认识通过由器内网安全的九大步

　　对于大多数局域网来说，由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界由器”。

　　经过恰当的设置，边缘由器能够把几乎所有的最的坏挡在网络之外。如果你愿意的话，这种由器还能够让进入网络。不过，没有恰当设置的由器只是比根本就没有安全措施稍微好一点。

　　在下列指南中，我们将研究一下你可以用来网络安全的9个方便的步骤。这些步骤能够你拥有一道你的网络的砖墙，而不是一个敞开的大门。

　　1.修改默认的口令

　　据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。

　　你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf是一种服务。在这种中，者使用假冒的源地址向你的网络地址发送一个“ICMPecho”请求。这要求所有的主机对这个请求做出回应。这种情况至少会降低你的网络性能。

　　参考你的由器信息文件，了解如何关闭IP直接。例如，“Central(config)#noipsource-route”这个指令将关闭思科由器的IP直接地址。

　　3.如果可能，关闭由器的HTTP设置

　　正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效。

　　虽然这种未加密的口令对于你从远程(例如家里)设置你的由器也许常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。

　　ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易的目标的“脚本小子”(scriptkiddies)。

　　请注意，这样做实际上并不能你的网络不受，但是，这将使你不太可能成为一个目标。

　　5.关闭IP源由

　　IP协议允许一台主机指定数据包通过你的网络的由，而不是允许网络组件确定最佳的径。这个功能的的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

　　6.确定你的数据包过滤的需求

　　端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。

　　对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种中，除了网功能需要的之外，所有的端口和IP地址都必要要。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。

　　大多数网络将通过使用“按请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举。31337(TCP和UDP)端口将使BackOrifice木马程序更难你的网络。

　　这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。

　　7.建立准许进入和外出的地址过滤政策

　　路由器地址进不去在你的边界由器上建立政策以便根据IP地址过滤进出网络的违反安全的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个由器访问互联网是的。但是，216.239.55.99这个地址很可能是性的，并且是一场的一部分。

　　相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。

　　最后，拥有源地址的通信或者保留的和无法由的目标地址的所有的通信都应该允许通过这台由器。这包括回送地址127.0.0.1或者E类(classE)地址段240.0.0.0-254.255.255.255。

　　8.保持由器的物理安全

　　从网络嗅探的角度看，由器比集线器更安全。这是因为由器根据IP地址智能化地由数据包，而集线器相所有的节点数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的，包括口令、POP3通信和Web通信。

　　然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

　　9.花时间审阅安全记录

　　审阅你的由器记录(通过其内置的防火墙功能)是查出安全事件的最有效的方法，无论是查出正在实施的还是未来的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒者作出反应之前能够查出“红色代码”和“Nimda”病毒的。

　　此外，一般来说，由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。

　　在如今这个信息爆炸的时代里，每天都会有数不清的新闻通过各种渠道涌到我们面前，而真正有价值的应该进入我们心里的，却很可能随着日历牌的翻动被我们忽略。作为对一周新闻进行回顾的《比特网新闻中心每周热点推荐》，就是要告诉您过去的七天都发生了哪些新闻，更希望和您一起，站在七天的高度来看待过去一周的新闻。

　　领IT群雄秀企业风采。创刊于2008年2月，定位于行业（企业）信息化规划、建设、管理的中高层人士，通过精心的内容筛选，将每月发生的重点事件进行回顾，为高端人群提供深度阅读，与比特网内容的速度特性形成互补。主要栏目有：比特网精粹、新产品新技术、CIO、封面报道、下午茶精选等。

　　业内首个只为报道数据中心资讯内容的专业频道，是为数据中心用户及厂商而建设的专业平台。以数据中心专业技术内容为核心，贯穿新鲜资讯、技巧方法和用户案例等高附加值内容。以为网友提供最具实用价值的信息为原则，以成为用户最信赖的行业专家为目标，打造高时效、高品质、高前瞻的最全威频道。企业数据中心热点播报，为您精心奉上过去一周数据中心最精彩、权威资讯_chinabyte比特网。

　　就服务器和数据中心领域的产业动态、技术热点、热门产品、实用技巧，向企业CIO/CTO、IT管理层、技术人员提供一周精选套餐，为数据中心决策者、使用者提供一份服务器行业以及数据中心领域最新动态及产品应用的技术套餐。