2024年4月24日发(作者：太叔宛儿)
维普资讯
福建电脑 ２００７年第ｌｌ期
安全防御体系在Ｃｉｓｃｏ路由器上的应用
马杰 ，张永平 ，杨磊
６
（１．中国矿业大学计算机科学与技术学院江苏徐州２２１００８
２．徐州师范大学现代教育技术中心江苏徐州２２１１１
３．中国矿亚大学徐海学院
江苏徐州２２１００８）
【摘要】：通过对现有网络安全威胁的分析，提出了加固安全的四个层面的想法；通过配置Ｃｉｓｃｏ路由嚣，说明结合各
种安全防御工具。可以提高网络的安全性能。
【关键词】：Ｃｉｓｃｏ；，￣－由嚣；安全
Ｄ．前言
击的主要类型为：系统分析一端日扫描（Ｐｏｒｔ Ｓｃａｎ）；弱点漏洞的
在互联网中。路由器具有核心的地位。路由器是负责在网络
利用一技术入侵（Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ）；特洛伊木马ｅｒｇｏｊｎａ）；蝠虫
层对ＩＰ分组进行转发的主要设备．正是路由器的广泛使用。才
（Ｗｏｒｍ）；隐蔽通道（Ｐｉｉｐｃ），后ｆ－Ｉ（Ｂａｃｋｄｏｏｒ），嗅探（Ｓｎｉｆｅｒ）；强力攻
使得Ｉｎｔｅｒｎｅｔ具有很大的可伸缩性。随着网络综合业务的发展，
击（Ｂｒｕｔｅｆｏｒｃｅ）；拒绝服务（Ｄｅｎｙ ｏｆ Ｓｅｒｖｉｅｅ）／Ｊ：Ｊ＂布式ＤＯＳ；电子欺骗
路由器必须能提供更高的吞吐量、服务质量保证、可靠性和更多
０Ｐ Ｓｐｏｏｒｍｓ）￣。
的网络管理功能。为了适应互联网的发展变化。路由器的结构也 ２．２常用的安全工具
一
直在发展变化之中。
２．２．１加固安全的四个层面
目前路由器主要有以下三种实现方法［１ｌ：基于通用处理器的
无论哪种攻击．主要的目的都是通过网络获取有价值的其
软件路由器、基于ＡＳＩＣ的路由器、基于网络处理器的路由器。基
他人的信息。为了避免或减少信息的篡改或丢失。应该从以下四
于通用处理器的软件路由器的优点是：可灵活的升级系统；易于
个层面加固安全：网络层、主机层、应用层和桌面层。加固网络层
支持增加的接１：３：可以更快的开发新产品并缩短产品的进入市
安全主要是保障网络设备的安全性。目前主要的网络设备为路
场时间。核心处理器执行所有的路由功能。缺点是不能升级到高
由器、交换机和ＨＵＢ。由于路由器具有以下几个特点，所以在实
带宽。基于ＡｓＩＣ的路由器的优点是：能提供线速性能；ＡｓＩＣ被
际应用中是采用比较多的网络互连设备
用于包或帧的转发、ＣＰＵ被用于控制功能的架构提供了速度和
（１）本身具有很高的网络安全防护体系；
灵活性。缺点是缺乏灵活性，一旦产品定型，就很难适应不断出
（２）Ｚ作效率高。抵抗ＤＯＳ能力强；
现的各种网络新服务和新标准。而基于网络处理器的路由器则
（３）交换环境的欺骗工具对其无效；
综合了前两种路由器的优点：可同时提供性能和灵活性；多个包
（４）ｎ－－ｆ￣．据具体的实际情况进行配置，灵活有效。
处理元素（微引擎）支持了多个线程：通过流水线化和并行处理
加固主机层安全的主要是通过在无网络连接的情况下安装
能获得更高的性能：软件编程会更容易的增加服务并可带来灵 操作系统，加安第三方防火墙。停止某些不需要的服务，如
活性。无论哪一种路由器，硬件条件改善的同时。一定要最大限
Ａｌｅｒｔｅｒ、ＣｌｉｐＢｏｏｋ Ｓｅｒｖｅｒ、Ｃｏｍｐｕｔｅｒ Ｂｒｏｗｓｅｒ Ｄｉｒｅｃｔｏｒｙ ＲｅｐＬｉｅａｔｏｒ
度的保证路由器的安全性
ＤＨＣＰ Ｃｌｉｅｎｔ、Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ等服务都设置为ｄｉｓａｂｌｅ，在
】．路由器安全的重要作用
必要的时候要禁止ＳＮＭＰ ｅｓｒｖｉｃｅ、ＳＮＭＰ ｔｒａｐ和ＬＩＰＳ服务等。
路由器是一种用于物理网络互连并在它们之问转发数据流
应用层的加固安全的方法主要是编写安全的代码。桌面端
的网络系统．它能将不同网络或网段之间的数据信息进行传递 安全加固的主要方法是优化桌面操作系统服务。提升性能以及
和”翻译”。使它们能够相互理解对方的数据，从而构成一个更大 安装第三方杀毒软件和防火墙．这也是我们目前所采用的主要
