校園網(wǎng)常見路由器維護(hù)方法
校園與Internet相連，可以使老師和學(xué)生得到大量的信息資源，開闊眼界和知識(shí)面，所以組建校園網(wǎng)成了促進(jìn)學(xué)校教育現(xiàn)代化的必經(jīng)之路。
作為校園網(wǎng)內(nèi)部網(wǎng)絡(luò)和 互聯(lián)網(wǎng) 連接樞紐的 路由 器，在其中發(fā)揮著舉足輕重的作用，因此對(duì)于路由器的管理和維護(hù)是每個(gè)校園網(wǎng)管理員必不可少的主修課。
連接前的準(zhǔn)備
很多中小學(xué)的校園網(wǎng)采用了ADSL或者HDSL的連接方式，首先看Modem的狀態(tài)，如果Modem的DCD不亮，則表示線路連接故障。請(qǐng)先檢查接入線路連接，再檢查路由器的電纜連接，將控制終端連接到路由器上，按回車數(shù)下，出現(xiàn)路由器名稱。
用終端或運(yùn)行仿真軟件的PC節(jié)接入CONSOLE口。終端或PC配置信息為：9600 baud 8 data bits no parity 2 stop bits (9600，8/N/2)，意思是：波特率9600，數(shù)據(jù)位8，停止位1，奇偶校驗(yàn)無。
管理員也可以在遠(yuǎn)端通過Telnet address進(jìn)行遠(yuǎn)程設(shè)置。但如果是對(duì)路由器進(jìn)行第一次配置時(shí)，必須采用前一種配置方式。
以太端口故障判斷
我們使用show interface ethernet 0(端口0)命令來判斷以太端口故障，用來檢查一條鏈路的狀態(tài)，此外，當(dāng)我們懷疑端口有物理性故障時(shí)，可用shown version顯示出物理性正常的端口，而出現(xiàn)物理故障的端口將不被顯示出來。
串行端口故障判斷
我們可以用show interface serial 0(串行端口0)命令來判斷串行端口故障，檢查鏈路的狀態(tài)。如下所示：
router# show int serial 0
此外，當(dāng)我們懷疑端口有物理性故障時(shí)，可用 shown version，將顯示出物理性正常的端口，而出現(xiàn)物理故障的端口將不被顯示出來。
路由器安全維護(hù)
利用路由器的漏洞發(fā)起攻擊的事件經(jīng)常發(fā)生。路由器攻擊會(huì)浪費(fèi)CPU周期，誤導(dǎo)信息流量，使網(wǎng)絡(luò)異常甚至陷于癱瘓。因此需要采取相應(yīng)的 安全 措施來保護(hù)路由器的安全。
(1)避免口令泄露危機(jī)
據(jù)卡內(nèi)基梅隆大學(xué)的CERT/CC(計(jì)算機(jī)應(yīng)急反應(yīng)小組/控制中心)稱，80%的安全突破事件是由薄弱的口令引起的。黑客常常利用弱口令或默認(rèn)口令進(jìn)行攻擊。加長(zhǎng)口令、選用30到60天的口令有效期等措施有助于防止這類漏洞。
(2)關(guān)閉IP直接廣播
Smurf攻擊是一種拒絕服務(wù)攻擊。在這種攻擊中，攻擊者使用假冒的源地址向你的網(wǎng)絡(luò)廣播地址發(fā)送一個(gè)“ICMP echo”請(qǐng)求。這要求所有的主機(jī)對(duì)這個(gè)廣播請(qǐng)求做出回應(yīng)。這種情況會(huì)降低網(wǎng)絡(luò)性能。使用no ip source-route關(guān)閉IP直接廣播地址。
(3)禁用不必要的服務(wù)
強(qiáng)調(diào)路由器的安全性就不得不禁用一些不必要的本地服務(wù)，例如SNMP和DHCP這些用戶很少用到的服務(wù)，都可以禁用，只有絕對(duì)必要的時(shí)候才使用。
