路由器是網絡核心，一旦失陷將導致流量劫持、數據洩露、業務癱瘓。優秀的路由器安全機制是基礎，**網管在配置管理中落地七大加固支柱**才能構建纵深防禦。

1. 堵住物理訪問入口

• 機房門禁、機柜鎖、Console 口物理隔離。
• 配置 `exec-timeout` 短閒置自動登出（如 5 分鐘）。
• **禁用 Aux 口接 Modem**，杜絕撥號後門。
• 及時打廠商安全補丁，漏洞披露到補丁發布的窗口期是攻擊黃金期。

2. 避免身份認證危機

• 強密碼策略：長度≥12、複雜度、30-60 天輪換。
• 關鍵人員離職**立即全局換密**。
• 啟用 `service password-encryption` 加密配置文件中的密碼。
• 部署 **AAA（RADIUS/TACACS+）**，集中認證授權審計。
• 啟用 **雙因子認證（2FA）**：Token + 密碼/生物識別。
• 管理通道加密：**SSH v2 替代 Telnet**，IPSec 保護路由協議交換。

3. 禁用非必要服務

• 關閉 CDP（思科發現協議）、HTTP/HTTPS Server（若不用 Web 管理）、SNMP（若不用則關，用則 v3+加密）、小服務、BootP、Auto-config 等。
• **保留 NTP** 時間同步：最佳做法在 DMZ 部署專用 NTP 服務器，僅允許其向可信公共源請求，路由器指向內部 NTP。

4. 限制邏輯訪問（ACL 精準管控）

• VTY 線路綁定 ACL：`access-class 允許管理網段 in`，僅信任管理站可遠程登錄。
• 優先 SSH，必須用 Telnet 時限制源 IP。
• ICMP 精細放行：僅允許 `unreachable`、`source-quench`、`time-exceeded`、`parameter-problem`、`echo-reply`（可選），**拒絕其餘 ICMP 及所有非必要流量**。
• 入站 ACL 引導服務流量：SMTP→郵件服務器、DNS→DNS 服務器、HTTPS→Web 服務器。
• 防 DoS：拒絕無源 IP/保留地址/廣播/組播/偽造內網地址報文；調大 SYN ACK 隊列、縮短 ACK 超時防 TCP SYN Flood。
• 出站 ACL 防 IP 欺騙：僅允許合法源地址出網，防內網主機成攻擊跳板。

5. 監控配置變更與日誌審計

• SNMP 僅讀 + 強社區字符串 + SNMPv3 加密；拒絕寫訪問防惡意改配置/關接口。
• **Syslog 遠程傳送**至專用日誌服務器（防本地日誌被清洗/丟失）。
• 管理會話加密：**SSH 建立加密遠程會話**，限制僅連可信管理站。
• 路由協議認證：**OSPF/BGP 配置 MD5 鑑別**，防偽造路由更新劫持流量。

6. 採用安全路由協議

• **禁用 RIP v1/v2**（易受欺騙接受非法路由）。
• 優先 **OSPF（Area 認證）、BGP（TCP MD5）、IS-IS（HMAC-SHA）** 等支持認證的協議。

7. 實施配置管理策略

• 版本化備份：每次變更前備份，存放於**離線/異地安全服務器**。
• 自動化推送：CLI 平台用 **SSH + Expect/Ansible/Netmiko** 腳本批量備份/推送；或 **IPSec over TFTP/SCP** 安全傳輸。
• 權責明確：**誰能改、何時改、如何改、回滾預案** 全文檔化。
• 變更前必有**詳細逆序回滾步驟**。

路由器安全非一次配置終身無憂，需**持續基線核查、補丁跟進、日誌分析、演練驗證**，將七大支柱內化為運營肌肉記憶。