路（lù）由（yóu）器配置前我們要知（zhī）道路（lù）由（yóu）器是信息網絡中（zhōng）實現網絡互聯的關鍵設備，它將不同網（wǎng）絡或網段之間的數據信息進行“翻譯”，以實現網絡互聯和資源共享。下麵就來看路由器的快（kuài）速配置方法：

　　堵住安全（quán）漏洞

　　路（lù）由（yóu）器同（tóng）計算機及其他網絡（luò）設備一樣，自身也存在一些缺（quē）陷和漏洞。利用路由器自身缺點進行網絡攻擊（jī），是黑客常（cháng）用的手段。因此，我們必須在堵住路由器安全漏洞上（shàng）采取必要的措施。限製係統物理訪問是（shì）最（zuì）有效的方法之一。它是將控製台和終端會話路由器配置成在較（jiào）短閑置時間後，自動退出係統，以堵住路由器的安（ān）全漏洞，保護（hù）整個網絡的安全。此外，應避免將調製解調器連接到路由器的輔助端口。

　　避免身份危（wēi）機

　　黑客常常利用弱口令或默認口（kǒu）令進行攻擊（jī）。加（jiā）長口令，有（yǒu）助於防禦這類攻擊。當網絡管理人員調（diào）離或（huò）退出本崗位時，應立即更換口令。另（lìng）外，還應啟用路由器的口令加密功能。在大多數的路由器上（shàng），可以路由器配置一些（xiē）協議，如遠程驗證撥入用戶（hù）服務，結合驗證服務器提供經過加密、驗證的路由器訪問，以（yǐ）加強路由器（qì）的安全係數，提高整個網絡的安全性。

　　限製邏輯訪問

　　限製邏輯訪問，主要是借助於合（hé）理處置訪問控製列表，限製遠（yuǎn）程終端會話，有（yǒu）助於防止黑客獲得係統（tǒng）邏輯（jí）訪問。SSH是優先的邏輯訪問方法，但（dàn）如果無法（fǎ）避（bì）免TELNET，不妨使用終端訪問控製，以限製隻能訪問可信（xìn）主機。因此，需（xū）要給（gěi）TELNET在路由器上使（shǐ）用的虛擬終端端（duān）口添加（jiā）一份（fèn）訪問列表。

　　控製消息協議ICMP有助於排除故障，但也（yě）為攻擊者提供了用來瀏覽（lǎn）網絡設備、確定時間戳和網絡掩碼（mǎ）以（yǐ）及對OS修正版本作出推測的信息。為了防止黑客搜集上述信息，隻允許以下類型的ICMP流量進入網絡:ICMP網無法到達的、主機無法到達的、端口無法到達的、包太大的、源抑（yì）製的以及超出生存（cún）時間(TTL)的（de）。此外，邏（luó）輯訪問控製還應禁（jìn）止ICMP流（liú）量以外的所有流量。

　　使用入站訪（fǎng）問控製，可將特（tè）定服（fú）務器引導至對應的服務器。例如，隻（zhī）允許SMTP流量進入郵件服務器;DNS流量（liàng）進入DNS服務器（qì）;通過安全套接協議層(SSL)的HTTP(HTTPS)流量進入WEB服務器。為了（le）避免路由器成為DoS攻擊目標，應（yīng）拒絕以下流量進入:沒（méi）有IP地址的包，采用本地（dì）主機地址、廣播地址、多播地址以及任何假（jiǎ）冒的內部地址的包。還可以采取增加SYM ACK隊列長度、縮短ACK超時等措施，來保護路由器免受TCP SYN攻擊。

