路由器作业原理
路由器是作业在IP协议网络层完成子网之间转发数据的设备。路由器内部能够划分为操控平面和数据通道。在操控平面上，路由协议能够有不同的类型。路由器经过路由协议交流网络的拓扑结构信息，按照拓扑结构动态生成路由表。在数据通道上，转发引擎从输入线路接纳IP包后，剖析与批改包头，运用转宣布查找输出端口，把数据交流到输出线路上。转宣布是依据路由表生成的，其表项和路由表项有直接对应联系，但转宣布的格局和路由表的格局不同，它更适合完成快速查找。转发的首要流程包含线路输入、包头剖析、数据存储、包头批改和线路输出。
路由协议依据网络拓扑结构动态生成路由表。IP协议把整个网络划分为办理区域，这些办理区域称为自治域，自治域区号施行全网统一办理。这样，路由协议就有域内协议和域间协议之分。域内路由协议，如OSPF、IS-IS，在路由器间交流办理域内代表网络拓扑结构的链路状况，依据链路状况推导出路由表。域间路由协议相邻节点交流数据，不能运用多播办法，只能选用指定的点到点衔接。
路由器结构体系
路由器的操控平面，运转在通用CPU体系中，多年来一向没有多少改变。在高可用性规划中，能够选用双主控进行主从式备份，来保证操控平面的可靠性。路由器的数据通道，为习惯不同的线路速度，不同的体系容量，选用了不同的完成技能。 路由器的结构体系正是依据数据通道转发引擎的完成机理来区别。简略而言，能够分为软件转发路由器和硬件转发路由器。软件转发路由器运用CPU软件技能完成数据转发，依据运用CPU的数目，进一步区别为单CPU的集中式和多CPU的分布式。硬件转发路由器运用网络处理器硬件技能完成数据转发，依据运用网络处理器的数目及网络处理器在设备中的方位，进一步细分为单网络处理器的集中式、多网络处理器的负荷分管并行式和中心交流分布式。
路由器安全设置
关于黑客来说，运用路由器的缝隙建议进犯通常是一件比较简单的工作。路由器进犯会糟蹋CPU周期，误导信息流量，使网络陷于瘫痪。好的路由器自身会采纳一个好的安全机制来维护自己，可是仅此一点是远远不够的。维护路由器安全还需求网管员在装备和办理路由器过程中采纳相应的安全办法。
堵住安全缝隙
约束体系物理拜访是保证路由器安全的最有用办法之一。约束体系物理拜访的一种办法便是将操控台和终端会话装备成在较短搁置时刻后主动退出体系。防止将调制解调器衔接至路由器的辅佐端口也很重要。一旦约束了路由器的物理拜访，用户一定要保证路由器的安全补丁是最新的。缝隙常常是在供货商发行补丁之前被发表，这就使得黑客抢在供货商发行补丁之前运用受影响的体系，这需求引起用户的重视。
防止身份危机
黑客常常运用弱口令或默许口令进行进犯。加长口令、选用30到60天的口令有用期等办法有助于防止这类缝隙。别的，一旦重要的IT职工辞去职务，用户应该当即替换口令。用户应该启用路由器上的口令加密功用，这样即便黑客能够阅读体系的装备文件，他依然需求破译密文口令。施行合理的验证操控以便路由器安全地传输证书。在大多数路由器上，用户能够装备一些协议，如长途验证拨入用户服务，这样就能运用这些协议结合验证服务器供给经过加密、验证的路由器拜访。验证操控能够将用户的验证恳求转发给通常在后端网络上的验证服务器。验证服务器还能够要求用户运用双要素验证，以此加强验证体系。双要素的前者是软件或硬件的令牌生成部分，后者则是用户身份和令牌通行码。其他验证解决方案触及在安全外壳（SSH）或IPSec内传送安全证书。
禁用不必要服务
