路由器攻擊防護功能怎麼設定

　　網際網路的發展越來越快，網路也已經幾乎普及到了我們每個家庭，路由器裝置是我們最常使用來連線網路的工具，那麼你知道嗎?下面是小編整理的一些關於路由器攻擊防護功能設定的相關資料，供你參考。

　　路由器攻擊防護功能設定的方法

　　在網路使用的過程中，往往會遇到各種各樣的網路攻擊，如：掃描類的攻擊，DoS攻擊等。

　　我司企業級路有器內建了目前常見的網路攻擊防護措施，支援內/外部攻擊防範，提供掃描類攻擊、DoS類攻擊、可疑包和含有IP選項的包等攻擊保護，能偵測及阻擋IP 地址欺騙、源路由攻擊、IP/埠掃描、DoS等網路攻擊，有效防止Nimda攻擊等。***路由器只是對於網路中常見的攻擊進行防護，對於網路的操作進行監控，而病毒，木馬等這些處於應用層的應用，我司路由器並不是防毒軟體，並不是我在路由器上設定了防火牆或攻擊防護等，您的計算機就不會中病毒***

　　在開啟攻擊防護時，必須開啟路由器“防火牆總開關”，選中對應的“開啟攻擊防護”：

　　在選單中的“安全設定”->“攻擊防護”中，可以看到路由器針對各種網路攻擊的防護及設定;

　　其中分別針對各種常見的網路攻擊進行防護：正確設定各種防護的閾值，可以有效的對各種攻擊進行防護。請根據您的網路環境進行相應的設定，一般可以使用路由器預設的值，或者可以自己進行設定。在設定的時候，閾值不要設定過小，會導致攔截過高，有可能把網路中正常的資料包誤認為非法的資料包，使您的網路不能正常使用;閾值也不要設定過大，這樣會起不到攻擊防護的效果。

　　在區域的設定中，可以選擇LAN和WAN，若選擇LAN表示對來自區域網的資料包進行監控;而選擇WAN表示對來自外網的資料包進行監控。

　　1、掃描類的攻擊防護主要有三類：IP掃描，埠掃描，IP欺騙。

　　其中WAN區域沒有IP欺騙設定。掃描一般都是發起攻擊的第一個步驟，攻擊者可以利用IP掃描和埠掃描來獲取目標網路的主機資訊和目標主機的埠開放情況，然後對某主機或者某主機的某埠發起攻擊，對掃描進行預先的判斷並保護可以有效的防止攻擊。我司企業級路由器對掃描類攻擊的判斷依據是：設定一個時間閾值***微秒級***，若在規定的時間間隔內某種資料包的數量超過了10個，即認定為進行了一次掃描，在接下來的兩秒時間裡拒絕來自同一源的這種掃描資料包。閾值的設定一般建議儘可能的大，最大值為一秒，也就是1000000微妙，一般推薦0.5-1秒之間設定。***閾值越大，防火牆對掃描越“敏感”***

　　下面為路由器沒有開啟攻擊防護下，使用埠掃描工具進行掃描的結果

　　開啟了路由器的“攻擊防護”

　　此時進行埠掃描的結果為

　　通過抓包分析，路由器檢測到了有埠掃描攻擊，進行了相應的攻擊防護，掃描工具沒有接收到前端計算機返回的資訊，所以在埠掃描的時候，無法完成埠掃描。此時。路由器傳送了一個系統日誌給日誌伺服器，檢測到有攻擊的存在。

　　在開啟了防火牆的攻擊防護後，掃描軟體掃描不正確。但路由器每次的掃描判斷允許十個掃描資料包通過，因此有可能目的計算機開放的埠剛好在被允許的十個資料包之中，也能被掃描到，但這種機率是微乎其微的。

　　日誌伺服器上記錄顯示有埠掃描攻擊

　　關於日誌伺服器的使用，請參考《日誌伺服器的安裝與使用》，日誌中很清晰的記錄了內網電腦192.168.1.100有埠掃描的行為。

　　2、DoS類的攻擊主要有：ICMP Flood、UDP Flood、SYN Flood、Land Attack、WinNuke。

　　拒絕服務***DoS--Denial of Service***攻擊的目的是用極其大量的虛擬資訊流耗盡目標主機的資源，目標主機被迫全力處理虛假資訊流，從而影響對正常資訊流的處理。如果攻擊來自多個源地址，則稱為分散式拒絕服務DDoS。

　　企業級路由器對DoS類攻擊的判斷依據為：設定一個閾值***單位為每秒資料包個數PPS=Packet Per Second***，如果在規定的時間間隔內***1秒***，某種資料包超過了設定的閾值，即認定為發生了一次洪泛攻擊，那麼在接下來2秒的時間內，忽略掉下來自相同攻擊源的這一型別資料包。

　　這裡“DoS類攻擊防護”閾值設定與上面“掃描攻擊”閾值剛好相反，值越小越“敏感”，但一般也不能太小，正常的應用不能影響，我們可以根據自己的環境在實際的應用中動態調整。

　　下面為一個ICMP的例子，在路由器沒有開啟攻擊防護的情況下，ping前端的計算機

　　使用發包工具，對前端的計算機進行1000pps的ping操作，通過抓包可以看到，前端的計算機都有迴應。

　　而開啟了路由器攻擊防護的ICMP Flood攻擊防護，設定閾值為100pps。

　　此時進行抓包分析

　　路由器檢測到了有ICMP Flood攻擊存在，傳送了一個日誌給日誌伺服器，在以後的ping請求中，都沒有得到迴應。有效地防止了ICMP Flood攻擊。

　　日誌伺服器中，也可以檢視到相應的攻擊資訊

　　3、可疑包類防護包括五類：大的ICMP包***大於1024位元組***、沒有Flag的TCP包、同時設定SYN和FIN的TCP包、僅設定 FIN 而沒有設定ACK的TCP包、未知協議。

　　4、含有IP選項的包防護：在 Internet Protocol 協議***RFC 791***中，指定了一組選項以提供特殊路由控制、診斷工具和安全性。

　　它是在 IP 包頭中的目的地址之後。協議認為這些選項“ 對最常用的通訊是不必要的”。在實際使用中，它們也很少出現在 IP 包頭中。這些選項經常被用於某些惡意用途。

　　IP選項包括。

　　選中一項IP選項的複選框，則檢查;清除選項的選擇，則取消檢查。

　　一般情況下上面兩部分的資料包是不會出現的，屬於非正常的包，可能是病毒或者攻擊者的試探，路由器在設定了相應的攻擊防護的話會將對應的資料包丟棄。

　　本文主要介紹了企業級路由器的攻擊防護的處理機制以及效果，通過舉了幾個例子進行詳細地描述。例子中使用的引數只為測試使用，並不一定符合實際的使用環境，在具體的使用過程中，還需要根據您的實際網路使用環境進行除錯，找到一個合理的閾值，才能有效的保護您的網路。