路由器是網路邊界第一道防線。配置得當，它是磚牆；配置不當，它是敞開的大門。依據業界最佳實踐，九大加固步驟構建纵深防禦。

1. 修改預設密碼 (首要鐵律)
   調查顯示 80% 入侵源自弱密碼。廠商預設帳密 (admin/admin、cisco/cisco) 公開透明。**上線前必須設定 12 字元以上複雜密碼**，並定期輪換。參考 SecurityStats.com 密碼強度測試。
2. 關閉 IP 直接廣播
   防範 Smurf 攻擊：攻擊者偽造源 IP 向廣播位址發送 ICMP Echo，所有主機回應導致流量洪峰。
   Cisco 指令：no ip directed-broadcast (介面配置模式)。
3. 關閉 HTTP 管理介面 (或強制 HTTPS + SNMPv3)
   HTTP 傳輸明文密碼，極易被竊聽。若需遠端管理，**必須啟用 HTTPS (SSL/TLS) 並使用 SNMPv3 (支援加密與鑑別)**，禁用 HTTP/SSLv2/SNMPv1/v2c。
4. 封鎖 ICMP Ping 請求 (回應)
   Ping 是駭客偵察存活主機的第一步。介面啟用 no ip unreachables、no ip redirects、no ip proxy-arp，並配置 ACL 拒絕 ICMP Echo Request 進入內網。
   註：此法無法防禦攻擊本身，但能降低被掃描發現機率 (安全隱匿性)。
5. 關閉 IP 來源路由
   IP 選項允許發送者指定封包路徑，正規用途極少 (僅診斷)，常被用於繞過防火牆、映射內網拓撲。
   Cisco 指令：no ip source-route (全域配置)。
6. 精細定義封包過濾規則 (ACL)
   高安全環境採用「預設拒絕，明確允許」原則：
   - 僅開放必要服務埠 (如 TCP 80/443 Web、25/587 SMTP、53 DNS)。
   - 限制來源 IP (如管理介面僅允許管理網段存取)。
   - 封鎖所有其他入站/出站連線。
   低安全環境可採「預設允許，封鎖已知惡意埠」但風險較高。
7. 啟用路由器日誌並傳送至集中式 Syslog 伺服器
   記錄登入嘗試、配置變更、ACL 命中、介面狀態變更。配合 SIEM 關聯分析，及時發現異常。本地日誌空間有限且易被攻擊者清除，**遠端傳送不可或缺**。
8. 停用不必要的服務與介面
   關閉 CDP (Cisco Discovery Protocol)、NTP (若非時間源)、DHCP Server (若非授權)、IP BootP、Finger、小服務 (Echo、Chargen、Discard) 等。介面無連線設備時執行 shutdown。
9. 實施控制平面防護 (CoPP / CPPr)
   限制送往路由器 CPU 的流量速率 (路由協定、管理流量、ICMP、ARP 等)，防止 DoS 攻擊癱瘓控制平面導致路由鄰居關係中斷、管理失聯。現代路由器 (ISR G2、ASR、Nexus) 內建 CoPP 模板，依據部署場景套用即可。

驗證與持續營運

• 配置變更後必須 **測試連通性**、**掃描驗證** (Nessus、OpenVAS)、**備份配置** (離線加密儲存)。
• 訂閱廠商安全公告，評估 CVE 影響，**月度打補丁**。
• 季度進行滲透測試與紅隊演練，驗證防禦有效性。

路由器安全非一次設定終身免疫，**持續的配置審計、補丁管理、日誌分析、演練驗證**，才能確保邊界磚牆永不倒塌。