DoS 攻擊共性特徵

• 源位址偽造
• 利用協議/作業系統/應用層漏洞
• 製造海量無效封包消耗頻寬/CPU/連接表

Smurf 攻擊機制

攻擊者發送偽造受害者源 IP 的 ICMP Echo Request至廣播位址（如 192.168.1.255）。路由器將 L3 廣播轉為 L2 廣播 (FF:FF:FF:FF:FF:FF)，網段內所有主機回應 Echo Reply 湧向受害者，流量放大倍數 = 主機數。受害者與廣播網段雙雙癱瘓。

防禦面一：拒絕成為「放大器」（邊界路由器）

1. 防止 IP 來源位址偽造

! 入向 ACL 限制下游合法網段
ip access-list extended NO_SPOOF_IN
 permit ip 192.168.10.0 0.0.0.255 any
 permit ip 10.1.0.0 0.0.255.255 any
 deny   ip any any log

interface GigabitEthernet0/0
 ip access-group NO_SPOOF_IN in

進階：uRPF (Unicast Reverse Path Forwarding)

ip cef
interface GigabitEthernet0/0
 ip verify unicast reverse-path  ! 嚴格模式
! 或鬆散模式允許非對稱路由
 ip verify unicast source reachable-via any allow-self-ping

• 優點：自適應路由表變化、CPU 開銷低、免維護 ACL
• 前提：CEF 全域啟用，介面啟用 CEF

2. 禁止導向廣播

interface GigabitEthernet0/0
 no ip directed-broadcast  ! 全域預設關閉，確認無業務需求後保持

3. 抑制主機回應 ICMP 廣播

主機端：Windows 防火牆/登錄檔 `EnableICMPRedirect=0`、Linux `net.ipv4.icmp_echo_ignore_broadcasts=1`。

4. 限制 ICMP 流量速率 (CAR)

access-list 102 permit icmp any any echo
access-list 102 permit icmp any any echo-reply

interface Serial3/0/0
 rate-limit input access-group 102 256000 8000 8000 conform-action transmit exceed-action drop

承諾資訊速率 (CIR) 256 kbps，正常突發 (Bc) 8 kbit，超量突發 (Be) 8 kbit，超量丟棄。

防禦面二：受害者端緩解（邊界路由器）

ACL 封鎖（粗暴，影響合法 Ping）

access-list 101 deny icmp any host 203.0.113.50 echo
access-list 101 permit ip any any
interface GigabitEthernet0/1
 ip access-group 101 in

CAR 限速（推薦，保留合法流量）

access-list 103 permit icmp any host 203.0.113.50 echo
access-list 103 permit icmp any host 203.0.113.50 echo-reply
interface GigabitEthernet0/1
 rate-limit input access-group 103 512000 16000 16000 conform-action transmit exceed-action drop

其他常見 DoS 與防禦對照

攻擊類型	特徵	路由器防禦
SYN Flood	大量 SYN 不完成三向交握	TCP Intercept、SYN Cookie、CAR 限制 SYN 速率
UDP Flood	偽造源 IP 向隨機埠發 UDP	關閉不必要 UDP 服務、CAR 限制 UDP、uRPF
ICMP Flood	大量 Echo Request	CAR 限制 ICMP、防火牆速率限制
DNS Amplification	偽造源 IP 向開放解析器查大回應	關閉開放解析、Response Rate Limiting (RRL)

總結

路由器作為邊界守門人，結合 uRPF + 禁止導向廣播 + 關鍵介面 CAR 可有效緩解 90% 以上容量型 DoS。配合上游 ISP 黑洞路由/清洗中心、雲端 WAF/CDN，構建多層防禦體系。