　　監控路由器配置更改（gǎi）

　　在對路（lù）由（yóu）器配置進行改動時，需要對（duì）其進行（háng）監控。如果使用了SNMP，則一定要選（xuǎn）擇功能強大的（de）共（gòng）用字符串，最好是使用提供消息加密功能的 SNMP。如果（guǒ）不通過SNMP管理而（ér）對設備進行（háng）遠程路（lù）由器配置，最好將SNMP設備路由器配（pèi）置成隻讀（dú），拒絕對這些設備進行寫訪問。這樣，能防止黑（hēi）客改動或關（guān）閉接口。此外，還要將係統日誌信息從路由器發送至指定服務器（qì）。同時，為進（jìn）一步確保安全管理，還可使用SSH等加密機製，利用SSH與路由器建立加密的遠程會話。

　　實施路由器配置管理

　　配置管理的（de）一個重要部分，就（jiù）是確保網絡使用合理的路由器協議，避免使用路由信息協議(RIP)。因為RIP很容易被欺騙而接受不合法的路由更新（xīn）。所以，必須實施控（kòng）製存放、檢索及更新（xīn）路由（yóu）器配置，以便在新配置出現問題時能更換、重裝或恢複到原先的路由器配置。

　　1. 路由器的體係結構

　　

 

　　圖1給（gěi）出了一般路（lù）由器的邏輯體係結構。它主要由下麵幾部分（fèn）組成 ：路由引擎、轉發引擎、 路由表、網絡適配（pèi）器和相關的邏輯電路等。轉發引擎負責把（bǎ）從一個網絡適配器（qì）來的數據包轉發到另一個網絡適（shì）配器出去。IP協議，包括對路由表（biǎo）的查找，構成了（le）轉發引擎中最主（zhǔ）要的部（bù）分。由（yóu）於每個通過路由器並需要其轉發的數據包都要對路由表進行查找，所以（yǐ）路由表的查找效率如何往往決定（dìng）了整個路由器的性能。路由引擎則包（bāo）括了高層協議，特別是路由協議，它負責對（duì）路由表的更新。由於路由引擎不涉及通過路由器的數據通路，故它可用通用的CPU代替。

　　2.硬件路由表的數（shù）據（jù）結構設計

　　一般路由器中路由表的每一項至少（shǎo）有這（zhè）樣的信息：目標地址、網絡隱碼（mǎ）、下一跳地址。如果對每一個IP地址都要一個表項，那麽需要占用很大的2323*4字節的存儲器，而且其中必定有（yǒu）很多（duō）的表項沒有被使用，這就會造成極大的資源浪費。

　　為了用（yòng）硬件實現路由表的查找，查找算（suàn）法需要滿足如下的條件：

　　1) 實時的實現路由表的查找;

　　2) 有效的實現路由表的插入和刪除;

　　3) 提供有效的最長（zhǎng）前綴（zhuì）匹配;

　　4) 具有（yǒu）良好的可擴展性;

　　5) 支持（chí）廣播和組播;

　　6) 有效的對Memory進行利用;

　　7) 硬件（jiàn）上容易實（shí）現，並具有良好的性能 。

　　我們考慮，如果在對路由（yóu）表（biǎo）的查找中，把子網隱碼和IP地址（zhǐ）結合起來，對（duì）IP地址進行相應的分段，並（bìng）把它們相連。這樣在路由表（biǎo）的表項中，隻有IP地址的一部分及其相應的隱碼部分，可以實現良好的可（kě）擴展性（xìng），隻要對Memory進行（háng）有效（xiào）的管理，可以靈活的動態的實現（xiàn）對路由的（de）插入和刪除（chú）。鑒於（yú）此，我們（men）設（shè）計該表的結構(如下麵（miàn）的表一所示 )：

　　

　　點擊查（chá）看大圖

　　

