口令加密功能。在大多数的路由器上,可以配置一些协议,如远程验证拨入用户服务,结合验证服务器提供经过加密、验证的路由器访问,以加强路由器的安全系数,提高整个网络的安全性。

限制逻辑访问

  限制逻辑访问,主要是借助于合理处置访问控制列表,限制远程终端会话,有助于防止黑客获得系统逻辑访问。SSH是优先的逻辑访问方法,但如果无法避免TELNET,不妨使用终端访问控制,以限制只能访问可信主机。因此,需要给TELNET在路由器上使用的虚拟终端端口添加一份访问列表。

  控制消息协议ICMP有助于排除故障,但也为攻击者提供了用来浏览网络设备、确定时间戳和网络掩码以及对OS修正版本作出推测的信息。为了防止黑客搜集上述信息,只允许以下类型的ICMP流量进入网络:ICMP网无法到达的、主机无法到达的、端口无法到达的、包太大的、源抑制的以及超出生存时间(TTL)的。此外,逻辑访问控制还应禁止ICMP流量以外的所有流量。

  使用入站访问控制,可将特定服务器引导至对应的服务器。例如,只允许SMTP流量进入邮件服务器;DNS流量进入DNS服务器;通过安全套接协议层(SSL)的HTTP(HTTPS)流量进入WEB服务器。为了避免路由器成为DoS攻击目标,应拒绝以下流量进入:没有IP地址的包,采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。还可以采取增加SYM ACK队列长度、缩短ACK超时等措施,来保护路由器免受TCP SYN攻击。

监控配置更改

  在对路由器配置进行改动时,需要对其进行监控。如果使用了SNMP,则一定要选择功能强大的共用字符串,最好是使用提供消息加密功能的SNMP。如果不通过SNMP管理而对设备进行远程配置,最好将SNMP设备配置成只读,拒绝对这些设备进行写访问。这样,能防止黑客改动或关闭接口。此外,还要将系统日志信息从路由器发送至指定服务器。同时,为进一步确保安全管理,还可使用SSH等加密机制,利用SSH与路由器建立加密的远程会话。

实施配置管理

  配置管理的一个重要部分,就是确保网络使用合理的路由器协议,避免使用路由信息协议(RIP)。因为RIP很容易被欺骗而接受不合法的路由更新。所以,必须实施控制存放、检索及更新路由器配置,以便在新配置出现问题时能更换、重装或恢复到原先的配置。另外,还可以通过两种方法,将配置文档存放在支持命令行接口(CLT)的路由器平台上。一种是运行脚本,脚本能在配置服务器到路由器之间建立SSH会话、登录系统、关闭控制器日志功能、显示配置、保存配置到本地文件以及退出系统。另一种是在配置服务器到路由器之间建立IPSEC遂道,通过该安全遂道内的TFTP,将配置文件拷贝到服务器。同时,还应明确哪些人员可以更改路由器配置、何时进行更改以及如何进行更改,在进行任何更改之前,制定详细的逆序操作规程。

欢迎访问最专业的网吧论坛,无盘论坛,网吧经营,网咖管理,网吧专业论坛https://bbs.txwb.com

关注天下网吧微信,了解网吧网咖经营管理,安装维护:


本文来源:ccidnet 作者:佚名

声明
本文来源地址:0
声明:本站所发表的文章、评论及图片仅代表作者本人观点,与本站立场无关。若文章侵犯了您的相关权益,请及时与我们联系,我们会及时处理,感谢您对本站的支持!联系Email:support@txwb.com.,本站所有有注明来源为天下网吧或天下网吧论坛的原创作品,各位转载时请注明来源链接!
天下网吧·网吧天下
  • 本周热门
  • 本月热门
  • 阅读排行