| |
了解一些關(guān)于路由器故障維護(hù)的方法還是非常有幫助的，這里我們主要介紹校園網(wǎng)常見(jiàn)路由器故障維護(hù)方法。限制邏輯訪問(wèn)主要借助于合理處置訪問(wèn)控制列表，限制遠(yuǎn)程終端會(huì)話有助于防止黑客獲得系統(tǒng)邏輯訪問(wèn)。SSH是優(yōu)先的邏輯訪問(wèn)方法，但如果無(wú)法避免Telnet，不妨使用終端訪問(wèn)控制，以限制只能訪問(wèn)可信主機(jī)。因此，用戶需要給Telnet在路由器上使用的虛擬終端端口添加一份訪問(wèn)列表。
路由器故障維護(hù)：封鎖ICMP ping請(qǐng)求
控制消息協(xié)議(ICMP)有助于排除故障，識(shí)別正在使用的主機(jī)，這樣為攻擊者提供了用來(lái)瀏覽網(wǎng)絡(luò)設(shè)備、確定本地時(shí)間戳和網(wǎng)絡(luò)掩碼以及對(duì)OS修正版本作出推測(cè)的信息。因此通過(guò)取消遠(yuǎn)程用戶接收ping請(qǐng)求的應(yīng)答能力，就能更容易的避開那些無(wú)人注意的掃描活動(dòng)或者防御那些尋找容易攻擊的目標(biāo)的“腳本小子”(script kiddies)。
路由器故障維護(hù)：關(guān)閉IP源路由
IP協(xié)議允許一臺(tái)主機(jī)指定數(shù)據(jù)包通過(guò)你的網(wǎng)絡(luò)路由，而不是允許網(wǎng)絡(luò)組件確定最佳的路徑。這個(gè)功能的合法應(yīng)用是診斷連接故障。但是，這種用途很少得到應(yīng)用，事實(shí)上，它最常見(jiàn)的用途是為了偵察目的對(duì)網(wǎng)絡(luò)進(jìn)行鏡像，或者用于攻擊者在專用網(wǎng)絡(luò)中尋找一個(gè)后門。除非指定這項(xiàng)功能只能用于診斷故障，否則應(yīng)該關(guān)閉這個(gè)功能。
路由器故障維護(hù)：監(jiān)控配置更改
用戶在對(duì)路由器配置進(jìn)行改動(dòng)之后，需要對(duì)其進(jìn)行監(jiān)控。如果用戶使用SNMP，那么一定要選擇功能強(qiáng)大的共用字符串，最好是使用提供消息加密功能的SNMP。如果不通過(guò)SNMP管理對(duì)設(shè)備進(jìn)行遠(yuǎn)程配置，用戶最好將SNMP設(shè)備配置成只讀。拒絕對(duì)這些設(shè)備進(jìn)行寫訪問(wèn)，用戶就能防止黑客改動(dòng)或關(guān)閉接口。 此外，用戶還需將系統(tǒng)日志消息從路由器發(fā)送至指定服務(wù)器。
進(jìn)一步確保安全管理，用戶可以使用SSH等加密機(jī)制，利用SSH與路由器建立加密的遠(yuǎn)程會(huì)話。為了加強(qiáng)保護(hù)，用戶還應(yīng)該限制SSH會(huì)話協(xié)商，只允許會(huì)話用于用戶經(jīng)常使用的幾個(gè)可信系統(tǒng)進(jìn)行通信。
路由器故障維護(hù)：地址過(guò)濾
在校園網(wǎng)邊界路由器上建立政策以便根據(jù)IP地址過(guò)濾進(jìn)出網(wǎng)絡(luò)的違反安全規(guī)定的行為。除了特殊的案例之外，所有試圖從網(wǎng)絡(luò)內(nèi)部訪問(wèn)互聯(lián)網(wǎng)的IP地址都應(yīng)該有一個(gè)分配的局域網(wǎng)地址。例如，192.168.0.1通過(guò)這個(gè)路由器訪問(wèn)互聯(lián)網(wǎng)也許是合法的。但是，216.239.55.99這個(gè)地址很可能是欺騙性的，并且是一場(chǎng)攻擊的一部分。相反，來(lái)自互聯(lián)網(wǎng)外部的通信的源地址應(yīng)該不是內(nèi)部網(wǎng)絡(luò)的一部分。因此，應(yīng)該封鎖入網(wǎng)的192.168.X.X、172.16.X.X和10.X.X.X等地址。最后，擁有源地址的、保留的和無(wú)法路由目標(biāo)地址的所有通信都應(yīng)該允許通過(guò)這臺(tái)路由器。這包括回送地址127.0.0.1或者E類地址段。
在組建校園網(wǎng)的時(shí)候，只有選擇合適的路由器，經(jīng)過(guò)正確配置和采用對(duì)應(yīng)的維護(hù)策略后，才能使校園網(wǎng)網(wǎng)絡(luò)流暢，安全可靠，充分發(fā)揮校園網(wǎng)在學(xué)校管理、獲取信息資源等方面的作用。
路由器故障維護(hù)：路由器工作原理
路由器是用來(lái)連接不同網(wǎng)段或網(wǎng)絡(luò)的，其方法是通過(guò)識(shí)別不同網(wǎng)絡(luò)的網(wǎng)絡(luò)ID號(hào)進(jìn)行。路由器要識(shí)別另一個(gè)網(wǎng)絡(luò)，首先要識(shí)別對(duì)方的網(wǎng)絡(luò)ID，看是不是與目的節(jié)點(diǎn)地址中的網(wǎng)絡(luò)ID號(hào)相一致。如果是就向這個(gè)網(wǎng)絡(luò)的路由器發(fā)送，接收網(wǎng)絡(luò)的路由器在接收到源網(wǎng)絡(luò)發(fā)來(lái)的報(bào)文后，根據(jù)報(bào)文中所包括的目的節(jié)點(diǎn)IP地址中的主機(jī)ID號(hào)來(lái)識(shí)別是發(fā)給哪一個(gè)節(jié)點(diǎn)的，然后再直接發(fā)送。 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
