轻松九步加强边界路由器的安全防护能力

       过去几年中，VoIP系统在企业及住宅两个市场的普及率都得到了很大的提高。VoIP将数据和语音两项业务融合进一个统一的网络中，使企业IT部门或家庭用户能极大地节省成本。我们还看到各服务提供商开始少量部署VoIP系统，能够将网关连接到DSL或有线调制解调器等宽带接入设备上。

　　当前一代的住宅网关提供了一种针对数据WLAN连接的机制。今天，大多数WLAN都是针对数据应用，用于替代以太网，与笔记本电脑或台式电脑连接。一些设备，例如打印机、相机或WLANIP电话等，由于本身没有充足的用户接口，从而限制了它们的部署。一般地讲，与WLAN有关的安全问题牵扯到所有和它相连的设备。WLANIP电话或复合式蜂窝/WLAN电话在这方面所面临的挑战更大。

　　WLAN系统中的安全

　　802.11i标准是一种支持数据包安全与认证安全的MAC层增强型标准。前几代基于密码的802.11安全机制都是围绕WEP协议制定的。但WEP所提供的认证不是双向认证，例如用户不能认证网络。WEP中密钥的重复使用也使黑客很容易就能破解密钥。最后，在静态WEP实现中，网管员实际上不可能更改接入点(AP)上的密钥，因为这需要更改每个站点上的密钥。所以在大多数情况下，WEP并没有得到贯彻。

　　通过以下两个步骤，802.11i可解决WEP中安全不足的问题：首先是提供一种可对目前产品进行软件升级的机制;其次是创建一个可能需要硬件改动的新型鲁棒安全网络(RSN)。第一个措施已被Wi-Fi联盟采纳为无线保护接入(WPA)，而且经过批准的802.11i规范已被采用为WPA2。

　　WPA实际上相当于为WEP所使用的RC4加密方案添加了一个安全壳，可提供用户与网络之间的相互认证、进行自动安全的密钥交换以及提供对语音(及数据)包的保护。通过用高级加密标准(AES)代替RC4作为加密引擎，WPA2增强了WPA的安全性。而且，通过采用类似的自动密钥交换机制，WPA2可保护用户在WPA上的基础设施投资。

　　虽然标准制定机构在解决802.11MAC层的安全性方面花费了大量的精力，但实际上并未解决家庭用户(或热点)应用中的安全问题。安全的缺乏与终端用户大多不能正确理解有关技术术语及配置步骤有关，而理解这些术语和配置步骤对于建立足够的安全性来说非常关键。 

         6.确定你的数据包过滤的需求

　　封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。

　　对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。

　　大多数网络将通过使用"按拒绝请求实施过滤"的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举攻击。封锁31337(TCP和UDP)端口将使Back Orifice木马程序更难攻击你的网络。

　　这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。

　　7.建立准许进入和外出的地址过滤政策

　　在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。

　　相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。

　　最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类(class E)地址段240.0.0.0-254.255.255.255。

　　8.保持路由器的物理安全

　　从网络嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。

　　然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

　　9.花时间审阅安全记录

　　审阅你的路由器记录(通过其内置的防火墙功能)是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出"红色代码"和"Nimda"病毒的攻击。

　　此外，一般来说，路由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。