CCNA指导：路由器常用ACL和一些简单防护简介

会计考友

　1 IP欺骗简单防护。如过滤非公有地址访问内部网络。过滤自己内部网络地址；回环地址（127.0.0.0/8）；RFC1918私有地址；DHCP自定义地址 （169.254.0.0/16）；科学文档作者测试用地址（192.0.2.0/24）；不用的组播地址（224.0.0.0/4）；SUN公司的古老的测试地址（20.20.20.0/24;204.152.64.0/23）；全网络地址（0.0.0.0/8）。
　　Router（Config）# access－list 100 deny ip 127.0.0.0 0.255.255.255 any
$ a# x4 c( |+ e0 g0 e& E! X% C0 c　　Router（Config）# access－list 100 deny ip 192.168.0.0 0.0.255.255 any
. |. y0 M- f+ P. s" e/ K　　Router（Config）# access－list 100 deny ip 172.16.0.0 0.15.255.255 any
　　Router（Config）# access－list 100 deny ip 10.0.0.0 0.255.255.255 any
　　Router（Config）# access－list 100 deny ip 169.254.0.0 0.0.255.255 any
9 s) e6 [6 }/ y" D* m( Z　　Router（Config）# access－list 100 deny ip 192.0.2.0 0.0.0.255 any
　　Router（Config）# access－list 100 deny ip 224.0.0.0 15.255.255.255 any
　　Router（Config）# access－list 100 deny ip 20.20.20.0 0.0.0.255 any
  v: k% U& p# B5 X; V　　Router（Config）# access－list 100 deny ip 204.152.64.0 0.0.2.255 any
- }2 i9 V  ]/ l7 t* v% O　　Router（Config）# access－list 100 deny ip 0.0.0.0 0.255.255.255 any
　　Router（Config）# access－list 100 permit ip any any
　　Router（Config－if）# ip access－group 100 in
　　2 建议采用访问列表控制流出内部网络的地址必须是属于内部网络的。（可选）如：
　　Router（Config）# no access－list 101
, k! G6 d3 x& v8 L: p　　Router（Config）# access－list 101 permit ip 192.168.0.0 0.0.255.255 any
　　Router（Config）# access－list 101 deny ip any any
2 T' ^. g. l8 |+ h" ^" \$ n0 _  x　　Router（Config）# interface eth 0/1
7 L0 q* s+ `5 T. J　　Router（Config－if）# description “internet Ethernet”
　　Router（Config－if）# ip address 192.168.0.254 255.255.255.0
　　Router（Config－if）# ip access－group 101 in
　　其他可选项：
　　1、 建议启用SSH，废弃掉Telnet。但只有支持并带有IPSec特征集的IOS才支持SSH。并且IOS12.0－IOS12.2仅支持SSH－V1。如下配置SSH服务的例子：
　　Router（Config）# config t
　　Router（Config）# no access－list 22
　　Router（Config）# access－list 22 permit 192.168.0.22
　　Router（Config）# access－list deny any
　　Router（Config）# username test privilege 10
1 Z) m2 e; @8 ^( G( b　　！ 设置SSH的超时间隔和尝试登录次数
2 t: e( |4 \- B　　Router（Config）# ip ssh timeout 90
　　Router（Config）# ip ssh anthentication－retries 2
6 p: t! o1 G% G　　Router（Config）# line vty 0 4
　　Router（Config－line）# access－class 22 in
　　Router（Config－line）# transport input ssh
　　Router（Config－line）# login local
% N4 s1 r. N0 |; j3 R8 p( t　　Router（Config－line）# exit
5 ?7 ?7 v8 B4 a; r; m2 A　　！启用SSH服务，生成RSA密钥对。
4 {. l+ E. ]8 F7 l8 c; S　　Router（Config）# crypto key generate rsa
　　The name for the keys will be： router.xxx
　　Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose Keys .Choosing a key modulus greater than 512 may take a few minutes.
8 g( D- B  P8 Y4 |　　How many bits in the modulus【512】： 2048
　　Generating RSA Keys...
( x* l( a5 |5 p. w$ F　　Router（Config）#
　　2、 TCP SYN的防范。如：
: i# p) Y- u% ]　　A： 通过访问列表防范。
　　Router（Config）# no access－list 106
　　Router（Config）# access－list 106 permit tcp any 192.168.0.0 0.0.0.255 established
　　Router（Config）# access－list 106 deny ip any any
　　Router（Config）# interface eth 0/2
　　Router（Config－if）# description “external Ethernet”
# z( `* Q- c6 D  I+ J/ ]3 W, B　　Router（Config－if）# ip address 192.168.1.254 255.255.255.0
0 p% Q5 I. x- E- i- R0 i　　Router（Config－if）# ip access－group 106 in

