邊界路由器：企業網路的「第一道防線」怎麼配才安全？

邊界路由器連接內網與 Internet，是攻擊者首要目標。預設配置裸奔無異。本文提煉六大關鍵加固步驟，結合 Cisco IOS 實戰命令，構建基線安全配置模板。

步驟 1：修改預設憑證 —— 拒絕「admin/admin」裸奔

enable secret           ! 加密特權密碼
username admin privilege 15 secret   ! 建立管理員帳號
line vty 0 4
 login local                             ! 強制本地認證
 transport input ssh                     ! 僅允許 SSH，禁用 Telnet

• 密碼策略：≥12 字元、大小寫數字符號、定期輪換、不重複。
• 配置 security passwords min-length 10 強制最小長度。
• 啟用 aaa new-model 對接 RADIUS/TACACS+ 實現集中認證審計。

步驟 2：關閉 IP 直接廣播 —— 防 Smurf DDoS 反射攻擊

no ip directed-broadcast               ! 全域關閉（現代 IOS 預設關閉）
! 或介面級關閉
interface GigabitEthernet0/0
 no ip directed-broadcast

• 原理：攻擊者偽造源 IP 向廣播地址發送 ICMP Echo，所有主機回應淹沒受害者。
• 現代 IOS (12.4+) 預設關閉，舊版本必須手動關閉。

步驟 3：關閉 HTTP 管理 / 強制 HTTPS + SNMPv3

no ip http server                      ! 關閉 HTTP
ip http secure-server                  ! 啟用 HTTPS
ip http authentication local           ! HTTPS 同樣用本地/AAA 認證
! SNMPv3 唯一安全版本
snmp-server group readonly v3 auth read readview
snmp-server user nagios readonly v3 auth sha  priv aes 
snmp-server enable traps snmp authentication linkdown linkup coldstart warmstart

• HTTP 傳輸明文密碼，極易被中間人竊聽。
• SNMPv1/v2c 社區字串明文傳輸，生產環境嚴禁。

步驟 4：封鎖 ICMP Ping 請求 —— 降低偵察暴露面

! 方案 A：ACL 封鎖入方向 ICMP Echo Request (type 8)
access-list 110 deny icmp any any echo
access-list 110 permit ip any any
interface GigabitEthernet0/0
 ip access-group 110 in

! 方案 B：僅允許管理網段 Ping
access-list 110 permit icmp 10.10.10.0 0.0.0.255 any echo
access-list 110 deny icmp any any echo
access-list 110 permit ip any any

• 不影響 MTU 路徑發現 (PMTUD) 所需的 ICMP Type 3 Code 4（需求分片），僅封鎖 Type 8 Echo Request。
• 內網管理、監控系統網段保持放行。

步驟 5：關閉 IP 源路由 —— 防繞過防火牆與網路偵察

no ip source-route                     ! 全域關閉

• 源路由允許發送者指定封包路徑，繞過安全設備、探測內網拓撲、植入後門。
• 極少合法場景需求（僅特定故障診斷），預設關閉無副作用。

步驟 6：實施嚴格封包過濾（ACL / Zone-Based Firewall）

原則：最小權限、預設拒絕

! 範例：僅允許內網訪問外網 Web/DNS/郵件，拒絕所有入站主動連接
ip access-list extended OUTBOUND
 permit tcp any any eq 80
 permit tcp any any eq 443
 permit udp any any eq 53
 permit tcp any any eq 25
 permit tcp any any eq 587
 permit tcp any any eq 993
 permit tcp any any eq 995
 deny   ip any any log

ip access-list extended INBOUND
 permit udp any any eq 500          ! IPsec IKE
 permit udp any any eq 4500         ! IPsec NAT-T
 permit esp any any                 ! IPsec ESP
 permit icmp any any echo-reply     ! 允許 Ping 回應
 permit icmp any any time-exceeded  ! Traceroute
 permit icmp any any unreachable    ! MTU 發現
 deny   ip any any log

interface GigabitEthernet0/0
 ip access-group INBOUND in
 ip access-group OUTBOUND out

• 高安環境採用 Zone-Based Policy Firewall (ZBFW)，基於區域對、類別映射、策略映射，支援狀態檢測、應用層識別（HTTP、SMTP、SQL 等）。
• 定期審計 ACL 命中統計（show access-lists），清理僵尸規則。

進階加固清單（Checklist）

• [ ] 關閉未使用服務：no service tcp-small-servers, no service udp-small-servers, no ip finger, no cdp run (或介面級 no cdp enable), no lldp run。
• [ ] 啟用 service timestamps debug datetime msec localtime show-timezone、service timestamps log datetime msec localtime show-timezone，日誌帶精確時間戳。
• [ ] 配置 logging host 、logging trap informational，集中日誌審計。
• [ ] 關閉遞歸 DNS 解析：no ip domain-lookup（防輸入錯誤命令卡頓）。
• [ ] 設定 exec-timeout 5 0 (VTY/Console 5 分鐘無操作自動登出)。
• [ ] 啟用 control-plane 護佈 (CoPP) 保護控制平面免受 DDoS。
• [ ] 定期備份配置：archive / path flash:config-archive / write-memory / time-period 1440。

結語： 邊界路由器安全非一勞永逸，「基線配置 → 持續監控 → 定期滲透測試 → 持續迭代」才是正道。上述六步法為最小可行性安全基線，實際部署需結合業務模型、合規要求（等保 2.0、PCI-DSS 等）進一步深化。記住：最好的防火牆規則是不存在的規則——沒有業務必要，一律拒絕。