3．關(guān)閉廣域網(wǎng)上一些不必要的服務(wù)
在Cisco路由器上，有很多服務(wù)廣域網(wǎng)上根本不必要，但是仍然默認(rèn)開啟，反而造成了安全漏洞，給黑客以可乘之機(jī)。所以建議予以手工關(guān)閉。
例如：利用訪問控制列表（acl）只開啟實(shí)際使用的tcp、udp端口。同時(shí)，執(zhí)行no service tcp-small-servers, no service udp-small-servers。這些tcp、udp協(xié)議上小服務(wù)，平時(shí)不常使用，但是這些端口容易被人利用，所以應(yīng)該關(guān)閉。 No ip finger，finger協(xié)議主要在unix下使用，類似于Cisco IOS中的show user，如果開啟容易被黑客看到連接用戶，進(jìn)一步猜測(cè)弱密碼，進(jìn)行合法登陸。如果需要防范密碼猜測(cè)的風(fēng)險(xiǎn)，在路由器上就應(yīng)該首先把這個(gè)服務(wù)關(guān)閉。
在撥號(hào)線路上，一般都采用transport input none，關(guān)閉諸如telnet、rlogin等易受攻擊的后臺(tái)程序。
4．No ip direct-broadcast
Ping of death攻擊據(jù)說最早源于俄羅斯，就是通過許多用戶同時(shí)對(duì)同一目的進(jìn)行ping，造成flood攻擊的效果。但是在實(shí)戰(zhàn)上效果并不明顯。因?yàn)樵趂lood的同時(shí)，攻擊方也必須付出同樣的資源。因此，有人對(duì)這種攻擊手段進(jìn)行了優(yōu)化。攻擊的目的端從某一特定的ip地址，轉(zhuǎn)換成了類如192.10.6.255這樣一個(gè)網(wǎng)段廣播地址。使這個(gè)網(wǎng)段內(nèi)所有的機(jī)器都對(duì)這樣的請(qǐng)求做出應(yīng)答，從而達(dá)到事半功倍的效果。
對(duì)應(yīng)手段為：在路由器廣域網(wǎng)接口no ip direct-broadcast，這樣除了隔離255.255.255.255的全廣播以外，對(duì)于類似192.10.6.255網(wǎng)段廣播地址也予以隔離，可以大大減少了被flood攻擊的風(fēng)險(xiǎn)，也能減少主干線路上不必要的流量�；蛘撸谕瓿删W(wǎng)絡(luò)上的連通性測(cè)試（ping測(cè)試）之后，利用訪問控制列表，關(guān)閉ICMP協(xié)議中的echo和echo reply。