基本介紹
產品介紹,基本功能,工作機理,套用,
產品介紹
邊界路由器（edge router），是異步傳輸模式（ATM）網路中的術語，它是在一個或多個區域網路（LAN）和ATM主幹網路之間（無論是校園網路還是廣域網（WAN））路由數據包的設備。邊界路由器（edge router）是邊界設備的一種。有時將邊界路由器與核心路由器（core router）相比較，核心路由器在網路中（而不是在網路間）將數據包傳送給電腦主機。
用路由來保護區域網路的安全，這已經不是太新的話題了。那么如何給區域網路增加一個有效地防護屏障呢？對於大多數1、企業區域網路來說，路由器已經成為正在使用之中的最重要的安全設備之一。一般來說，大多數網路都有一個主要的接入點。這就是通常與專用防火牆一起使用的“邊界路由器”。
經過恰當的設定，邊界路由器能夠把幾乎所有的最頑固的壞分子擋在網路之外。如果你願意的話，這種路由器還能夠讓好人進入網路。不過，沒有恰當設定的路由器只是比根本就沒有安全措施稍微好一點。
在下列指南中，我們將研究一下你可以用來保護網路安全的9個方便的步驟。這些步驟能夠保證你擁有一道保護你的網路的磚牆，而不是一個敞開的大門。
基本功能
邊界路由器的IP報轉發功能
邊界路由器將企業、學校、家庭的區域網路接入到廣域網,在區域網路和廣域網之間轉發IP報文。邊界路由器通常執行內部網關協定RIP或OSPF。RIP 是基於最短距離(跳數)的網關協定；OSPF 基於最短路徑優先的路由協定。邊界路由器根據路由協定建立路由表,維持到達其它網路的路由。
NAT地址轉換功能
由於網際網路IP位址的匱乏，網路運營商只為企業、學校、家庭區域網路網關分配一個IP位址。企業、學校、家庭內部網路使用私用網路 IP 地址。網際網路預留給私用網路的IP 地址是:192.168.0.0~192.168.255.255(C類)、172.16,0.0~172.31.255.255(B 類)、10.0.0.0~10.255.255.255(A 類)。使用私用網路IP位址的IP報文網際網路不轉發。內部網路計算機訪問網際網路時，發出的IP報的IP位址必須由邊界路由器的NAT伺服器轉換為網際網路的IP位址，網際網路返回的IP報文的IP位址必須由NAT伺服器轉換為區域網路IP位址。邊界路由器通常提供 NAT 網路地址轉換(Network Address Translation)地址轉化功能。
工作機理
邊界路由器保護區域網路安全的九大步
修改默認的口令
據國外調查顯示，80%的安全突破事件是由薄弱的口令引起的。網路上有大多數路由器的廣泛的默認口令列表。你可以肯定在某些地方的某個人會知道你的生日。網站維護一個詳盡的可用/不可用口令列表，以及一個口令的可靠性測試。
關閉IP直接廣播(IP DirectedBroadcast)
如果可能，關閉路由器的HTTP設定
正如思科的技術說明中簡要說明的那樣，HTTP使用的身份識別協定相當於向整個網路傳送一個未加密的口令。然而，遺憾的是，HTTP協定中沒有一個用於驗證口令或者一次性口令的有效規定。
雖然這種未加密的口令對於你從遠程位置（例如家裡）設定你的路由器也許是非常方便的，但是，你能夠做到的事情其他人也照樣可以做到。特別是如果你仍在使用默認的口令！如果你必須遠程管理路由器，你一定要確保使用SNMPv3以上版本的協定，因為它支持更嚴格的口令。
封鎖ICMP ping請求
ping的主要目的是識別目前正在使用的主機。因此，ping通常用於更大規模的協同性攻擊之前的偵察活動。通過取消遠程用戶接收ping請求的應答能力，你就更容易避開那些無人注意的掃描活動或者防禦那些尋找容易攻擊的目標的“腳本小子”（script. kiddies）。
請注意，這樣做實際上並不能保護你的網路不受攻擊，但是，這將使你不太可能成為一個攻擊目標。
