关闭命令为：no service finger。
6. 关闭CDP服务。
在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息: 设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令: no cdp running或no cdp enable关闭这个服务。
7. 阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃。
“IP source-route”是一个全局配置命令，答应路由器处理带源路由选项标记的数据流。启用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过防火墙。关闭命令如下： no ip source-route。
8. 关闭路由器广播包的转发。
Sumrf D.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。应在每个端口应用“no ip directed-broadcast”关闭路由器广播包。
9. 治理HTTP服务。
HTTP服务提供Web治理接口。“no ip http server”可以停止HTTP服务。假如必须使用HTTP，一定要使用访问列表“ip http access-class”命令，严格过滤答应的IP地址，同时用“ip http authentication ”命令设定授权限制。
10. 抵御spoofing(欺骗) 类攻击。
使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自外部的包。 在路由器端口配置： ip access-group list in number 访问控制列表如下： access-list number deny icmp any any redirect access-list number deny ip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.0 31.255.255.255 any access-list number deny ip host 0.0.0.0 any 注: 上述四行命令将过滤BOOTP/DHCP 应用中的部分数据包，在类似环境中使用时要有充分的熟悉。
11. 防止包嗅探。
黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码,包括SNMP 通信密码，也包括路由器的登录和特权密码，这样网络治理员难以保证网络的安全性。在不可信任的网络上不要用非加密协议登录路由器。假如路由器支持加密协议，请使用SSH 或 Kerberized Telnet，或使用IPSec加密路由器所有的治理流。
12.校验数据流路径的合法性。
使用RPF (reverse path forwarding)反相路径转发，由于攻击者地址是违法的，所以攻击包被丢弃，从而达到抵御spoofing 攻击的目的。RPF反相路径转发的配置命令为: ip verify unicast rpf。 注重: 首先要支持 CEF(Cisco EXPRess Forwarding) 快速转发。
13. 防止SYN 攻击。
目前，一些路由器的软件平台可以开启TCP 拦截功能，防止SYN 攻击，工作模式分拦截和监视两种，默认情况是拦截模式。（拦截模式: 路由器响应到达的SYN请求，并且代替服务器发送一个SYN-ACK报文，然后等待客户机ACK。假如收到ACK，再将原来的SYN报文发送到服务器; 监视模式：路由器答应SYN请求直接到达服务器，假如这个会话在30秒内没有建立起来，路由器就会发送一个RST,以清除这个连接。） 首先，配置访问列表，以备开启需要保护的IP地址: access list [1-199] [denypermit] tcp any destination destination-wildcard 然后，开启TCP拦截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch
14. 使用安全的SNMP治理方案。
SNMP广泛应用在路由器的监控、配置方面。SNMP Version 1在穿越公网的治理应用方面，安全性低，不适合使用。利用访问列表仅仅答应来自特定工作站的SNMP访问通过这一功能可以来提升SNMP服务的安全性能。配置命令： snmp-server community xxxxx RW xx ；xx是访问控制列表号 SNMP Version 2使用MD5数字身份鉴别方式。不同的路由器设备配置不同的数字签名密码，这是提高整体安全性能的有效手段。
总之，路由器的安全防范是网络安全的一个重要组成部分，还必须配合其他的安全防范措施，这样才能共同构筑起安全防范的整体工程。
新闻热点
疑难解答