的网络．是连接因特网的核心设备。
的防范方法。
路由器的安全性分为两个方面ｆ－＇＇ｌ：一方面是路由器本身的安 ２．２．２安全加固的工具
全，另一方面是网络数据的安全。由于路由器是因特网的核心，
目前所采用的安全加固工具主要包括防火墙、鉴别、访问控
是网络互连的关键设备．大部分情况下网络设备的崩溃可能导 制、扫描器、数据加密以及入侵检测等。
致更大范围的网络的崩溃．所以保护设备自身的安全是保护网 防火墙删是一种重要而有效的网络安全机制．是保证主机和
络安全非常重要的一个方面。通用路由器一般都具备一定的安
网络安全必不可少的工具．它已经被提及作为一种强大的工具
全措施，用于保护路由器、防止非法入侵等，但这些措施只能保 用于网络边缘来执行安全策略。防火墙是在受保护的网络和外
证控制层面安全。而安全路由器则从控制和数据两个层面上全 部网络之间实施安全防范的系统．把攻击者挡在受保护网的外
面解决网络安全问题。在保证通用路由器功能和性能的前提下。
面，目的在于增强局域网边界的安全性，来避免内部主机免遭外
提供安全的ＩＰ数据通信服务。因此．安全路由器必须支持 部的攻击．同时也可不避免内部的使用者攻击局域网外部的主
ＩＰＳｅｃ协议，可集成防火墙、入侵检测、ＮＡＴ、ＱｏＳ、ＶＰＮ以及未来
机。
的安全技术。 鉴别用于保证信息的合法性和有效性．是证实信息交换过
安全路由器一般作为边缘或接人路由器配置在受保护网络
程合法有效的一种重要手段。主要包括三方面的内容：报文鉴
的边界。所有进出该网络的数据均由安全路由器进行处理．可以 别、身份认证和数字签名。
有效地分割开内外网络。既有路由器的有效组网作用．又具备安
访问控制的基本任务是防止非法用户进入系统以及合法用
全保护作用。
户对系统资源的非法使用。访问控制包括两个处理过程：识别和
２．安全防御
认证用户，这是身份认证的内容；决定该用户对某一资源的访问
２．１存在的主要安全问题
权限。目前。比较通用的访问控制方法有三种：自主访问控制
随着网络的不断发展，网络受到的安全威胁也变得１３益严
（Ｄｉｓｃｒｅｔｉｏｎａｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏ１）、强制访问控｛｝ｌ（Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ
峻。其主要的安全威胁类型有：黑客攻击、后门隐蔽通道、计算机
Ｃｏｎｔｍｌ１和具有强制和自主因素的基于角色（Ｒｏｌｅ－ｂａｓｅｄ）￣访问
病毒、拒绝服务攻击等等。其中黑客攻击占很大的比例。黑客攻
控制。访问控制方法的应用主要体现在设置访问控制列表。访问
维普资讯
２ｏ０７年第１１期 福建电脑 ８１
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐａｎｙａｎｙ ｅｑ １３９
控制列表『４１是由一系列的访问控制元素（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｅｈ．
ｍｅｎｔ＇ＡＣＥ）组成。每个元素是一条单一的规则，用来匹配一种特
针对ｓｑｌ—ｓｌａｍｍｅｒ、Ｎｅｔｂｉｏｓ
Ｗｏｒｍ．Ｄｖｌｄｒ蠕虫等病毒的的访
定类型的分组
问列表设置如下：
安全扫描的基本思想是模仿人侵者的攻击方法．从攻击者
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｃｑ １４３４
的角度来评估系统和网络的安全性。扫描器是实施安全扫描的
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙｔｃｐａｎｙａｎｙ ｅｑ４４５
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ ５８００
工具．它通过攻击来发现目标系统和网络中存在的各种安全漏
