如何使用Cisco IOS來阻止外向IP欺騙

這篇文章主要講解了“如何使用Cisco IOS來阻止外向IP欺騙”，文中的講解內容簡單清晰，易于學習與理解，下面請大家跟著小編的思路慢慢深入，一起來研究和學習“如何使用Cisco IOS來阻止外向IP欺騙”吧！

以前，我們討論了從入向Internet連接中將欺騙通信過濾掉的重要性但是，入向欺騙并不只是唯一的威脅。實際上，阻止出向欺騙也是同樣的重要。 

　　這一次，讓我們來看看如何保護系統免受來自其他方向的威脅——阻止欺騙性IP數據包，以及其他有害通訊從本地的網絡發往Internet.你可不希望你的網絡成為一個惡意活動的庇護所，對吧？ 

　　還不錯，在你公司的網絡上，并沒有發現任何有關的惡意活動。但是這不意味著它未來不會發生。下面是一些你希望阻止的常見惡意行為： 

　　◆面向Internet的朝外IP欺騙數據 

　　◆以單臺電腦作為SMTP服務器，直接發往互聯網的電子郵件 

　　◆從公司內部發出的，以電子郵件或者其他端口作為傳播手段的病毒或者蠕蟲 

　　◆對你的互聯網路由器發動的****** 

　　阻止外向IP地址欺騙

　　正如我在先前文章中提到的，有些指定的IP地址，公司應當避免將其用于在Internent上的通訊。 

　　10.0.0.0/8 

　　172.16.0.0/12 

　　192.168.0.0/16 

　　127.0.0.0/8 

　　224.0.0.0/3 

　　169.254.0.0/16 

　　240.0.0.0/4 

　　如果有通訊使用了上述IP地址的話，那么十有八九就是虛假的，并且是惡意的。所以你不僅要阻止來自互聯網的，源地址屬于上述這些IP地址范圍內的通信，同時也要阻止這個范圍內的IP通信發往互聯網。 

　　要做到這一點，首先應當在路由器上建立一個出口ACL（存取權限控制列表）過濾器，并對通往互聯網的接口應用該ACL.表格A提供了一個示例。 

　　它阻止了任何來自公司網絡中，指定IP地址范圍內的通信。正如我在關于內向IP欺騙文章中所提到的，要想保護網路免遭IP地址欺騙，另一個辦法就是反向路徑轉發或者是IP校驗。要想阻擋外向通訊，你將使用路由器的快速以太0/0接口，而不是串行接口。 

　　除了阻止來自公司網絡中的欺騙性IP地址數據包之外，還有很多其他步驟你也應當采取，以防止惡意用戶利用你的網絡。 

　　禁止單臺PC使用SMTP向互聯網直接發送電子郵件

　　你可不希望有人利用公司的網絡發送垃圾信。要想阻止這個，你的防火墻應當不允許網上的電腦直接和互聯網的任何端口直接通信。 

　　換句話說，你應當控制何種通訊可以直接從你的互聯網連接上發送出去。假設你的公司有一臺內部電子郵件服務器，所有的SMTP通訊都應當來自于這臺內部服務器，而不是來自于其他任何一臺內部網上的電腦。 

　　你可以通過讓防火墻（起碼也該使用ACL）僅允許指定目標端口發往Internet，從而保證我說剛才說到的這一點。舉例來說，絕大多數公司僅需允許所有電腦使用互聯網上的80端口，以及443端口。 

　　防止來自公司內部的病毒或者蠕蟲向外傳播

　　通過控制局域網上客戶端用于和互聯網進行通訊的端口，你有很多方法可以阻止病毒和蠕蟲的傳播。但是，僅僅限制了端口還不夠，因為惡意用戶常?？梢哉业椒椒ɡ@過端口限制。 

　　要想更深入的阻止病毒和蠕蟲，可以考慮使用一些UTM設備，比如Cisco的ASA或者Fortinet.既然標稱為“anti-X”設備，這兩者都可以阻擋大量的安全威脅。 

　　阻止對你的互聯網路由器的***

　　要保護你的路由器，就要確保你已經在你的Cisco路由器上配置了SSH，設置了一個ACL，定義了你的管理控制臺的源IP地址，并運行了 Cisco的SDM（安全設備管理器，Security Device Manager）安全審核功能，以確保你不會漏過任何一個常見的安全漏洞。 

　　要記?。罕ＷC你的網絡免受來自互聯網上***的確重要，但是阻止這些***者利用你的網絡做壞事也是同樣的重要。這四個方法可以讓你在這一點上獲得更多的保證。 

感謝各位的閱讀，以上就是“如何使用Cisco IOS來阻止外向IP欺騙”的內容了，經過本文的學習后，相信大家對如何使用Cisco IOS來阻止外向IP欺騙這一問題有了更深刻的體會，具體使用情況還需要大家實踐驗證。這里是億速云，小編將為大家推送更多相關知識點的文章，歡迎關注！