路由器安全十大實戰技巧：從禁用服務到日誌審計

路由器是網絡安全關鍵節點，妥善配置可大幅降低攻擊面。以下十項建議基於最佳實踐，適用於企業邊界與核心路由器。

1. 禁用不必要的服務

Cisco IOS 預設啟用 Echo（TCP/UDP 7）、Chargen（TCP/UDP 19）、Discard（TCP/UDP 9）等小型服務，鮮用於合法業務，卻可被利用發起 DoS 攻擊（如 Chargen 反射放大）。全域配置 no service tcp-small-servers、no service udp-small-servers 關閉；必要時配合 ACL 過濾。

2. 禁用 HTTP 管理與 SNMP（若非必需）

Web 管理界面雖便利但風險高（明文傳輸、漏洞面大）。若支援 CLI，建議 no ip http server、no ip http secure-server（若無有效憑證）。SNMP 若未使用請 no snmp-server；必須用時啟用 SNMPv3（加密+認證），限制 snmp-server community 權限為 read-only，並配合 ACL 限制管理站來源。

3. 定期更新 IOS 作業系統

路由器 OS 同樣存在代碼缺陷、緩衝區溢出漏洞。建立定期巡檢機制，訂閱 Cisco Security Advisories，在維護窗口升級修補版本。

4. 修改所有預設密碼，實施強密碼策略

CERT 統計 80% 入侵源於弱/預設密碼。配置：enable secret（MD5/SHA256 加密）、username admin privilege 15 secret StrongPass123!、line vty/console 統一使用 login local。密碼長度 ≥12 位，含大小寫、數字、特殊字符，定期輪換。

5. 封鎖外部 ICMP Ping 請求

Ping 是偵察工具，攻擊者利用掃描存活主機。邊界 ACL 入站拒絕 icmp any any echo、icmp any any redirect，內部管理網段可例外允許。注意：no ip unreachables 可減少信息洩露但可能影響 MTU 路徑發現，權衡使用。

6. 禁用來自互聯網介面的 Telnet

line vty 0 4 下 transport input ssh 僅允許 SSH。內部管理網段可通過跳板機/堡壘機統一運維，不直接暴露管理介面。

7. 禁用 IP 定向廣播

no ip directed-broadcast（全域/介面級）防止 Smurf 攻擊利用廣播地址放大 ICMP 流量癱瘓網絡。

8. 禁用 IP 源路由與 ICMP 重定向

no ip source-route 防止攻擊者指定路徑繞過防火牆/探測拓撲。no ip redirects 防止路由器發送 ICMP 重定向被利用竄改主機路由表。

9. 實施精細包過濾（ACL）

邊界採用「默認拒絕」策略：高安全網絡用白名單（僅放行 80/443、25/587、53 等業務埠及授權 IP）；一般網絡用黑名單+最小權限，封鎖高危埠（139/445 SMB、31337 Back Orifice、1433/3306 資料庫、3389 RDP 等）及未使用埠。定期審視 ACL 命中情況優化規則。

10. 定期審查安全日誌

路由器處於網絡邊緣，日誌記錄所有進出流量異常。配置 Syslog 服務器集中存儲，部署日誌分析工具（如 ELK、Splunk）關聯告警。可提前發現掃描、暴力破解、木馬外連、蠕蟲傳播（如 Code Red、Nimda 特徵流量）等威脅。