洞．并给出相应的处理办法。从而提高系统的安全性。
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙｔｃｐａｎｙａｎｙ ｅｑ ５９００
数据加密的方法主要是对数据进行以下三个方面的保护：
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｐｅｒｍｉｔ ｉｐ ａｎｙ ａｎｙ
首先是要尽量避免非授权用户获取数据：其次要保证即使非法
（４）ＭＡＣ地址与ＩＰ绑定：防止盗用内部ＩＰ地址可以利用
获取了数据。仍然无法理解数据的真正意义；最后要保证非法用
Ｃｉｓｃｏ路由器将固定ＩＩ，地址绑定到某一ＭＡＣ地址之上．具体命
户窃取了数据后不能修改数据、或者修改数据后能被及时发现。 令为：ａｒｐ固定ＩＩ，地址ＭＡＣ地址。
利用加密可以方便的实现数字签名、身份认证以及确保信息完
路由器的安全配置主要包括访问安全、网络服务安全、访问
整性和ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ．虚拟专用网）等技术。目前 控制列表和过滤、路由和路由协议的安全、日志和管理以及路由
常用的加密算法主要包括对称密钥加密和非对称密钥加密。 网络接人服务的安全性。要防止路由器未经授权的访问，这是对
入侵检测系统（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ．ＩＤＳ）ｍ根据入侵
路由器自身安全的保护。要防止对网络的未经授权的访问。是通
检测位置不同。目前比较流行的ＩＤＳ主要有两种：一种是基于主
过路由器来保护网络，防止网络数据的窃听。防止欺骗性路由更
机的ＩＤＳ，一种是基于网络的ＩＤＳ。Ｃｉｓｃｏ Ｓｅｃｕｒｅ ＩＤＳ是一种基于
新。
网络的ＩＤＳ。通过使用攻击特征。Ｃｉｓｃｏ Ｓｅｃｕｒｅ ＩＤＳ对穿过网络的
对内部网络的重要服务器进行访问控制主要应满足以下要
每一个数据包都进行相应的检查．当发现入侵行为时就立即报 求：允许外部用户到Ｗｅｂ服务器的内向连接请求：允许Ｗｅｂ服
警。该系统由一个或多个探测器和一个控制器平台组成．探测器 务器到外部用户的外向答复：允许外部ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ
执行网络数据包的实时监视．控制器提供管理软件，用以配置、 Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ，简单邮件传输协议）服务器向内部邮件服务器
记录并显示由探测器产生的报警．实现其安全防御的功能。
的内向连接请求：允许内部邮件服务器向外部ＳＭＴＰ服务器的
３．Ｃｉｓｃｏ路由器的防御措施的配置
外向答复：允许内部邮件服务器向外部ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓ．
Ｃｉｓｃｏ路由器的基本配置：
ｔｅｒｎ，域名系统）查询；允许内部邮件服务器的向内ＤＮＳ答复：允
（１）设置复杂的登陆密码，并可以适当加密，防止窥探以确保 许内部主机的向外ＴＣＰ连接：允许对请求主机的向内ＴＣＰ答
密码安全：
复。
（２１设置负责的超级件理员密码修改ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ 除了以上列出的有关安全的配置策略以外．Ｃｉｓｃｏ路由器本
Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ，简 司络管理协议）默认密码．ＳＮＭＰ对于
身也具备防火墙和入侵检测的功能．还可以通过Ｃｉｓｃｏ路由器建
维护任何网络都是重要的。但是这些服务能够用作后门以获得
立安全的ＶＰＮ．提高网络的安全级别。
访问路由器以获得关于设备的信息．攻击者能够利用这些信息
４．结束语
发起攻击．所以在不使用ＳＮＭＰ的路由器上应禁止使用．其它情
随着计算机安全技术的不断提高和改进．路由器的安全性
