拒絕服務攻擊透過佔用頻寬、耗盡連線資源癱瘓網路，常見類型包括 Smurf（ICMP 洪水）、SYN Flood（TCP 半連線淹沒）、Fraggle（UDP Echo 洪水）。雖然無法從根源消除 TCP 協議弱點，但正確配置 Cisco 路由器的 IOS 防禦功能，可有效緩解甚至阻擋大多數 DoS 攻擊，守護企業網路第一道防線。

核心防禦技術與部署策略

1. 擴充存取控制列表——偵測與阻擋的雙重利器

• 使用 show ip access-list 監控各 ACE 比對封包計數，快速識別攻擊型態（如大量 SYN 封包 = SYN Flood）。
• 動態調整 ACL 規則：針對攻擊來源 IP、協議類型、連線速率精準封鎖。
• 部署位置：邊界路由器輸入介面（ip access-group in），優先處理惡意流量。

2. 服務品質 (QoS) 流量塑形——精準節流惡意洪流

不同 QoS 工具對應不同攻擊：

QoS 機制	適用攻擊	原理說明
WFQ (加權公平佇列)	Ping Flood (ICMP)	將洪流歸類為單一流隊列，防止佔用頻寬
CAR (承諾存取率)	Smurf、SYN Flood	限制 ICMP/SYN 封包速率，超量即丟棄
GTS (通用流量整形)	輸出端流量整形	平滑突發流量，保護下游設備
CQ (自訂佇列)	業務優先級保障	保障關鍵業務（VoIP、ERP）頻寬不被洪流擠佔

關鍵：必須先分析攻擊特徵，再選擇對應 QoS 政策，避免誤傷正常流量。

3. 單一位址反向路徑轉發 (Unicast RPF)——源位址防偽造

• 原理：路由器檢查封包來源 IP 是否存在於 CEF (Cisco Express Forwarding) 路由表對應介面，不符即丟棄。
• 優勢：動態適應路由變更、維護成本低、效能衝擊遠小於 ACL。
• 部署前提：必須啟用 CEF 交換模式（ip cef），且 RPF 介面不可同時設為 CEF 交換。
• 指令：ip verify unicast source reachable-via rx（嚴格模式）或 any（鬆散模式）。

4. TCP Intercept——專剋 SYN Flood 的護盾

在 TCP 三向交握完成前攔截驗證，保護內部伺服器：

• 攔截模式：路由器代理完成與客戶端、伺服器的雙向交握，合併連線，嚴格限制 half-open 超時。
• 監視模式：被動觀察，超時未完成交握則發送 RST 斷開。
• 部署兩步驟：
  1. 建立擴充 ACL 定義受保護目標（通常 permit tcp any host ）。
  2. 啟用：ip tcp intercept list mode intercept。

5. 內容基礎存取控制 (CBAC)——應用層級的智能防洪

• 基於 Session 狀態檢查 TCP/UDP 封包，超越傳統 ACL 的靜態規則。
• 核心參數：
  • ip inspect tcp max-incomplete host block-time ：半連線門檻與封鎖時間。
  • ip inspect tcp synwait-time ：SYN 等待超時。
  • ip inspect udp idle-time ：UDP 閒置超時。
• 每分鐘掃描半連線數量與建立頻率，超標自動刪除舊連線釋放資源，有效防禦 SYN Flood 與 Fraggle。

實戰部署建議

1. 分層防禦：邊界路由器部署 ACL + RPF + CAR；核心/資料中心部署 TCP Intercept + CBAC。
2. 基準流量畫像：平時收集 NetFlow/sFlow 建立正常流量基線，異常時快速比對。
3. CPU/記憶體監控：啟用 show processes cpu、show memory 監控資源佔用，避免防禦功能拖垮路由器。
4. 定期演練與規則微調：模擬攻擊驗證規則有效性，根據實際業務調整閾值。

結語

路由器是企業網路的「大門」，DoS 防禦非單一功能所能完備。結合 ACL（過濾）、RPF（防偽造）、QoS（節流）、TCP Intercept（連線驗證）、CBAC（狀態檢測） 多層次立體防護，並依據路由器效能與業務特性靈活選擇組合，才能在無硝煙的網路戰場上守住可用性底線。