前言：路由器是網路邊界的第一道防線

校園網核心路由器承載教學、行政、科研多重業務，一旦被攻破後果不堪設想。本文整理五大實戰加固措施，助你構建纏深層防禦體系。

策略一：封鎖 ICMP Ping 請求——隱藏網路拓撲

ICMP 雖利於故障排查，卻也為攻擊者提供掃描存活主機、推測 OS 版本、測量延遲等偵察便利。建議在邊界路由器配置 ACL 拒絕外部 ICMP Echo Request，僅允許內部管理網段與信任夥伴 Ping。命令範例：

access-list 110 deny icmp any any echo
access-list 110 permit icmp any any echo-reply
access-list 110 permit icmp any any unreachable
interface GigabitEthernet0/0
 ip access-group 110 in

策略二：關閉 IP 來源路由——堵住繞道偵察與攻擊

IP 來源路由允許發送端指定封包路徑，合法診斷場景極少，卻常被用於網路拓撲繪製、繞過防火牆、尋找後門。全域關閉：

no ip source-route

策略三：監控配置變更——讓每一次改動都留痕可查

• SNMP 強化：棄用 public/private 社群字串，改用複雜隨機字串；優先採用 SNMPv3 提供加密與鑑別；若無需寫入操作，設為 snmp-server community RO_STRING RO。
• Syslog 集中化：將路由器日誌實時轉發至專用 Syslog 伺服器，保留至少 90 天，配合 SIEM 做關聯分析。
• 加密管理通道：強制使用 SSH v2 取代 Telnet，限制 SSH 僅接受信任管理主機連線：

ip ssh version 2
access-list 10 permit 10.10.10.0 0.0.0.255
line vty 0 4
 access-class 10 in
 transport input ssh

策略四：地址過濾（反欺騙/出口過濾）——守住邊界真實性

在校園網出口路由器實施：

• 出向過濾：僅允許合法校園網段（如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）來源封包出境，拒絕私有位址、回送位址（127.0.0.0/8）、保留/不可路由位址外洩。
• 入向過濾：拒絕來源為校園內部網段的封包從外部進入（防欺騙），拒絕來源為多播、保留、回送位址的封包。

! 出向 ACL 範例
access-list 100 permit ip 10.0.0.0 0.255.255.255 any
access-list 100 permit ip 172.16.0.0 0.15.255.255 any
access-list 100 permit ip 192.168.0.0 0.0.255.255 any
access-list 100 deny ip any any log
interface GigabitEthernet0/1
 ip access-group 100 out

策略五：掌握路由器轉發原理——知己知彼百戰不殆

路由器依據目的 IP 的網路 ID 識別目標網路，再依主機 ID 轉發至具體節點。理解 路由表查找順序、最長前綴匹配、遞歸查找、CEF 快速交換 等機制，才能在故障時快速判斷是路由缺失、遞歸失敗、CEF 與 RIB 不一致還是硬體轉發故障。

---

總結：安全非一次性專案，而是持續運營過程。最小權限、預設拒絕、加密傳輸、集中稽核、定期演練 五大原則，貫穿於每一條 ACL、每一個 SSH 連線、每一筆 Syslog 之中。