况以只读模式使用： 能将会从硬件安全和软件安全两个方面共同完善和加强。Ｃｉｓｃｏ
（３）停止Ｗｅｂ管理功能，限制某些敏感端口，如ＴＣＰ协议的
路由器的性能也会随着黑客技术的不断发展而改善和完善其性
１３５—１３９、４４５、１０３４、３１２７、４４４４、５５５４、６６６７和９９９６．ＵＤＰ协议的
能．更好的为用户服务。
６９、４４５、５００、１４３４、４０００等：
在Ｃｉｓｃｏ路由器上阻止对关键端口的非法访问可以通过以
参考文献：
下命令禁止：
Ｉ．刘建华，王 基于网络处理嚣的可缡程路由器技术研究Ⅱ】．微计算机
＿
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３５
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３７
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３８
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３９
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｅｑ １３５
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ
ａｎｙ ｅｑ １３７
信息．２ｏｏ５
２．张宏科，张思东，姗文红．路由器原理与技术【Ｍ】．国防工业出版社２００３．
１
３．王斌，孔璐译．防火墙与网络安全 ．清华大学出版社２００４．６
４．王宝生。朱培栋，白建军译．安全原理与实战 ．人民邮电出版社２００３．
８
５．王军，刘芳等译．Ｃｉｓｃｏ ＩＯＳ的ＩＰｖ６配王【Ｍ】．电子工业出版社２００３．１
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｅｑ １３８
（上接第７８页）
ｍｏｖ
ｘｏｒ
【眦】．ｒｅｇＥｉｐ，ｅｂｘ
ｅｂｘ，ｅｂｘ
ｍｏｖ 【ｅａｘ】．ｉＤｒ０，ｅｂｘ ；对Ｄｒｘ调试寄存器清零。使断点失效（反跟踪）
ｎＩ。
ｍｏｖ
ｍｏ￣
Ｉｎｏ￣
ｍｏ￣
ｅｔ
【ｅａｘ】．ｉＤｒｌ，ｅｂｘ
【眦】．ｉ 。ｅｂｘ
［ｅａｘ１．ｉＤｒ３．ｅｂｘ
【ｅａｘ】．ｉＤｒ７，３４１
ｅａｘ，０ ；Ｅｘｃｅｐｔｉ
已经修复
ｐｅｒＴｈｒｅａｄ
Ｈａｎｄｌｅｒ ｅｎｄｐ
＿
提供的ＳＥＨ的一种封装方式而已．至于Ｃ＋＋规范中的异常处
理．尽管是跨平台的．但它的核心思想跟Ｗｉｎｄｏｗｓ系统的ＳＥＨ
的处理方式有着惊人的相似。Ｉｑ
所以不管从哪个角度来说．深入理解ＳＥＨ的机制都是很有
用的。鉴于本人能力有限。。只能对异常处理有个粗略的讲解。更
多的内容。在下整理了一个压缩包。下载地址为：ｈｔｔｐ：／／ｗｗｗ．ｖｃｋ．
ｂｏｏｋｓ．ＣＯｍ／ｓｅｈ．ｍｒ，里面的内容包括ＳＥＨ方面的学习资料和本文
所用程序的代码。
参考文献：
１．Ｊｅｆｌｉｅｙ Ｒｉｃｈｔｅｒ．Ｗｉｎｄｏｗｓ棱心缡程口 ．北京：机械工业出版社．２０００
２．段铜．加密与解密（第二Ｊ跹）嗍．北京：电子工业出版社．２００３
３．罗云彬．Ｗｉｎｄｏ仍环境下３２位汇编语言『Ｍ１．北京：电子工业出版社．
２０ｏ６
３．结语
由于ＳＥＨ是系统提供的一种除错的系统机制．这意味着在
处理时。要跟操作系统内核代码有很多的交互．这同时也意味另
种访问内核代码的机会。因此对于ＳＥＨ的非正规的使用方法
上的研究一直没有停止，包括利用ＳＥＨ进入ｍｎ 级别，ＳＥＨ
嵌套于用软件加壳保护等等。从另一个角度上说理解了系统级
别的ＳＥＨ的运作方式．也有利于对各个开发平台上的异常处理
运作方式的理解．因为各个开发平台的异常处理的不过是系统
一
『４．Ｍａｒｔ Ｐｉｃｔｒｃｋ Ａ Ｃｒａｓｈ Ｃｏｕｒｓｅ ｏｎ ｔｈｅ Ｄｅｐｔｈｓ ｏｆＷｉｎ ３２７ Ｓｕ＇ｕｃｍｒｃｄ
Ｅｘｃｅｐｔｉｏｎ Ｈａｎｄｌｉｎｇ＿ＭｉｃｒｏｓｏＲ Ｓｙｓｔｅｍｓ Ｊｏｕｒｎａｌ０］．１９９７（２）．
