利用思科IOS防止遭受IP地址欺骗攻击

　　互联网充满着各种安全威胁,其中之一就是IP地址欺骗。IP欺骗技术就是伪造某台主机的IP 地址的技术。通过IP地址的伪装使得某台主机能够伪装另外的一台主机，而这台主机往往具有某种特权或者被另外的主机所信任。在一次典型的地址欺骗尝试中，攻击者只是简单地伪装源数据包使其看起来是内自于内部网络。下面谈一下怎样利用思科IOS防止你公司的网络遭到这种攻击。

　　互联网操作系统(IOS)是思科特有的核心软件数据包，主要在思科路由器和交换机上实现，特别是可用它配置Cisco路由器硬件，令其将信息从一个网络路由或桥接至另一个网络。可以毫不客气地说，I0S是思科路由器产品的动力之源。那么怎样利用思科IOS防止IP欺骗呢?

　　阻止IP地址

　　防止IP欺骗的第一步就是阻止能造成风险的IP地址。虽然攻击者可以欺骗任何IP地址，最常被欺骗的IP地址是私有IP地址(请参考RFC1918)和其它类型的共享/特别的IP地址。

　　例如，笔者就阻止如下的IP地址(后面紧跟着其子网掩码)从Internet访问本机：

　　·10.0.0.0(255.0.0.0)

　　·172.16.0.0(255.240.0.0)

　　·192.168.0.0(255.255.0.0)

　　·127.0.0.0(255.0.0.0)

　　·224.0.0.0(224.0.0.0)

　　·169.254.0.0(255.255.0.0)

　　以上所列示的是私有的在互联网上不可路由的IP地址，抑或是用于其它目的的IP地址，因此不应出现在互联网上。如果来自互联网的通信以其中某个IP地址为源地址，必定是欺骗性的通信。

　　此外，其它常被欺骗的IP地址是那些你的组织使用的任何内部IP地址。如果你正使用全部的私有IP地址，那你的范围就应该属于以上所列示的IP地址。然而，如果你正使用自己的公有