複製鏈接
請複製以下鏈接發送給好友

邊界路由器

鎖定
網絡邊界的邊緣或末點的路由器,提供了對外界網絡的基本的安全保護,或者從缺乏網絡控制的區域進入到專用網絡區域
中文名
邊界路由器
外文名
border router
作    用
對外界網絡的基本的安全保護
安全設置
與專用防火牆一起使用
別    名
末點的路由器

邊界路由器產品介紹

邊界路由器(edge router),是異步傳輸模式(ATM)網絡中的術語,它是在一個或多個局域網絡(LAN)和ATM主幹網絡之間(無論是校園網絡還是廣域網(WAN))路由數據包的設備。邊界路由器(edge router)是邊界設備的一種。有時將邊界路由器與核心路由器(core router)相比較,核心路由器在網絡中(而不是在網絡間)將數據包傳送給電腦主機。 [1] 
用路由來保護內網的安全,這已經不是太新的話題了。那麼如何給內網增加一個有效地防護屏障呢?對於大多數1、企業局域網來説,路由器已經成為正在使用之中的最重要的安全設備之一。一般來説,大多數網絡都有一個主要的接入點。這就是通常與專用防火牆一起使用的“邊界路由器”。
經過恰當的設置,邊界路由器能夠把幾乎所有的最頑固的壞分子擋在網絡之外。如果你願意的話,這種路由器還能夠讓好人進入網絡。不過,沒有恰當設置的路由器只是比根本就沒有安全措施稍微好一點。
在下列指南中,我們將研究一下你可以用來保護網絡安全的9個方便的步驟。這些步驟能夠保證你擁有一道保護你的網絡的磚牆,而不是一個敞開的大門。

邊界路由器基本功能

邊界路由器的IP報轉發功能
邊界路由器將企業學校家庭的局域網接入到廣域網,在局域網和廣域網之間轉發IP報文。邊界路由器通常執行內部網關協議RIP或OSPF。RIP 是基於最短距離(跳數)的網關協議;OSPF 基於最短路徑優先的路由協議。邊界路由器根據路由協議建立路由表,維持到達其它網絡的路由。 [2] 
NAT地址轉換功能
由於因特網IP地址的匱乏,網絡運營商只為企業、學校、家庭局域網網關分配一個IP地址。企業、學校、家庭內部網絡使用私用網絡 IP 地址。因特網預留給私用網絡的IP 地址是:192.168.0.0~192.168.255.255(C類)、172.16,0.0~172.31.255.255(B 類)、10.0.0.0~10.255.255.255(A 類)。使用私用網絡IP地址的IP報文因特網不轉發。內部網絡計算機訪問因特網時,發出的IP報的IP地址必須由邊界路由器的NAT服務器轉換為因特網的IP地址,因特網返回的IP報文的IP地址必須由NAT服務器轉換為內網IP地址。邊界路由器通常提供 NAT 網絡地址轉換(Network Address Translation)地址轉化功能。 [2] 