2024年4月24日发(作者：太叔宛儿)
维普资讯
福建电脑 ２００７年第ｌｌ期
安全防御体系在Ｃｉｓｃｏ路由器上的应用
马杰 ，张永平 ，杨磊
６
（１．中国矿业大学计算机科学与技术学院江苏徐州２２１００８
２．徐州师范大学现代教育技术中心江苏徐州２２１１１
３．中国矿亚大学徐海学院
江苏徐州２２１００８）
【摘要】：通过对现有网络安全威胁的分析，提出了加固安全的四个层面的想法；通过配置Ｃｉｓｃｏ路由嚣，说明结合各
种安全防御工具。可以提高网络的安全性能。
【关键词】：Ｃｉｓｃｏ；，￣－由嚣；安全
Ｄ．前言
击的主要类型为：系统分析一端日扫描（Ｐｏｒｔ Ｓｃａｎ）；弱点漏洞的
在互联网中。路由器具有核心的地位。路由器是负责在网络
利用一技术入侵（Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ）；特洛伊木马ｅｒｇｏｊｎａ）；蝠虫
层对ＩＰ分组进行转发的主要设备．正是路由器的广泛使用。才
（Ｗｏｒｍ）；隐蔽通道（Ｐｉｉｐｃ），后ｆ－Ｉ（Ｂａｃｋｄｏｏｒ），嗅探（Ｓｎｉｆｅｒ）；强力攻
使得Ｉｎｔｅｒｎｅｔ具有很大的可伸缩性。随着网络综合业务的发展，
击（Ｂｒｕｔｅｆｏｒｃｅ）；拒绝服务（Ｄｅｎｙ ｏｆ Ｓｅｒｖｉｅｅ）／Ｊ：Ｊ＂布式ＤＯＳ；电子欺骗
路由器必须能提供更高的吞吐量、服务质量保证、可靠性和更多
０Ｐ Ｓｐｏｏｒｍｓ）￣。
的网络管理功能。为了适应互联网的发展变化。路由器的结构也 ２．２常用的安全工具
一
直在发展变化之中。
２．２．１加固安全的四个层面
目前路由器主要有以下三种实现方法［１ｌ：基于通用处理器的
无论哪种攻击．主要的目的都是通过网络获取有价值的其
软件路由器、基于ＡＳＩＣ的路由器、基于网络处理器的路由器。基
他人的信息。为了避免或减少信息的篡改或丢失。应该从以下四
于通用处理器的软件路由器的优点是：可灵活的升级系统；易于
个层面加固安全：网络层、主机层、应用层和桌面层。加固网络层
支持增加的接１：３：可以更快的开发新产品并缩短产品的进入市
安全主要是保障网络设备的安全性。目前主要的网络设备为路
场时间。核心处理器执行所有的路由功能。缺点是不能升级到高
由器、交换机和ＨＵＢ。由于路由器具有以下几个特点，所以在实
带宽。基于ＡｓＩＣ的路由器的优点是：能提供线速性能；ＡｓＩＣ被
际应用中是采用比较多的网络互连设备
用于包或帧的转发、ＣＰＵ被用于控制功能的架构提供了速度和
（１）本身具有很高的网络安全防护体系；
灵活性。缺点是缺乏灵活性，一旦产品定型，就很难适应不断出
（２）Ｚ作效率高。抵抗ＤＯＳ能力强；
现的各种网络新服务和新标准。而基于网络处理器的路由器则
（３）交换环境的欺骗工具对其无效；
综合了前两种路由器的优点：可同时提供性能和灵活性；多个包
（４）ｎ－－ｆ￣．据具体的实际情况进行配置，灵活有效。
处理元素（微引擎）支持了多个线程：通过流水线化和并行处理
加固主机层安全的主要是通过在无网络连接的情况下安装
能获得更高的性能：软件编程会更容易的增加服务并可带来灵 操作系统，加安第三方防火墙。停止某些不需要的服务，如
活性。无论哪一种路由器，硬件条件改善的同时。一定要最大限
Ａｌｅｒｔｅｒ、ＣｌｉｐＢｏｏｋ Ｓｅｒｖｅｒ、Ｃｏｍｐｕｔｅｒ Ｂｒｏｗｓｅｒ Ｄｉｒｅｃｔｏｒｙ ＲｅｐＬｉｅａｔｏｒ
度的保证路由器的安全性
ＤＨＣＰ Ｃｌｉｅｎｔ、Ｒｅｍｏｔｅ Ａｃｃｅｓｓ Ｓｅｒｖｅｒ等服务都设置为ｄｉｓａｂｌｅ，在
】．路由器安全的重要作用
必要的时候要禁止ＳＮＭＰ ｅｓｒｖｉｃｅ、ＳＮＭＰ ｔｒａｐ和ＬＩＰＳ服务等。
路由器是一种用于物理网络互连并在它们之问转发数据流
应用层的加固安全的方法主要是编写安全的代码。桌面端
的网络系统．它能将不同网络或网段之间的数据信息进行传递 安全加固的主要方法是优化桌面操作系统服务。提升性能以及
和”翻译”。使它们能够相互理解对方的数据，从而构成一个更大 安装第三方杀毒软件和防火墙．这也是我们目前所采用的主要
