目前网络上各种各样的病毒和攻击肆虐，毫无顾忌，造成了很大的损失，为此越来越多的路由器都开始带有防火墙功能，对于高端路由器，更是可以通过命令对路由器进行一定的设置，以减少病毒和攻击带来的损失，本文以H3C路由器为例，介绍如何防止DDOS攻击。

　　一、使用ip verfy unicast reverse-path检查每一个经过路由器的数据包，该数据包所到达网络接口的所有路由项中，如果没有该数据包源IP地址的路由，路由器将丢弃该数据包，单一地址反向传输路径转发在ISP实现阻止SMURF攻击和其它基于IP地址伪装的攻击，这能够保护网络和客户免受来自互联网其它地方的侵扰。

　　二、使用Unicast RPF 需要打开路由器的CEF swithing选项，不需要将输入接口配置为CEF交换，只要该路由器打开了CEF功能，所有独立的网络接口都可以配置为其它交换模式，反向传输路径转发属于在一个网络接口或子接口上激活的输入端功能，处理路由器接收的数据包。

　　三、使用访问控制列表过滤列出的所有地址

　　interface xy

　　ip access-group 101 in

　　access-list 101 deny ip 10.0.0.0 0.255.255.255 any

　　access-list 101 deny ip 192.168.0.0 0.0.255.255 any

　　access-list 101 deny ip 172.16.0.0 0.15.255.255 any

　　access-list 101 permit ip any any

　　四、ISP端边界路由器应该只接受源地址属于客户端网络的通信，而客户端网络则应该只接受源地址未被客户端网络过滤的通信。

　　access-list 190 permit ip {客户端网络} {客户端网络掩码} any

　　access-list 190 deny ip any any [log]

　　interface {内部网络接口} {网络接口号}

　　ip access-group 190 in