DoS 攻擊三大經典類型
| 類型 | 攻擊向量 | 影響 |
|---|
| Smurf | ICMP Echo 請求配合廣播位址放大 | 塞滿頻寬、癱瘓服務 |
| SYN Flood | 海量 TCP SYN 半連接耗盡連接表 | 合法用戶無法建立連線 |
| Fraggle | UDP Echo 請求放大 (類似 Smurf) | 頻寬耗盡 |
五大 Cisco IOS 防禦武器
1. 擴展存取控制列表 (Extended ACL) — 基礎偵測與阻斷
show access-lists 觀察比對計數，快速識別攻擊封包類型 (大量 SYN、ICMP、UDP)。- 動態調整 ACL 拒絕攻擊源 IP/協定/埠口。
- 適用：所有攻擊類型的第一道防線。
2. 服務品質 (QoS) — 流量整形與速率限制
| QoS 工具 | 防禦目標 | 原理 |
|---|
| WFQ (加權公平佇列) | Ping Flood (ICMP) | 將 ICMP 歸入單一佇列，公平排程，不佔用其他流量頻寬 |
| CAR (承諾存取率) | Smurf (ICMP)、SYN Flood | 限制 ICMP/SYN 封包速率，超速丟棄 |
| GTS (通用流量整形) | 輸出方向流量整形 | 平滑突發流量 |
| CQ (自訂佇列) | 業務優先級保障 | 保留關鍵業務頻寬 |
關鍵： 不同 QoS 工具對應不同攻擊，需理解原理後精準套用。
3. 單一來源單向路由轉發 — 反制 IP 偽裝
- 啟用 CEF (
ip cef) 後，於介面啟用 ip verify unicast source reachable-via rx (uRPF strict mode) 或 any (loose mode)。
- 原理：檢查封包來源 IP 在路由表中是否有回程路徑指向接收介面；無則丟棄。
- 優勢：動態適應路由變化、維護成本低、效能衝擊遠小於 ACL。
- 有效阻擋 Smurf、Fraggle 等依賴來源 IP 偽裝的攻擊。
4. TCP 截攔 — 專治 SYN Flood
- 模式：Intercept (主動截攔) / Watch (被動監視)。
- Intercept 模式：路由器代理三向交手，驗證客戶端真實性後再建立到伺服器的連線，合併兩條連線透明轉發。嚴格半連接超時保護自身資源。
- Watch 模式：被動觀察，超時未完成三向交手則發送 RST 釋放資源。
- 部署兩步驟：
① access-list 101 permit tcp any host <伺服器IP> 定義保護對象。
② ip tcp intercept list 101 / ip tcp intercept mode intercept 啟用。
5. 內容基礎存取控制 (CBAC) — 應用層狀態檢測
- 超越傳統 ACL，基於應用層會話資訊智能過濾 TCP/UDP。
- 核心機制：監控 半連接數量與建立頻率。
- TCP 半連接 = 未完成三向交手。
- UDP 半連接 = 無回程流量。
- 超過高水位 → 刪除部分半連接；低於低水位 → 停止刪除。
- 連接嘗試頻率超閾值 → 刪除請求。
- 每分鐘檢測一次，持續動態防護，有效抵禦 SYN Flood 與 Fraggle。
部署策略建議
- 邊界路由器啟用 uRPF + CAR (限制 ICMP/SYN 速率) 作為第一道防線。
- 核心服務器前段部署 TCP Intercept (Intercept 模式) 保護關鍵 TCP 服務。
- 啟用 CBAC 提供應用層深度防護與異常行為告警。
- 配合 ACL 記錄與 NetFlow 進行事後溯源分析。
- 根據路由器 CPU/記憶體資源與業務流量模型，選擇適當工具組合，避免過度配置導致效能下降。
結語
路由器是企業網路第一道防線。整合 ACL 偵測、QoS 限速、uRPF 反偽裝、TCP Intercept 連線驗證、CBAC 應用層狀態機，可構建多層次、自適應的 DoS 防禦體系。網管需深入理解各工具原理與資源消耗，因地制宜部署，才能在攻擊來襲時從容應對。