關閉IP源路由
IP協定允許一台主機指定數據包通過你的網路的路由，而不是允許網路組件確定最佳的路徑。這個功能的合法的套用是用於診斷連線故障。但是，這種用途很少套用。這項功能最常用的用途是為了偵察目的對你的網路進行鏡像，或者用於攻擊者在你的專用網路中尋找一個後門。除非指定這項功能只能用於診斷故障，否則應該關閉這個功能。
確定你的數據包過濾的需求
封鎖連線埠有兩項理由。其中之一根據你對安全水平的要求對於你的網路是合適的。
對於高度安全的網路來說，特別是在存儲或者保持秘密數據的時候，通常要求經過允許才可以過濾。在這種規定中，除了網路功能需要的之外，所有的連線埠和IP位址都必要要封鎖。例如，用於web通信的連線埠80和用於SMTP的110/25連線埠允許來自指定地址的訪問，而所有其它連線埠和地址都可以關閉。
大多數網路將通過使用“按拒絕請求實施過濾”的方案享受可以接受的安全水平。當使用這種過濾政策時，可以封鎖你的網路沒有使用的連線埠和特洛伊木馬或者偵查活動常用的連線埠來增強你的網路的安全性。例如，封鎖139連線埠和445（TCP和UDP）連線埠將使黑客更難對你的網路實施窮舉攻擊。封鎖31337（TCP和UDP）連線埠將使Back Orifice木馬程式更難攻擊你的網路。
這項工作應該在網路規劃階段確定，這時候安全水平的要求應該符合網路用戶的需求。查看這些連線埠的列表，了解這些連線埠正常的用途。
建立準許進入和外出的地址過濾政策
在你的邊界路由器上建立政策以便根據IP位址過濾進出網路的違反安全規定的行為。除了特殊的 不同尋常的案例之外，所有試圖從你的網路內部訪問網際網路的IP位址都應該有一個分配給你的區域網路的地址。例如，192.168.0.1這個地址也許通過這 個路由器訪問網際網路是合法的。但是，216.239.55.99這個地址很可能是欺騙性的，並且是一場攻擊的一部分。
相反，來自網際網路外部的通信的源地址應該不是你的內部網路的一部分。因此，應該封鎖入網的192.168.X.X、172.16.X.X和10.X.X.X等地址。
最後，擁有源地址的通信或者保留的和無法路由的目標地址的所有的通信都應該允許通過這台路由器。這包括回送地址127.0.0.1或者E類（class E）地址段240.0.0.0-254.255.255.255。
保持路由器的物理安全
從網路嗅探的角度看，路由器比集線器更安全。這是因為路由器根據IP位址智慧型化地路由數據包，而集線器相所有的節點播出數據。如果連線到那台集線器的一個系統將其網路適配器置於混亂的模式，它們就能夠接收和看到所有的廣播，包括口令、POP3通信和Web通信。然後，重要的是確保物理訪問你的網路設備是安全的，以防止未經允許的筆記本電腦等嗅探設備放在你的本地子網中。
花時間審閱安全記錄
審閱你的路由器記錄（通過其內置的防火牆功能）是查出安全事件的最有效的方法，無論是查出正 在實施的攻擊還是未來攻擊的徵候都非常有效。利用出網的記錄，你還能夠查出試圖建立外部連線的特洛伊木馬程式和間諜軟體程式。用心的安全管理員在病毒傳播 者作出反應之前能夠查出“紅色代碼”和“Nimda”病毒的攻擊。
套用
網路設計時通常將網路分為核心層、匯聚層、接入層。核心層是網路的主幹部分，承載數據的傳輸和交換,核心層所用的路由器為核心路由器；匯聚層匯聚服務區的數據流量，所用的路由器稱為匯聚路由器;接入層位於網路的邊界，所用的路由器稱為邊界路由器。邊界路由器將企業網路、校園網路、家庭網路接入 ISP 的城域網或廣域網，邊界路由器在兩個網路之間轉發IP報文。根據轉發能力，邊界路由器分為用戶級、網咖級、企業級三級。邊界路由器連線廣域網的接口稱為 WAN(廣域網) 口, 連線內部網路的接口稱為 LAN(區域網路)口。
