萬盛學電腦網

 萬盛學電腦網 >> 路由器知識 >> 路由器設置 >> cisco思科 >> Cisco路由器抵御DoS攻擊解決方案

Cisco路由器抵御DoS攻擊解決方案

    路由器是企業內部網絡的第一道防護屏障,也是黑客攻擊的一個重要目標,如果路由器很容易被攻破,那麼企業內部網絡的安全也就無從談起,因此在路由器上采取適當措施,防止各種DoS攻擊是非常必要的。
一、什麼是DOS攻擊
拒絕服務(DoS)攻擊是目前黑客廣泛使用的一種攻擊手段,它通過獨占網絡資源、使其他主機不能進行正常訪問,從而導致宕機或網絡癱瘓。盡管網絡安全專家都在著力開發阻止DoS攻擊的設備,但收效不大。
DoS攻擊主要分為Fraggle、Smurf和SYN Flood和三種。Fraggle攻擊與Smurf攻擊原理類似,使用UDP echo請求而不是ICMP echo請求發起攻擊;在Smurf攻擊中,攻擊者使用ICMP數據包阻塞服務器和其他網絡資源;SYN Flood攻擊使用數量巨大的TCP半連接來占用網絡資源。
Cisco路由器中的IOS軟件具有許多防止DoS攻擊的特性,保護路由器自身和內部網絡的安全。DoS攻擊利用了TCP協議本身的弱點,正確配置路由器能夠有效防止DoS攻擊。
二、使用基於內容的訪問控制
基於內容的訪問控制(CBAC)是對Cisco傳統訪問列表的擴展,它基於應用層會話信息,智能化地過濾TCP和UDP數據包,防止DoS攻擊。
CBAC正是通過監視半連接的數量和產生的頻率來防止洪水攻擊。每當有不正常的半連接建立或者在短時間內出現大量半連接的時候,用戶可以判斷是遭受了洪水攻擊。CBAC每分鐘檢測一次已經存在的半連接數量和試圖建立連接的頻率,當已經存在的半連接數量超過了門限值,路由器就會刪除一些半連接,以保證新建立連接的需求,路由器持續刪除半連接,直到存在的半連接數量低於另一個門限值;同樣,當試圖建立連接的頻率超過門限值,路由器就會采取相同的措施,刪除一部分連接請求,並持續到請求連接的數量低於另一個門限值。通過這種連續不斷的監視和刪除,CBAC可以有效防止SYN Flood和Fraggle攻擊。
三、使用TCP攔截
Cisco在IOS 11.3版以後,引入了TCP攔截功能,這項功能可以有效防止SYN Flood攻擊內部主機。
在TCP連接請求到達目標主機之前,TCP攔截通過攔截和驗證來阻止這種攻擊。TCP攔截可以在攔截和監視兩種模式下工作。在攔截模式下,路由器攔截到達的TCP同步請求,並代表服務器建立與客戶機的連接,如果連接成功,則代表客戶機建立與服務器的連接,並將兩個連接進行透明合並。在整個連接期間,路由器會一直攔截和發送數據包。對於非法的連接請求,路由器提供更為嚴格的對於half-open的超時限制,以防止自身的資源被SYN攻擊耗盡。在監視模式下,路由器被動地觀察流經路由器的連接請求,如果連接超過了所配置的建立時間,路由器就會關閉此連接。
在Cisco路由器上開啟TCP攔截功能需要兩個步驟:一是配置擴展訪問列表,以確定需要保護的IP地址;二是開啟TCP攔截。配置訪問列表是為了定義需要進行TCP攔截的源地址和目的地址,保護內部目標主機或網絡。在配置時,用戶通常需要將源地址設為any,並且指定具體的目標網絡或主機。如果不配置訪問列表,路由器將會允許所有的請求經過。
四、使用擴展訪問列表
擴展訪問列表是防止DoS攻擊的有效工具。它既可以用來探測DoS攻擊的類型,也可以阻止DoS攻擊。Show IP access-list命令能夠顯示每個擴展訪問列表的匹配數據包,根據數據包的類型,用戶就可以確定DoS攻擊的種類。如果網絡中出現了大量建立TCP連接的請求,這表明網絡受到了SYN Flood攻擊,這時用戶就可以改變訪問列表的配置,阻止DoS攻擊。
五、使用單一地址逆向轉發
逆向轉發(RPF)是路由器的一個輸入功能,該功能用來檢查路由器接口所接收的每一個數據包。如果路由器接收到一個源IP地址為10.10.10.1的數據包,但是CEF(Cisco Express Forwarding)路由表中沒有為該IP地址提供任何路由信息,路由器就會丟棄該數據包,因此逆向轉發能夠阻止Smurf攻擊和其他基於IP地址偽裝的攻擊。
六、使用QoS
使用服務質量優化(QoS)特征,如加權公平隊列(WFQ)、承諾訪問速率(CAR)、一般流量整形(GTS)以及定制隊列(CQ)等,都可以有效阻止DoS攻擊。需要注意的是,不同的QoS策略對付不同DoS攻擊的效果是有差別的。例如,WFQ對付Ping Flood攻擊要比防止SYN Flood攻擊更有效,這是因為Ping Flood通常會在WFQ中表現為一個單獨的傳輸隊列,而SYN Flood攻擊中的每一個數據包都會表現為一個單獨的數據流。此外,人們可以利用CAR來限制ICMP數據包流量的速度,防止Smurf攻擊,也可以用來限制SYN數據包的流量速度,防止SYN Flood攻擊。使用QoS防止DoS攻擊,需要用戶弄清楚QoS以及DoS攻擊的原理,這樣才能針對DoS攻擊的不同類型采取相應的防范措施。
以上介紹的幾種方法,在實際環境中,用戶需要根據自身情況和路由器的性能來選擇使用適當的方式。而且對付不同類型的DoS攻擊的能力是不同的,對路由器CPU和內存資源的占用也有很大差別,大家一定要仔細考慮。
copyright © 萬盛學電腦網 all rights reserved