　　它的思想是：把32位IPv4地址主要分（fèn）成4部分，每部分8位。在該結構中，Address-part[0-4]是IP地址中的（de）一部分，Mask-part[0-4]是相應的掩碼部分。Hit-next[0-4]是需（xū）要查找的（de）目標IP地址與掩碼部分相與後，與Address-part一（yī）致時所要查找的下一（yī）路由項所在地址的指針。,Miss-hit[0-4]則是相互不一致時（shí），下（xià）一路由項所（suǒ）在地址的指針。Shift位則用於判斷是否需要對IP地址（zhǐ）中的下8位進行查找和判斷（duàn）。它隻有在（zài）當（dāng）前的8位IP地址與目（mù）標地址（zhǐ）中相應的8位一致時，才會被置位。Stop位用於判斷是否還需進行查找。它在IP地址查找結束時被置位，或沒（méi）有比當前項所對應的IP地址更長的路由表項時被置位。

　　圖（tú）2就是一個表1的例子 ：

　　在該例（lì）子中，每一方框中（zhōng）上麵一行表示相應的IP地址部分和隱碼部分。下麵一行（háng）表示相（xiàng）關的（de）隱碼部（bù）分的二進製表示。 相應的（de）查找算法如下（xià）：

　　/*查找算法開始 */

　　search = TRUE ;

　　WHILE ( search )

　　{

　　masked_key = key & ( entry ->mask_part ) ;

　　result = ( entry ->address_part ) = = masked_key

　　IF ( result = = TRUE ) {

　　best_match = entry ;

　　entryentry = entry ->hit_next;

　　}ELSE{ entryentry = entry ->miss_next;

　　IF ( entry ->stop = = TRUE ) search = FALSE;

　　}

　　}

　　RETURN best_match ;

　　/*查找算法結束 */

　　為了實現有效的插入和刪除，我們（men）還要在路由表的數據結構中再另（lìng）外添加幾個域 ：parent指針（zhēn）(指向本結點的父結點)，路由信息(routeinfo)等。它（tā）們的（de）用途（tú）是在路由表的查找過程中，特別是在指針的回溯(pointer reversal)中，可以大大的節省查（chá）找時間。由（yóu）於IP路由的插入和刪除比較複雜。我（wǒ）們隻是粗略得說明一（yī）下。

　　IP路由的插入：

　　/*插入算法開始 */

　　/* 先用上麵提到的查找（zhǎo）算法找出best-match */

　　best_match = search ( new_entry );

　　/* 確（què）定需要加入的路由中沒有被best-match包（bāo）括的那幾位 */

　　for ( count = first_unmatched_bit ; count <= sizeof ( new_entry) ;

　　count+= sizeof ( address_part ) {

　　/* 創建新的結點 */

　　create new node ;

　　/* 將該結點連入（rù）best_match的hit_next */

　　link node into hit branch of best_match ;

　　}

　　/*插（chā）入算法結束 */

　　IP路由的刪除要分幾（jǐ）種情況討論（lùn） 。如 best_match 是葉子結點 ，best_match的（de）hit_next指針為空, best_match的miss_next指針為空（kōng） 和hit_next指針和（hé）miss_next指針都不為空等四種情況。這裏（lǐ）就不再討論。　　另外，還可以通過兩種方法，將配置文檔存（cún）放（fàng）在支持命令行接口(CLT)的路由器平台上。一種是運（yùn）行腳本，腳本能在路由器配（pèi）置服務器到路由器之間建立SSH會話、登錄係統、關閉控製器日誌功能、顯示配（pèi）置（zhì）、保存路由器配置到本地文件以及（jí）退出係（xì）統。另一種是（shì）在路由器配置服務器到路由器（qì）之間建立IPSEC遂道（dào），通過（guò）該安全遂（suí）道內（nèi）的TFTP，將路由器（qì）配置文件拷貝到服務器。同（tóng）時，還應明確哪些人員可以更改路由器配置、何時進行更改以及如何進行更改，在進行任何更（gèng）改之前，製定詳細的逆序操作規程。

　　路由（yóu）器配置的方法您通過以上的內容應該有所了（le）解了，這（zhè）些都是基礎知識，很容易就會掌握的，希（xī）望讀者能夠掌握。