网络路由安全攻防对策分析及实践

来源：作者：出处：巧巧读书 2006-08-25 进入讨论组

关键词：arp cisco路由器 cpu ftp ipsec

网络路由器的安全问题一直以来被大家谈论得比较多，虽然我们看到的路由器入侵事件不多，因此在很多人的印象中，路由(Routing)只是选择通过互联网络从源节点向目的节点传输信息的通道，其实路由器的安全隐患很多，只是由于一般黑客接触得不太频繁，

被攻击的事件很少发生，但如果路由器被攻击，后果将不堪设想。

不可忽视的路由器安全

路由器（Router）是因特网上最为重要的设备之一，正是遍布世界各地的数以万计的路由器构成了因特网这个在我们的身边日夜不停地运转的巨型信息网络的“桥梁”。在因特网上，路由器扮演着转发数据包“驿站”的角色，对于黑客来说，利用路由器的漏洞发起攻击通常是一件比较容易的事情，攻击路由器会浪费CPU周期，误导信息流量，使网络陷于瘫痪，通常好的路由器本身会采取一个好的安全机制来保护自己，但是仅此一点是远远不够的，保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施。

路由器数据流示意图

流行的路由器大多是以硬件设备的形式存在的，但是在某些情况下也用程序来实现“软件路由器”，两者的唯一差别只是执行的效率不同而已。路由器一般至少和两个网络相联，并根据它对所连接网络的状态决定每个数据包的传输路径。路由器生成并维护一张称为“路由信息表”的表格，其中跟踪记录相邻其他路由器的地址和状态信息。

路由器使用路由信息表并根据传输距离和通讯费用等优化算法来决定一个特定的数据包的最佳传输路径。正是这种特点决定了路由器的“智能性”，它能够根据相邻网络的实际运行状况自动选择和调整数据包的传输情况，尽最大的努力以最优的路线和最小的代价将数据包传递出去。路由器能否安全稳定地运行，直接影响着因特网的活动，不管因为什么原因出现路由器死机、拒绝服务或是运行效率急剧下降，其结果都将是灾难性的。

路由器的安全剖析

路由器的安全性分两方面，一方面是路由器本身的安全，另一方面是数据的安全。由于路由器是互联网的核心，是网络互连的关键设备，所以路由器的安全要求比其他设备的安全性要求更高，主机的安全漏洞最多导致该主机无法访问，路由器的安全漏洞可能导致整个网络不可访问。

路由器的安全漏洞可能存在管理上的原因和技术上的原因。在管理上，对路由器口令糟糕的选择、路由协议授权机制的不恰当使用、错误的路由配置都可能导致路由器工作出现问题，技术上路由器的安全漏洞可能有恶意攻击，如窃听、流量分析、假冒、重发、拒绝服务、资源非授权访问、干扰、病毒等攻击。此外，还有软件技术上的漏洞，诸如后门、操作系统漏洞、数据库漏洞、TCP/IP协议漏洞、网络服务等都可能会存在漏洞。

为了使路由器将合法信息完整、及时、安全地转发到目的地，许多路由器厂商开始在路由器中添加安全模块，比如将防火墙、VPN、IDS、防病毒、URL过滤等技术引入路由器当中，于是出现了路由器与安全设备融合的趋势。从本质上讲，增加安全模块的路由器，在路由器功能实现方面与普通路由器没有区别，所不同的是，添加安全模块的路由器可以通过加密、认证等技术手段增强报文的安全性，与专用安全设备进行有效配合，来提高路由器本身的安全性和所管理网段的可用性。

　　而为了保护路由器安全，我们还必需考虑路由器的配置问题。一般来说路由器的配置方式可以通过用主控Console口接终端配置；在AUX口接Modem同电话网相连，从而在远端配置；在TCP/IP网上可通过仿真终端(virtual termianl)telnet配置；可以从TFTP Server上下载配置，另外，还可以用网管工作站进行配置。路由器攻击造成的最大威胁是网络无法使用，而且这类攻击需要动用大量靠近骨干网络的服务器。其实，路由器有一个操作系统，也是一个软件，相对其他操作系统的技术性来说，差距是非常明显的，由于功能单一，不考虑兼容性和易用性等，核心固化，一般管理员不允许远程登录，加上了解路由器的人少得很，所以它的安全问题不太明显，有时候偶尔出现死机状态，管理员一般使用reboot命令后，也就没什么问题了。

　　也正因为这样，致使很多路由器的管理员对这个不怎么关心，只要网络畅通就可以了，因为路由器通常都是厂家负责维护的。甚至有些厂家总爱附带一句说:“如果忘记了口令，请和经销商联系。”事实上，连Unix都有很多漏洞，何况路由器脆弱的操作系统?当然路由器一般是无法渗入的。因为，你无法远程登录，一般管理员都不会开的。但是让路由器拒绝服务的漏洞很多。而且，很多管理员有个毛病，他们往往对Windows的操作系统补丁打得比较勤，但是对路由器的操作系统的补丁，很多管理员都懒得去理。