的网络．是连接因特网的核心设备。
的防范方法。
路由器的安全性分为两个方面ｆ－＇＇ｌ：一方面是路由器本身的安 ２．２．２安全加固的工具
全，另一方面是网络数据的安全。由于路由器是因特网的核心，
目前所采用的安全加固工具主要包括防火墙、鉴别、访问控
是网络互连的关键设备．大部分情况下网络设备的崩溃可能导 制、扫描器、数据加密以及入侵检测等。
致更大范围的网络的崩溃．所以保护设备自身的安全是保护网 防火墙删是一种重要而有效的网络安全机制．是保证主机和
络安全非常重要的一个方面。通用路由器一般都具备一定的安
网络安全必不可少的工具．它已经被提及作为一种强大的工具
全措施，用于保护路由器、防止非法入侵等，但这些措施只能保 用于网络边缘来执行安全策略。防火墙是在受保护的网络和外
证控制层面安全。而安全路由器则从控制和数据两个层面上全 部网络之间实施安全防范的系统．把攻击者挡在受保护网的外
面解决网络安全问题。在保证通用路由器功能和性能的前提下。
面，目的在于增强局域网边界的安全性，来避免内部主机免遭外
提供安全的ＩＰ数据通信服务。因此．安全路由器必须支持 部的攻击．同时也可不避免内部的使用者攻击局域网外部的主
ＩＰＳｅｃ协议，可集成防火墙、入侵检测、ＮＡＴ、ＱｏＳ、ＶＰＮ以及未来
机。
的安全技术。 鉴别用于保证信息的合法性和有效性．是证实信息交换过
安全路由器一般作为边缘或接人路由器配置在受保护网络
程合法有效的一种重要手段。主要包括三方面的内容：报文鉴
的边界。所有进出该网络的数据均由安全路由器进行处理．可以 别、身份认证和数字签名。
有效地分割开内外网络。既有路由器的有效组网作用．又具备安
访问控制的基本任务是防止非法用户进入系统以及合法用
全保护作用。
户对系统资源的非法使用。访问控制包括两个处理过程：识别和
２．安全防御
认证用户，这是身份认证的内容；决定该用户对某一资源的访问
２．１存在的主要安全问题
权限。目前。比较通用的访问控制方法有三种：自主访问控制
随着网络的不断发展，网络受到的安全威胁也变得１３益严
（Ｄｉｓｃｒｅｔｉｏｎａｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏ１）、强制访问控｛｝ｌ（Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ
峻。其主要的安全威胁类型有：黑客攻击、后门隐蔽通道、计算机
Ｃｏｎｔｍｌ１和具有强制和自主因素的基于角色（Ｒｏｌｅ－ｂａｓｅｄ）￣访问
病毒、拒绝服务攻击等等。其中黑客攻击占很大的比例。黑客攻
控制。访问控制方法的应用主要体现在设置访问控制列表。访问
维普资讯
２ｏ０７年第１１期 福建电脑 ８１
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐａｎｙａｎｙ ｅｑ １３９
控制列表『４１是由一系列的访问控制元素（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｅｈ．
ｍｅｎｔ＇ＡＣＥ）组成。每个元素是一条单一的规则，用来匹配一种特
针对ｓｑｌ—ｓｌａｍｍｅｒ、Ｎｅｔｂｉｏｓ
Ｗｏｒｍ．Ｄｖｌｄｒ蠕虫等病毒的的访
定类型的分组
问列表设置如下：
安全扫描的基本思想是模仿人侵者的攻击方法．从攻击者
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｃｑ １４３４
的角度来评估系统和网络的安全性。扫描器是实施安全扫描的
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙｔｃｐａｎｙａｎｙ ｅｑ４４５
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ ５８００
工具．它通过攻击来发现目标系统和网络中存在的各种安全漏
洞．并给出相应的处理办法。从而提高系统的安全性。