会计考友

　　B：通过TCP截取防范。（这会给路由器产生一定负载）
　　Router（Config）# ip tcp intercept list 107
7 W- R1 K) q. k9 D. H　　Router（Config）# access－list 107 permit tcp any 192.168.0.0 0.0.0.255
　　Router（Config）# access－list 107 deny ip any any
　　Router（Config）# interface eth0
　　Router（Config）# ip access－group 107 in%26lt;/P%26gt;%26lt;P%26gt;3、 LAND.C 进攻的防范。
　　Router（Config）# access－list 107 deny ip host 192.168.1.254 host 192.168.1.254
0 D' p8 p/ }; d2 b　　Router（Config）# access－list 107 permit ip any any
　　Router（Config）# interface eth 0/2
　　Router（Config－if）# ip address 192.168.1.254 255.255.255.0
8 ?4 O% B4 U) U; A, {; g2 n# z　　Router（Config－if）# ip access－group 107 in%26lt;/P%26gt;%26lt;P%26gt;4、 Smurf进攻的防范。
6 d( j+ v% Z1 {- ~　　Router（Config）# access－list 108 deny ip any host 192.168.1.255
" h- @; H. a( E. L; j4 R　　Router（Config）# access－list 108 deny ip any host 192.168.1.0
2 h% _0 M5 }+ p/ k7 Y$ m; b8 e　　Router（Config）# access－list 108 permit ip any any
3 v# x9 B! E9 ]0 N" m. W% a9 c　　Router（Config－if）# ip access－group 108 in
7 e. [3 \5 ]5 V/ O" p; W+ n& u- N6 q　　5、 ICMP协议的安全配置。对于进入ICMP流，我们要禁止ICMP协议的ECHO、Redirect、Mask request。也需要禁止TraceRoute命令的探测。对于流出的ICMP流，我们可以允许ECHO、Parameter Problem、Packet too big。还有TraceRoute命令的使用。
: B  s6 a5 Q3 p% h3 Z　　！ outbound ICMP Control
　　Router（Config）# access－list 110 deny icmp any any echo
　　Router（Config）# access－list 110 deny icmp any any redirect
　　Router（Config）# access－list 110 deny icmp any any mask－request
　　Router（Config）# access－list 110 permit icmp any any
8 s$ }. K9 O9 T4 q; q1 h- ]　　！ Inbound ICMP Control
　　Router（Config）# access－list 111 permit icmp any any echo
　　Router（Config）# access－list 111 permit icmp any any Parameter－problem
  k* a# u% Z4 J$ f　　Router（Config）# access－list 111 permit icmp any any packet－too－big
　　Router（Config）# access－list 111 permit icmp any any source－quench
# Z2 v: B: R9 m& W- r5 S6 Z　　Router（Config）# access－list 111 deny icmp any any
; b4 e6 ]' w1 O) R5 P　　！ Outbound TraceRoute Control
/ W) @% k) O$ g- D9 `- k　　Router（Config）# access－list 112 deny udp any any range 33400 34400
  U7 T+ q& q2 s$ h& O( [　　！ Inbound TraceRoute Control
! K0 N% m2 z. Q7 ^3 M　　Router（Config）# access－list 112 permit udp any any range 33400 34400 %26lt;/P%26gt;%26lt;P%26gt;
; U. E. }0 x- j9 X' u' p7 M$ [3 n* |　　6、 DDoS（Distributed Denial of Service）的防范。
　　！ The TRINOO DDoS system
　　Router（Config）# access－list 113 deny tcp any any eq 27665 </p>　　Router（Config）# access－list 113 deny udp any any eq 31335
' [% ]+ q  I6 Y; ^7 |( p5 ~/ U5 J　　Router（Config）# access－list 113 deny udp any any eq 27444
! H8 H3 J6 C, W* j( N4 l$ V( I+ _# j　　！ The Stacheldtraht DDoS system
　　Router（Config）# access－list 113 deny tcp any any eq 16660
, C* m' }3 S, S% s* `. z0 L　　Router（Config）# access－list 113 deny tcp any any eq 65000
4 T9 y! u+ O  k: Q  Z　　！ The TrinityV3 System
. E: k1 \8 K7 v- Y　　Router（Config）# access－list 113 deny tcp any any eq 33270
* w, F& ]* |" I8 ?% f9 ?1 c　　Router（Config）# access－list 113 deny tcp any any eq 39168
　　！ The SubSeven DDoS system and some Variants
4 r% @0 X: X2 v　　Router（Config）# access－list 113 deny tcp any any range 6711 6712
　　Router（Config）# access－list 113 deny tcp any any eq 6776
; o( Q7 ^* y# b: l! R. H　　Router（Config）# access－list 113 deny tcp any any eq 6669
　　Router（Config）# access－list 113 deny tcp any any eq 2222
　　Router（Config）# access－list 113 deny tcp any any eq 7000
+ F  m  T( W- @) Y5 R5 A4 b& Z# f　　Router（Config）# access－list 113 permit ip any any
　　Router（Config－if）# ip access－group 113 in
0 c4 h0 L7 a! h/ ]  Q6 t　　7、 Sql蠕虫的防范
　　Router（Config）# access－list 114 deny udp any any eq 1434
8 O3 A# h: ]! J9 ]7 i7 R　　Router（Config）# access－list 114 permit ip any any
6 Y  I! F+ [: m* J1 [* B　　Router（Config－if）# ip access－group 114 in