路由器常用ACL和一些简单防护

1 IP欺骗简单防护。如过滤非公有地址访问内部网络。过滤自己内部网络地址；回环地址(127.0.0.0/8)；RFC1918私有地址；DHCP自定义地址(169.254.0.0/16)；科学文档作者测试用地址(192.0.2.0/24)；不用的组播地址(224.0.0.0/4)；SUN公司的古老的测试地址(20.20.20.0/24;204.152.64.0/23)；全网络地址(0.0.0.0/8)。
Router(Config)# access-list 100 deny ip 127.0.0.0 0.255.255.255 any 
Router(Config)# access-list 100 deny ip 192.168.0.0 0.0.255.255 any 
Router(Config)# access-list 100 deny ip 172.16.0.0 0.15.255.255 any 
Router(Config)# access-list 100 deny ip 10.0.0.0 0.255.255.255 any 
Router(Config)# access-list 100 deny ip 169.254.0.0 0.0.255.255 any 
Router(Config)# access-list 100 deny ip 192.0.2.0 0.0.0.255 any 
Router(Config)# access-list 100 deny ip 224.0.0.0 15.255.255.255 any 
Router(Config)# access-list 100 deny ip 20.20.20.0 0.0.0.255 any 
Router(Config)# access-list 100 deny ip 204.152.64.0 0.0.2.255 any 
Router(Config)# access-list 100 deny ip 0.0.0.0 0.255.255.255 any 
Router(Config)# access-list 100 permit ip any any
Router(Config-if)# ip access-group 100 in2 建议采用访问列表控制流出内部网络的地址必须是属于内部网络的。（可选）如：
Router(Config)# no access-list 101
Router(Config)# access-list 101 permit ip 192.168.0.0 0.0.255.255 any
Router(Config)# access-list 101 deny ip any any 
Router(Config)# interface eth 0/1
Router(Config-if)# description “internet Ethernet”
Router(Config-if)# ip address 192.168.0.254 255.255.255.0
Router(Config-if)# ip access-group 101 in</P><P>其他可选项：
1、 建议启用SSH，废弃掉Telnet。但只有支持并带有IPSec特征集的IOS才支持SSH。并且IOS12.0-IOS12.2仅支持SSH-V1。如下配置SSH服务的例子：
Router(Config)# config t
Router(Config)# no access-list 22
Router(Config)# access-list 22 permit 192.168.0.22
Router(Config)# access-list deny any
Router(Config)# username test privilege 10 ****
! 设置SSH的超时间隔和尝试登录次数
Router(Config)# ip ssh timeout 90
Router(Config)# ip ssh anthentication-retries 2
Router(Config)# line vty 0 4
Router(Config-line)# access-class 22 in
Router(Config-line)# transport input ssh
Router(Config-line)# login local
Router(Config-line)# exit
！启用SSH服务，生成RSA密钥对。
Router(Config)# crypto key generate rsa
The name for the keys will be: router.xxx 
Choose the size of the key modulus in the range of 360 to 2048 for your General Purpose Keys .Choosing a key modulus greater than 512 may take a few minutes. 
How many bits in the modulus[512]: 2048 
Generating RSA Keys... 
[OK] 
Router(Config)#2、 TCP SYN的防范。如：
A: 通过访问列表防范。
Router(Config)# no access-list 106 
Router(Config)# access-list 106 permit tcp any 192.168.0.0 0.0.0.255 established
Router(Config)# access-list 106 deny ip any any 
Router(Config)# interface eth 0/2
Router(Config-if)# description “external Ethernet”
Router(Config-if)# ip address 192.168.1.254 255.255.255.0
Router(Config-if)# ip access-group 106 in
B：通过TCP截取防范。(这会给路由器产生一定负载)
Router(Config)# ip tcp intercept list 107
Router(Config)# access-list 107 permit tcp any 192.168.0.0 0.0.0.255
Router(Config)# access-list 107 deny ip any any 
Router(Config)# interface eth0
Router(Config)# ip access-group 107 in3、 LAND.C 进攻的防范。
Router(Config)# access-list 107 deny ip host 192.168.1.254 host 192.168.1.254 
Router(Config)# access-list 107 permit ip any any
Router(Config)# interface eth 0/2
Router(Config-if)# ip address 192.168.1.254 255.255.255.0
Router(Config-if)# ip access-group 107 in4、 Smurf进攻的防范。
Router(Config)# access-list 108 deny ip any host 192.168.1.255 
Router(Config)# access-list 108 deny ip any host 192.168.1.0 
Router(Config)# access-list 108 permit ip any any
Router(Config-if)# ip access-group 108 in5、 ICMP协议的安全配置。对于进入ICMP流，我们要禁止ICMP协议的ECHO、Redirect、Mask request。也需要禁止TraceRoute命令的探测。对于流出的ICMP流，我们可以允许ECHO、Parameter Problem、Packet too big。还有TraceRoute命令的使用。
! outbound ICMP Control
Router(Config)# access-list 110 deny icmp any any echo 
Router(Config)# access-list 110 deny icmp any any redirect 
Router(Config)# access-list 110 deny icmp any any mask-request 
Router(Config)# access-list 110 permit icmp any any 
! Inbound ICMP Control
Router(Config)# access-list 111 permit icmp any any echo
Router(Config)# access-list 111 permit icmp any any Parameter-problem
Router(Config)# access-list 111 permit icmp any any packet-too-big
Router(Config)# access-list 111 permit icmp any any source-quench
Router(Config)# access-list 111 deny icmp any any 
! Outbound TraceRoute Control
Router(Config)# access-list 112 deny udp any any range 33400 34400 
! Inbound TraceRoute Control
Router(Config)# access-list 112 permit udp any any range 33400 34400 6、 DDoS(Distributed Denial of Service)的防范。
! The TRINOO DDoS system
Router(Config)# access-list 113 deny tcp any any eq 27665 
Router(Config)# access-list 113 deny udp any any eq 31335 
Router(Config)# access-list 113 deny udp any any eq 27444 
! The Stacheldtraht DDoS system 
Router(Config)# access-list 113 deny tcp any any eq 16660 
Router(Config)# access-list 113 deny tcp any any eq 65000 
! The TrinityV3 System
Router(Config)# access-list 113 deny tcp any any eq 33270 
Router(Config)# access-list 113 deny tcp any any eq 39168 
! The SubSeven DDoS system and some Variants
Router(Config)# access-list 113 deny tcp any any range 6711 6712 
Router(Config)# access-list 113 deny tcp any any eq 6776 
Router(Config)# access-list 113 deny tcp any any eq 6669 
Router(Config)# access-list 113 deny tcp any any eq 2222 
Router(Config)# access-list 113 deny tcp any any eq 7000 
Router(Config)# access-list 113 permit ip any any
Router(Config-if)# ip access-group 113 in7、 Sql蠕虫的防范
Router(Config)# access-list 114 deny udp any any eq 1434
Router(Config)# access-list 114 permit ip any any
Router(Config-if)# ip access-group 114 in