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙｔｃｐａｎｙａｎｙ ｅｑ ５９００
数据加密的方法主要是对数据进行以下三个方面的保护：
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｐｅｒｍｉｔ ｉｐ ａｎｙ ａｎｙ
首先是要尽量避免非授权用户获取数据：其次要保证即使非法
（４）ＭＡＣ地址与ＩＰ绑定：防止盗用内部ＩＰ地址可以利用
获取了数据。仍然无法理解数据的真正意义；最后要保证非法用
Ｃｉｓｃｏ路由器将固定ＩＩ，地址绑定到某一ＭＡＣ地址之上．具体命
户窃取了数据后不能修改数据、或者修改数据后能被及时发现。 令为：ａｒｐ固定ＩＩ，地址ＭＡＣ地址。
利用加密可以方便的实现数字签名、身份认证以及确保信息完
路由器的安全配置主要包括访问安全、网络服务安全、访问
整性和ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ．虚拟专用网）等技术。目前 控制列表和过滤、路由和路由协议的安全、日志和管理以及路由
常用的加密算法主要包括对称密钥加密和非对称密钥加密。 网络接人服务的安全性。要防止路由器未经授权的访问，这是对
入侵检测系统（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ．ＩＤＳ）ｍ根据入侵
路由器自身安全的保护。要防止对网络的未经授权的访问。是通
检测位置不同。目前比较流行的ＩＤＳ主要有两种：一种是基于主
过路由器来保护网络，防止网络数据的窃听。防止欺骗性路由更
机的ＩＤＳ，一种是基于网络的ＩＤＳ。Ｃｉｓｃｏ Ｓｅｃｕｒｅ ＩＤＳ是一种基于
新。
网络的ＩＤＳ。通过使用攻击特征。Ｃｉｓｃｏ Ｓｅｃｕｒｅ ＩＤＳ对穿过网络的
对内部网络的重要服务器进行访问控制主要应满足以下要
每一个数据包都进行相应的检查．当发现入侵行为时就立即报 求：允许外部用户到Ｗｅｂ服务器的内向连接请求：允许Ｗｅｂ服
警。该系统由一个或多个探测器和一个控制器平台组成．探测器 务器到外部用户的外向答复：允许外部ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ
执行网络数据包的实时监视．控制器提供管理软件，用以配置、 Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ，简单邮件传输协议）服务器向内部邮件服务器
记录并显示由探测器产生的报警．实现其安全防御的功能。
的内向连接请求：允许内部邮件服务器向外部ＳＭＴＰ服务器的
３．Ｃｉｓｃｏ路由器的防御措施的配置
外向答复：允许内部邮件服务器向外部ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓ．
Ｃｉｓｃｏ路由器的基本配置：
ｔｅｒｎ，域名系统）查询；允许内部邮件服务器的向内ＤＮＳ答复：允
（１）设置复杂的登陆密码，并可以适当加密，防止窥探以确保 许内部主机的向外ＴＣＰ连接：允许对请求主机的向内ＴＣＰ答
密码安全：
复。
（２１设置负责的超级件理员密码修改ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ 除了以上列出的有关安全的配置策略以外．Ｃｉｓｃｏ路由器本
Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ，简 司络管理协议）默认密码．ＳＮＭＰ对于
身也具备防火墙和入侵检测的功能．还可以通过Ｃｉｓｃｏ路由器建
维护任何网络都是重要的。但是这些服务能够用作后门以获得
立安全的ＶＰＮ．提高网络的安全级别。
访问路由器以获得关于设备的信息．攻击者能够利用这些信息
４．结束语
发起攻击．所以在不使用ＳＮＭＰ的路由器上应禁止使用．其它情
随着计算机安全技术的不断提高和改进．路由器的安全性
况以只读模式使用： 能将会从硬件安全和软件安全两个方面共同完善和加强。Ｃｉｓｃｏ
