用思科IOS防止遭受IP地址欺骗攻击(2)
日期:2010-08-12 14:35 | 来源: 未知 | 作者: admin | 阅读: 次
10.Router(config-ext-nacl)# permit ip any any
11.Router(config-ext-nacl)# exit
12.Router(config)#int s0/0
13.Router(config-if)#ip access-group ingress-antispoof in
互联网服务供应商（ISP）必须在其网络中使用这样的过滤，这一点是在RFC 2267中定义的。注意此ACL操作中包含“permit ip any any”。在现实世界中，你可能会在路由器中有一个正式的防火墙，用以保护内部LAN。 当然，你可以将此方法用于过滤所有进入本机所在子网的、来自网络内部其它子网的数据包，以确保不在某子网内的任何人不会将欺骗性的数据通信传到其它网络。你也可以实施一个“转出ACL”来防止内部网络从其它网络实施IP地址欺骗。不过，请记住，这仅是你全局网络安全策略的一个局部而已。
使用反向路径转发(IP验证)
另一个保护网络免受IP地址欺骗的方法是反向路径转发（RPF），即IP验证。在思科的IOS中，用于反向路径转发（RPF）的命令是以“ip verify”开始的。
RPF在工作起来就象一个反垃圾邮件解决方案的部分功能一样，该功能部分收到进入的电子邮件消息，找到源电子邮件的源地址，然后到发送服务器上执行一个检查操作，确定发送者是否真的存在于发送消息的服务器上。如果发送者不存在，服务器就丢弃此电子邮件消息，因为它极有可能是一个垃圾邮件。
RPF对数据包作出相似的操作。它取出所收到的来自互联网的某个数据包的源地址，查看在路由器的路由表中是否存在一个路由可以应答此数据包。如果路由表中没有路由来作为返回给源IP地址的数据包的应答，那么就是有人发送了欺骗性数据包，路由器就丢弃这个数据包。
下面展示怎样在路由器中配置反向地址转发：
1.Router(config)# ip cef
2.Router(config)# int serial0/0
3.Router(config-if)# ip verify unicast reverse-path
保护私有网络免受攻击者的侵害是极端重要的。我们在这里介绍的三个方法将对你保护网络免受IP地址欺骗起到重要的作用。