另外，可能時(shí)關(guān)閉路由器的HTTP設(shè)置，因?yàn)镠TTP使用的身份識(shí)別 協(xié)議 相當(dāng)于向整個(gè)網(wǎng)絡(luò)發(fā)送一個(gè)未加密的口令。然而，HTTP 協(xié)議 中沒有一個(gè)用于驗(yàn)證口令或者一次性口令的有效規(guī)定。
(4)限制邏輯訪問
限制邏輯訪問主要借助于合理處置訪問控制列表，限制遠(yuǎn)程終端會(huì)話有助于防止黑客獲得系統(tǒng)邏輯訪問。SSH是優(yōu)先的邏輯訪問方法，但如果無法避免Telnet，不妨使用終端訪問控制，以限制只能訪問可信主機(jī)。
因此，用戶需要給Telnet在路由器上使用的虛擬終端端口添加一份訪問列表。
(5)封鎖ICMP ping請(qǐng)求
控制消息 協(xié)議 (ICMP)有助于排除故障，識(shí)別正在使用的主機(jī)，這樣為攻擊者提供了用來瀏覽 網(wǎng)絡(luò)設(shè)備 、確定本地時(shí)間戳和網(wǎng)絡(luò)掩碼以及對(duì)OS修正版本作出推測(cè)的信息。因此通過取消遠(yuǎn)程用戶接收ping請(qǐng)求的應(yīng)答能力，就能更容易的避開那些無人注意的掃描活動(dòng)或者防御那些尋找容易攻擊的目標(biāo)的“腳本小子”(script kiddies)。
(6)關(guān)閉IP源路由
IP協(xié)議允許一臺(tái)主機(jī)指定數(shù)據(jù)包通過你的網(wǎng)絡(luò)路由，而不是允許網(wǎng)絡(luò)組件確定最佳的路徑。這個(gè)功能的合法應(yīng)用是診斷連接故障。但是，這種用途很少得到應(yīng)用，事實(shí)上，它最常見的用途是為了偵察目的對(duì)網(wǎng)絡(luò)進(jìn)行鏡像，或者用于攻擊者在專用網(wǎng)絡(luò)中尋找一個(gè)后門。除非指定這項(xiàng)功能只能用于診斷故障，否則應(yīng)該關(guān)閉這個(gè)功能。
(7)監(jiān)控配置更改
用戶在對(duì)路由器配置進(jìn)行改動(dòng)之后，需要對(duì)其進(jìn)行監(jiān)控。如果用戶使用SNMP，那么一定要選擇功能強(qiáng)大的共用字符串，最好是使用提供消息加密功能的SNMP.如果不通過SNMP管理對(duì)設(shè)備進(jìn)行遠(yuǎn)程配置，用戶最好將SNMP設(shè)備配置成只讀。拒絕對(duì)這些設(shè)備進(jìn)行寫訪問，用戶就能防止黑客改動(dòng)或關(guān)閉接口。 此外，用戶還需將系統(tǒng)日志消息從路由器發(fā)送至指定 服務(wù)器 。
進(jìn)一步確保安全管理，用戶可以使用SSH等加密機(jī)制，利用SSH與路由器建立加密的遠(yuǎn)程會(huì)話。為了加強(qiáng)保護(hù)，用戶還應(yīng)該限制SSH會(huì)話協(xié)商，只允許會(huì)話用于用戶經(jīng)常使用的幾個(gè)可信系統(tǒng)進(jìn)行通信。
(8)地址過濾
在校園網(wǎng)邊界路由器上建立政策以便根據(jù)IP地址過濾進(jìn)出網(wǎng)絡(luò)的違反安全規(guī)定的行為。除了特殊的案例之外，所有試圖從網(wǎng)絡(luò)內(nèi)部訪問 互聯(lián)網(wǎng) 的IP地址都應(yīng)該有一個(gè)分配的局域網(wǎng)地址。例如，192.168.0.1通過這個(gè)路由器訪問互聯(lián)網(wǎng)也許是合法的。但是，216.239.55.99這個(gè)地址很可能是欺騙性的，并且是一場(chǎng)攻擊的一部分。