邊界路由器工作機理

邊界路由器保護內網安全的九大步
修改默認的口令
據國外調查顯示,80%的安全突破事件是由薄弱的口令引起的。網絡上有大多數路由器的廣泛的默認口令列表。你可以肯定在某些地方的某個人會知道你的生日。網站維護一個詳盡的可用/不可用口令列表,以及一個口令的可靠性測試 [3] 
關閉IP直接廣播(IP DirectedBroadcast)
你的服務器是很聽話的。讓它做什麼它就做什麼,而且不管是誰發出的指令。Smurf攻擊是一種拒絕服務攻擊。在這種攻擊中,攻擊者使用假冒的源地址向你的網絡廣播地址發送一個“ICMP echo”請求。這要求所有的主機對這個廣播請求做出迴應。這種情況至少會降低你的網絡性能。
參考你的路由器信息文件,瞭解如何關閉IP直接廣播。例如,“Central(cONfig)#no ip source-route”這個指令將關閉思科路由器的IP直接廣播地址 [3] 
如果可能,關閉路由器的HTTP設置
正如思科的技術説明中簡要説明的那樣,HTTP使用的身份識別協議相當於向整個網絡發送一個未加密的口令。然而,遺憾的是,HTTP協議中沒有一個用於驗證口令或者一次性口令的有效規定。
雖然這種未加密的口令對於你從遠程位置(例如家裏)設置你的路由器也許是非常方便的,但是,你能夠做到的事情其他人也照樣可以做到。特別是如果你仍在使用默認的口令!如果你必須遠程管理路由器,你一定要確保使用SNMPv3以上版本的協議,因為它支持更嚴格的口令。 [3] 
封鎖ICMP ping請求
ping的主要目的是識別目前正在使用的主機。因此,ping通常用於更大規模的協同性攻擊之前的偵察活動。通過取消遠程用户接收ping請求的應答能力,你就更容易避開那些無人注意的掃描活動或者防禦那些尋找容易攻擊的目標的“腳本小子”(script. kiddies)。 [3] 
請注意,這樣做實際上並不能保護你的網絡不受攻擊,但是,這將使你不太可能成為一個攻擊目標。 [3] 
關閉IP源路由
IP協議允許一台主機指定數據包通過你的網絡的路由,而不是允許網絡組件確定最佳的路徑。這個功能的合法的應用是用於診斷連接故障。但是,這種用途很少應用。這項功能最常用的用途是為了偵察目的對你的網絡進行鏡像,或者用於攻擊者在你的專用網絡中尋找一個後門。除非指定這項功能只能用於診斷故障,否則應該關閉這個功能。 [3] 
確定你的數據包過濾的需求
封鎖端口有兩項理由。其中之一根據你對安全水平的要求對於你的網絡是合適的。 [3] 
對於高度安全的網絡來説,特別是在存儲或者保持秘密數據的時候,通常要求經過允許才可以過濾。在這種規定中,除了網路功能需要的之外,所有的端口和IP地址都必要要封鎖。例如,用於web通信的端口80和用於SMTP的110/25端口允許來自指定地址的訪問,而所有其它端口和地址都可以關閉。 [3] 
大多數網絡將通過使用“按拒絕請求實施過濾”的方案享受可以接受的安全水平。當使用這種過濾政策時,可以封鎖你的網絡沒有使用的端口和特洛伊木馬或者偵查活動常用的端口來增強你的網絡的安全性。例如,封鎖139端口和445(TCP和UDP)端口將使黑客更難對你的網絡實施窮舉攻擊。封鎖31337(TCP和UDP)端口將使Back Orifice木馬程序更難攻擊你的網絡。 [3] 
這項工作應該在網絡規劃階段確定,這時候安全水平的要求應該符合網絡用户的需求。查看這些端口的列表,瞭解這些端口正常的用途。 [3] 
建立准許進入和外出的地址過濾政策
在你的邊界路由器上建立政策以便根據IP地址過濾進出網絡的違反安全規定的行為。除了特殊的 不同尋常的案例之外,所有試圖從你的網絡內部訪問互聯網的IP地址都應該有一個分配給你的局域網的地址。例如,192.168.0.1這個地址也許通過這 個路由器訪問互聯網是合法的。但是,216.239.55.99這個地址很可能是欺騙性的,並且是一場攻擊的一部分。 [3] 
相反,來自互聯網外部的通信的源地址應該不是你的內部網絡的一部分。因此,應該封鎖入網的192.168.X.X、172.16.X.X和10.X.X.X等地址。 [3] 
最後,擁有源地址的通信或者保留的和無法路由的目標地址的所有的通信都應該允許通過這台路由器。這包括回送地址127.0.0.1或者E類(class E)地址段240.0.0.0-254.255.255.255。 [3] 
保持路由器的物理安全
從網絡嗅探的角度看,路由器比集線器更安全。這是因為路由器根據IP地址智能化地路由數據包,而集線器相所有的節點播出數據。如果連接到那台集線器的一個系統將其網絡適配器置於混亂的模式,它們就能夠接收和看到所有的廣播,包括口令、POP3通信和Web通信。然後,重要的是確保物理訪問你的網絡設備是安全的,以防止未經允許的筆記本電腦等嗅探設備放在你的本地子網中。 [3] 
花時間審閲安全記錄
審閲你的路由器記錄(通過其內置的防火牆功能)是查出安全事件的最有效的方法,無論是查出正 在實施的攻擊還是未來攻擊的徵候都非常有效。利用出網的記錄,你還能夠查出試圖建立外部連接的特洛伊木馬程序和間諜軟件程序。用心的安全管理員在病毒傳播 者作出反應之前能夠查出“紅色代碼”和“Nimda”病毒的攻擊。 [3] 

邊界路由器應用

網絡設計時通常將網絡分為核心層、匯聚層、接入層。核心層是網絡的主幹部分,承載數據的傳輸和交換,核心層所用的路由器為核心路由器;匯聚層匯聚服務區的數據流量,所用的路由器稱為匯聚路由器;接入層位於網絡的邊界,所用的路由器稱為邊界路由器。邊界路由器將企業網絡、校園網絡、家庭網絡接入 ISP 的城域網或廣域網,邊界路由器在兩個網絡之間轉發IP報文。根據轉發能力,邊界路由器分為用户級、網吧級、企業級三級。邊界路由器連接廣域網的接口稱為 WAN(廣域網) 口, 連接內部網絡的接口稱為 LAN(局域網)口。 [2] 
參考資料