當(dāng)前，市場上的安全路由器產(chǎn)品形態(tài)五花八門，這讓用戶在選擇安全路由器時(shí)更加迷惑，到底符合什么標(biāo)準(zhǔn)的路由器才算是安全路由器？究竟應(yīng)該看中的是哪一點(diǎn)安全？
其實(shí)，安全路由器是從功能方面定義的，用戶在選購產(chǎn)品時(shí)可以從路由器本身的可靠性和線路安全措施、身份認(rèn)證、數(shù)據(jù)加密、入侵檢測和防范以及安全治理等幾個(gè)方面來考慮 。
從路由器的可靠性與線路安全方面來說，路由器設(shè)計(jì)接口時(shí)，必須有備份支持 。當(dāng)主接口發(fā)生故障時(shí)，備份接口自動(dòng)投入工作，保證網(wǎng)絡(luò)的正常運(yùn)行；當(dāng)網(wǎng)絡(luò)流量增大時(shí)，備份接口又可以擔(dān)當(dāng)負(fù)載分擔(dān)的任務(wù) 。
身份認(rèn)證可以分為兩種：一是針對(duì)訪問路由器方式、對(duì)端路由器和路由信息進(jìn)行身份認(rèn)證；二是針對(duì)用戶的身份認(rèn)證，也就是訪問控制 。路由器的訪問權(quán)限需要進(jìn)行口令的分級(jí)保護(hù)，通過包過濾實(shí)現(xiàn)基于IP地址的訪問控制 。在基于用戶的訪問控制方面，路由器也可以提供接入服務(wù)功能 。通過對(duì)用戶設(shè)置特定的過濾屬性，可實(shí)現(xiàn)對(duì)接入用戶的訪問控制 。此外，與對(duì)端路由器通信時(shí)，支持鏈路層的驗(yàn)證如PPP認(rèn)證，通過地址轉(zhuǎn)換，可以做到隱藏網(wǎng)內(nèi)地址，只以公共地址的方式訪問外部網(wǎng)絡(luò) 。除了內(nèi)部網(wǎng)絡(luò)首先發(fā)起的連接，網(wǎng)外用戶不能通過地址轉(zhuǎn)換直接訪問網(wǎng)內(nèi)資源 。
通過對(duì)路由器所發(fā)送的報(bào)文進(jìn)行加密，即使在Internet上進(jìn)行傳輸，也能保證數(shù)據(jù)的私有性、完整性以及報(bào)文內(nèi)容的真實(shí)性 。通過明文或者M(jìn)D5加密算法對(duì)交互路由信息的雙方進(jìn)行驗(yàn)證，確保交互對(duì)象的合法身份，對(duì)路由信息進(jìn)行策略控制，增加路由信息的安全可靠性 。對(duì)于利用公網(wǎng)構(gòu)建VPN的情況，數(shù)據(jù)加密能夠保證通過隧道傳輸?shù)臄?shù)據(jù)安全 。現(xiàn)在通行的做法是，采用內(nèi)嵌式設(shè)計(jì)方法，將加密模件內(nèi)化到路由器中 。
針對(duì)端口掃描攻擊，一個(gè)安全的路由器必須具有良好的入侵檢測和防范功能，必要時(shí)要通過各種攻擊測試才能確認(rèn)路由器是否足夠安全 。同時(shí)，路由器的安全運(yùn)行涉及到越來越多的安全策略，有必要進(jìn)行安全策略治理 。此外，路由器還可以通過日志、系統(tǒng)監(jiān)控結(jié)合SNMP形成對(duì)網(wǎng)絡(luò)的有效監(jiān)控并提供分析依據(jù) 。
作者：徐文
推薦閱讀
- 連接一個(gè)終端到Cisco路由器
- 路由器能否取代防火墻？
- 路由器的安全設(shè)計(jì)
- 基本的CISCO路由器安全配置
- 路由器的安全與可靠的問題
- 2505路由器HUB端口的安全性配置
- BGP的路由選擇
- 在低端路由器上實(shí)現(xiàn)雙機(jī)熱備份和EIGRP的路由調(diào)整實(shí)例
- Cisco1600和800系列路由器運(yùn)行OSPF的注意事項(xiàng)
- 新手玩路亞竿怎么選擇