具有很多路由服务是件功德，但近来许多安全事情都凸显了禁用不需求本地服务的重要性。需求留意的是，禁用路由器上的CDP或许会影响路由器的功用。另一个需求用户考虑的要素是守时。守时对有用操作网络是必不可少的。即运用户保证了布置期间时刻同步，经过一段时刻后，时钟仍有或许逐步失掉同步。用户能够运用名为网络时刻协议（NTP）的服务，对照有用精确的时刻源以保证网络上的设备时针同步。不过，保证网络设备时钟同步的最佳办法不是经过路由器，而是在防火墙维护的非军事区（DMZ）的网络区段放一台NTP服务器，将该服务器装备成仅答应向外面的可信公共时刻源提出时刻恳求。在路由器上，用户很少需求运转其他服务，如SNMP和DHCP。只要肯定必要的时分才运用这些服务。
约束逻辑拜访
约束逻辑拜访首要是借助于合理处置拜访操控列表。约束长途终端会话有助于防止黑客取得体系逻辑拜访。SSH是优先的逻辑拜访办法，但假如无法防止Telnet，无妨运用终端拜访操控，以约束只能拜访可信主机。因而，用户需求给Telnet在路由器上运用的虚拟终端端口添加一份拜访列表。
操控音讯协议（ICMP）有助于排除故障，但也为进犯者供给了用来阅读网络设备、确认本地时刻戳和网络掩码以及对OS批改版别作出估测的信息。为了防止黑客收集上述信息，只答应以下类型的ICMP流量进入用户网络：ICMP网无法抵达的、主机无法抵达的、端口无法抵达的、包太大的、源按捺的以及超出生计时刻（TTL）的。此外，逻辑拜访操控还应制止ICMP流量以外的一切流量。
运用入站拜访操控将特定服务引导至对应的服务器。例如，只答应SMTP流量进入邮件服务器；DNS流量进入DSN服务器；经过安全套接协议层（SSL）的HTTP（HTTP/S）流量进入Web服务器。为了防止路由器成为DoS进犯方针，用户应该回绝以下流量进入：没有IP地址的包、选用本地主机地址、播送地址、多播地址以及任何冒充的内部地址的包。尽管用户无法根绝DoS进犯，但用户能够约束DoS的损害。用户能够采纳添加SYN ACK行列长度、缩短ACK超时等办法来维护路由器免受TCP SYN进犯。
用户还能够运用出站拜访操控约束来自网络内部的流量。这种操控能够防止内部主机发送ICMP流量，只答应有用的源地址包脱离网络。这有助于防止IP地址诈骗，减小黑客运用用户体系进犯另一站点的或许性。
监控装备更改
用户在对路由器装备进行改动之后，需求对其进行监控。假如用户运用SNMP，那么一定要挑选功用强大的共用字符串，最好是运用供给音讯加密功用的SNMP。假如不经过SNMP办理对设备进行长途装备，用户最好将SNMP设备装备成只读。拒肯定这些设备进行写拜访，用户就能防止黑客改动或封闭接口。此外，用户还需将体系日志音讯从路由器发送至指定服务器。
为进一步保证安全办理，用户能够运用SSH等加密机制，运用SSH与路由器树立加密的长途会话。为了加强维护，用户还应该约束SSH会话洽谈，只答应会话用于同用户常常运用的几个可信体系进行通讯。
装备办理的一个重要部分便是保证网络运用合理的路由协议。防止运用路由信息协议（RIP），RIP很简单被诈骗而承受不合法的路由更新。用户能够装备鸿沟网关协议（BGP）和敞开最短途径优先协议（OSPF）等协议，以便在承受路由更新之前，经过发送口令的MD5散列，运用口令验证对方。以上办法有助于保证体系承受的任何路由更新都是正确的。
施行装备办理
用户应该施行操控寄存、检索及更新路由器装备的装备办理战略，并将装备备份文档妥善保存在安全服务器上，以防新装备遇到问题时用户需求替换、重装或回复到原先的装备。
用户能够经过两种办法将装备文档寄存在支撑命令行接口（CLI）的路由器平台上。一种办法是运转脚本，脚本能够在装备服务器到路由器之间树立SSH会话、登录体系、封闭操控器日志功用、显现装备、保存装备到本地文件以及退出体系；别的一种办法是在装备服务器到路由器之间树立IPSec地道，经过该安全地道内的TFTP将装备文件拷贝到服务器。用户还应该清晰哪些人员能够更改路由器装备、何时进行更改以及怎么进行更改。在进行任何更改之前，制定具体的逆序操作规程。
发布者：博子
