路由器会面临哪些威胁，如何保护路由器的安全

路由器作为互联网上重要的地址信息路由设备，直接暴露于网络之中。攻击路由器会浪费CPU周期，误导信息流量，使网络陷于瘫痪。

路由器面临的威胁有：

将路由器作为攻击平台：入侵者利用不安全的路由器作为生成对其他站点扫描或侦察的平台。

拒绝服务：尽管路由器在设计上可以传送大量的数据流，但是它同样不能处理传送给大于它传输能力的流量。入侵者利用这种特性攻击连接到网络上的路由器，而不是直接攻击网络上的系统，从而造成对路由器的拒绝服务攻击。

明文传输配置信息：许多网络管理员未关闭或加密Telnet会话，因此若明文传输的口令被截取，黑客就可以任意配置路由器。

好的路由器本身会采取一个好的安全机制来保护自己，但是仅此一点是远远不够的。保护路由器安全还需要网管员在配置和管理路由器过程中采取相应的安全措施：

一、限制系统物理访问：

限制系统物理访问是确保路由器安全的最有效方法之一，即将控制台和终端会话配置成在较短闲置时间后自动退出系统；避免将调制解调器连接至路由器的辅助端口也很重要。一旦限制了路由器的物理访问，用户一定要确保路由器的安全补丁是最新的。因为漏洞常常是在供应商发行补丁之前被披露，这就使得黑客抢在供应商发行补丁之前利用受影响的系统，这需要引起用户的关注。

二、加强口令安全：

黑客常常利用弱口令或默认口令进行攻击。加长口令、选用30到60天的口令有效期等措施有助于防止这类漏洞。另外，一旦重要的网管员工辞职，用户应该立即更换口令。用户应该启用路由器上的口令加密功能，实施合理的验证控制以便路由器安全地传输数据。

三、应用身份验证功能：

在大多数路由器上，用户可以配置一些加密和认证协议，如远程验证拨入用户服务。验证控制可以将用户的验证请求转发给通常在后端网络上的验证服务器，验证服务器还可以要求用户使用双因素验证，以此加强验证系统。

四、禁用不必要服务：

拥有众多路由服务是件好事，但近来许多安全事件都凸显了禁用不需要本地服务的重要性，如禁止CDP服务；需要注意的是，禁用路由器上的CDP可能会影响路由器的性能。定时对有效操作网络是必不可少的，即使用户确保了部署期间时间同步，经过一段时间后，时钟仍有可能逐渐失去同步。由此，用户可以利用名为网络时间协议（NTP）的服务，对照有效准确的时间源以确保网络上的设备时针同步；不过，确保网络设备时钟同步的最佳方式不是通过路由器，而是在防火墙保护的网络区段放一台NTP服务器，将该服务器配置成仅允许向外面的可信公共时间源提出时间请求。另外，在路由器上，对于SNMP、DHCP以及WEB管理服务等，只有绝对必要的时候才可使用这些服务。

五、限制逻辑访问：

限制逻辑访问主要是借助于合理处置访问控制列表，限制远程终端会话有助于防止黑客获得系统逻辑访问。其中SSH是优先的逻辑访问方法，还可以使用终端访问控制，以限制只能访问可信主机。因此，用户需要给Telnet在路由器上使用的虚拟终端端口添加一份访问列表。

六、有限使用ICMP消息类型：

控制消息协议（ICMP）有助于排除故障，但也为攻击者提供了用来浏览网络设备、确定本地时间戳和网络掩码以及对OS修正版本作出推测的信息。因此，为了防止黑客搜集上述信息，只允许以下类型的ICMP流量进入用户网络：主机无法到达的、端口无法到达的、源抑制的以及超出生存时间（TTL）的。此外，还应禁止ICMP流量以外的所有流量，以防止拒绝服务攻击。

七、控制流量有限进入网络：

为了避免路由器成为DoS攻击目标，用户应该拒绝以下流量进入：没有IP地址的包、采用本地主机地址、广播地址、多播地址以及任何假冒的内部地址的包。虽然用户无法杜绝DoS攻击，但用户可以限制DoS的危害；另外，用户还可以采取增加SYN ACK队列长度、缩短ACK超时等措施来保护路由器免受TCP SYN的攻击。

八、安全使用SNMP/TELNET：

如果用户使用SNMP，那么一定要选择功能强大的共用字符串，最好是使用提供消息加密功能的SNMP V3。如果不通过SNMP管理对设备进行远程配置，用户最好将SNMP设备配置成只读；拒绝对这些设备进行写操作，用户就能防止黑客改动或关闭接口。为进一步确保安全管理，用户可以使用SSH等加密机制，利用SSH与路由器建立加密的远程会话；为了加强保护，用户还应该限制SSH会话协商，只允许会话用于同用户经常使用的几个可信系统进行通信。