相反，來自互聯(lián)網(wǎng)外部的通信的源地址應(yīng)該不是內(nèi)部網(wǎng)絡(luò)的一部分。因此，應(yīng)該封鎖入網(wǎng)的192.168.X.X、172.16.X.X和10.X.X.X等地址。
最后，擁有源地址的、保留的和無法路由目標(biāo)地址的所有通信都應(yīng)該允許通過這臺(tái)路由器。這包括回送地址127.0.0.1或者E類地址段。
在組建校園網(wǎng)的時(shí)候，只有選擇合適的路由器，經(jīng)過正確配置和采用對(duì)應(yīng)的維護(hù)策略后，才能使校園網(wǎng)網(wǎng)絡(luò)流暢，安全可靠，充分發(fā)揮校園網(wǎng)在學(xué)校管理、獲取信息資源等方面的作用。
相關(guān)知識(shí)：
路由器工作原理
路由器是用來連接不同網(wǎng)段或網(wǎng)絡(luò)的，其方法是通過識(shí)別不同網(wǎng)絡(luò)的網(wǎng)絡(luò)ID號(hào)進(jìn)行。路由器要識(shí)別另一個(gè)網(wǎng)絡(luò)，首先要識(shí)別對(duì)方的網(wǎng)絡(luò)ID，看是不是與目的節(jié)點(diǎn)地址中的網(wǎng)絡(luò)ID號(hào)相一致。
如果是就向這個(gè)網(wǎng)絡(luò)的路由器發(fā)送，接收網(wǎng)絡(luò)的路由器在接收到源網(wǎng)絡(luò)發(fā)來的報(bào)文后，根據(jù)報(bào)文中所包括的目的節(jié)點(diǎn)IP地址中的主機(jī)ID號(hào)來識(shí)別是發(fā)給哪一個(gè)節(jié)點(diǎn)的，然后再直接發(fā)送。
考慮到中小學(xué)校園的通用性，我們主要介紹校園網(wǎng)中常見的路由器 Cisco 2612的維護(hù)內(nèi)容，當(dāng)然本文內(nèi)容也可以適用于更高性能的 Cisco 7600等路由器。
Cisco 2612的模塊化體系結(jié)構(gòu)能夠提供適應(yīng)網(wǎng)絡(luò)技術(shù)變化所需的通用性，它配置了強(qiáng)大的RISC處理器，能夠支持當(dāng)今不斷發(fā)展的網(wǎng)絡(luò)中所需的高級(jí)服務(wù)質(zhì)量(QoS)、安全和網(wǎng)絡(luò)集成特性。
通過將多個(gè)獨(dú)立設(shè)備的功能集成到一個(gè)單元之中，Cisco 2612還降低了管理遠(yuǎn)程網(wǎng)絡(luò)的復(fù)雜性，為Internet、校園內(nèi)部網(wǎng)訪問、多服務(wù)語(yǔ)音/數(shù)據(jù)集成、模擬和數(shù)字撥號(hào)訪問服務(wù)、 VPN 訪問、ATM訪問集中、VLAN以及路由帶寬管理等應(yīng)用提供經(jīng)濟(jì)有效的解決方案。
【校園網(wǎng)常見路由器維護(hù)方法】相關(guān)文章：
校園網(wǎng)絡(luò)安全的活動(dòng)總結(jié)09-27
（集合）維護(hù)尊嚴(yán)的作文04-12
維護(hù)尊嚴(yán)的作文（必備）06-09
[集合]維護(hù)尊嚴(yán)的作文05-08
校園網(wǎng)絡(luò)安全宣傳周活動(dòng)方案03-22
網(wǎng)絡(luò)維護(hù)工作總結(jié)07-05
維護(hù)和平作文01-03
常見的詩(shī)歌意象07-23