（３）停止Ｗｅｂ管理功能，限制某些敏感端口，如ＴＣＰ协议的
路由器的性能也会随着黑客技术的不断发展而改善和完善其性
１３５—１３９、４４５、１０３４、３１２７、４４４４、５５５４、６６６７和９９９６．ＵＤＰ协议的
能．更好的为用户服务。
６９、４４５、５００、１４３４、４０００等：
在Ｃｉｓｃｏ路由器上阻止对关键端口的非法访问可以通过以
参考文献：
下命令禁止：
Ｉ．刘建华，王 基于网络处理嚣的可缡程路由器技术研究Ⅱ】．微计算机
＿
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３５
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３７
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３８
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｔｃｐ ａｎｙ ａｎｙ ｅｑ １３９
Ａｃｃｅｓｓ－ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｅｑ １３５
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ
ａｎｙ ｅｑ １３７
信息．２ｏｏ５
２．张宏科，张思东，姗文红．路由器原理与技术【Ｍ】．国防工业出版社２００３．
１
３．王斌，孔璐译．防火墙与网络安全 ．清华大学出版社２００４．６
４．王宝生。朱培栋，白建军译．安全原理与实战 ．人民邮电出版社２００３．
８
５．王军，刘芳等译．Ｃｉｓｃｏ ＩＯＳ的ＩＰｖ６配王【Ｍ】．电子工业出版社２００３．１
Ａｃｃｅｓｓ—ｌｉｓｔ １０１ ｄｅｎｙ ｕｄｐ ａｎｙ ａｎｙ ｅｑ １３８
（上接第７８页）
ｍｏｖ
ｘｏｒ
【眦】．ｒｅｇＥｉｐ，ｅｂｘ
ｅｂｘ，ｅｂｘ
ｍｏｖ 【ｅａｘ】．ｉＤｒ０，ｅｂｘ ；对Ｄｒｘ调试寄存器清零。使断点失效（反跟踪）
ｎＩ。
ｍｏｖ
ｍｏ￣
Ｉｎｏ￣
ｍｏ￣
ｅｔ
【ｅａｘ】．ｉＤｒｌ，ｅｂｘ
【眦】．ｉ 。ｅｂｘ
［ｅａｘ１．ｉＤｒ３．ｅｂｘ
【ｅａｘ】．ｉＤｒ７，３４１
ｅａｘ，０ ；Ｅｘｃｅｐｔｉ
已经修复
ｐｅｒＴｈｒｅａｄ
Ｈａｎｄｌｅｒ ｅｎｄｐ
＿
提供的ＳＥＨ的一种封装方式而已．至于Ｃ＋＋规范中的异常处
理．尽管是跨平台的．但它的核心思想跟Ｗｉｎｄｏｗｓ系统的ＳＥＨ
的处理方式有着惊人的相似。Ｉｑ
所以不管从哪个角度来说．深入理解ＳＥＨ的机制都是很有
用的。鉴于本人能力有限。。只能对异常处理有个粗略的讲解。更
多的内容。在下整理了一个压缩包。下载地址为：ｈｔｔｐ：／／ｗｗｗ．ｖｃｋ．
ｂｏｏｋｓ．ＣＯｍ／ｓｅｈ．ｍｒ，里面的内容包括ＳＥＨ方面的学习资料和本文
所用程序的代码。
参考文献：
１．Ｊｅｆｌｉｅｙ Ｒｉｃｈｔｅｒ．Ｗｉｎｄｏｗｓ棱心缡程口 ．北京：机械工业出版社．２０００
２．段铜．加密与解密（第二Ｊ跹）嗍．北京：电子工业出版社．２００３
３．罗云彬．Ｗｉｎｄｏ仍环境下３２位汇编语言『Ｍ１．北京：电子工业出版社．
２０ｏ６
３．结语
由于ＳＥＨ是系统提供的一种除错的系统机制．这意味着在
处理时。要跟操作系统内核代码有很多的交互．这同时也意味另
种访问内核代码的机会。因此对于ＳＥＨ的非正规的使用方法
上的研究一直没有停止，包括利用ＳＥＨ进入ｍｎ 级别，ＳＥＨ
嵌套于用软件加壳保护等等。从另一个角度上说理解了系统级
别的ＳＥＨ的运作方式．也有利于对各个开发平台上的异常处理
运作方式的理解．因为各个开发平台的异常处理的不过是系统
一
『４．Ｍａｒｔ Ｐｉｃｔｒｃｋ Ａ Ｃｒａｓｈ Ｃｏｕｒｓｅ ｏｎ ｔｈｅ Ｄｅｐｔｈｓ ｏｆＷｉｎ ３２７ Ｓｕ＇ｕｃｍｒｃｄ
Ｅｘｃｅｐｔｉｏｎ Ｈａｎｄｌｉｎｇ＿ＭｉｃｒｏｓｏＲ Ｓｙｓｔｅｍｓ Ｊｏｕｒｎａｌ０］．１９９７（２）．