在網絡使用的過程中，往往會遇到各種各樣的網絡攻擊，如：掃描類的攻擊，DoS攻擊等。

我司企業級路有器內置了目前常見的網絡攻擊防護措施，支持內/外部攻擊防范，提供掃描類攻擊、DoS類攻擊、可疑包和含有IP選項的包等攻擊保護，能偵測及阻擋IP 地址欺騙、源路由攻擊、IP/端口掃描、DoS等網絡攻擊，有效防止Nimda攻擊等。（路由器只是對于網絡中常見的攻擊進行防護，對于網絡的操作進行監控，而病毒，木馬等這些處于應用層的應用，我司路由器并不是殺毒軟件，并不是我在路由器上設置了防火墻或攻擊防護等，您的計算機就不會中病毒）

在開啟攻擊防護時，必須開啟路由器“防火墻總開關”，選中對應的“開啟攻擊防護”：

在菜單中的“安全設置”->“攻擊防護”中，可以看到路由器針對各種網絡攻擊的防護及設置；

其中分別針對各種常見的網絡攻擊進行防護：正確設置各種防護的閾值，可以有效的對各種攻擊進行防護。請根據您的網絡環境進行相應的設置，一般可以使用路由器默認的值，或者可以自己進行設置。在設置的時候，閾值不要設置過小，會導致攔截過高，有可能把網絡中正常的數據包誤認為非法的數據包，使您的網絡不能正常使用；閾值也不要設置過大，這樣會起不到攻擊防護的效果。

在區域的設置中，可以選擇LAN和WAN，若選擇LAN表示對來自局域網的數據包進行監控；而選擇WAN表示對來自外網的數據包進行監控。

1、掃描類的攻擊防護主要有三類：IP掃描，端口掃描，IP欺騙。

其中WAN區域沒有IP欺騙設置。掃描一般都是發起攻擊的第一個步驟，攻擊者可以利用IP掃描和端口掃描來獲取目標網絡的主機信息和目標主機的端口開放情況，然后對某主機或者某主機的某端口發起攻擊，對掃描進行預先的判斷并保護可以有效的防止攻擊。我司企業級路由器對掃描類攻擊的判斷依據是：設置一個時間閾值（微秒級），若在規定的時間間隔內某種數據包的數量超過了10個，即認定為進行了一次掃描，在接下來的兩秒時間里拒絕來自同一源的這種掃描數據包。閾值的設置一般建議盡可能的大，最大值為一秒，也就是1000000微妙，一般推薦0.5－1秒之間設置。（閾值越大，防火墻對掃描越“敏感”）

下面為路由器沒有開啟攻擊防護下，使用端口掃描工具進行掃描的結果：

開啟了路由器的“攻擊防護”：

此時進行端口掃描的結果為：

通過抓包分析，路由器檢測到了有端口掃描攻擊，進行了相應的攻擊防護，掃描工具沒有接收到前端計算機返回的信息，所以在端口掃描的時候，無法完成端口掃描。此時。路由器發送了一個系統日志給日志服務器，檢測到有攻擊的存在。

在開啟了防火墻的攻擊防護后，掃描軟件掃描不正確。但路由器每次的掃描判斷允許十個掃描數據包通過，因此有可能目的計算機開放的端口剛好在被允許的十個數據包之中，也能被掃描到，但這種幾率是微乎其微的。

日志服務器上記錄顯示有端口掃描攻擊：

關于日志服務器的使用，請參考《日志服務器的安裝與使用》，日志中很清晰的記錄了內網電腦192.168.1.100有端口掃描的行為。

2、DoS類的攻擊主要有：ICMP Flood、UDP Flood、SYN Flood、Land Attack、WinNuke。

拒絕服務（DoS--Denial of Service）攻擊的目的是用極其大量的虛擬信息流耗盡目標主機的資源，目標主機被迫全力處理虛假信息流，從而影響對正常信息流的處理。如果攻擊來自多個源地址，則稱為分布式拒絕服務DDoS。

我司企業級路由器對DoS類攻擊的判斷依據為：設置一個閾值（單位為每秒數據包個數PPS＝Packet Per Second），如果在規定的時間間隔內（1秒），某種數據包超過了設置的閾值，即認定為發生了一次洪泛攻擊，那么在接下來2秒的時間內，忽略掉下來自相同攻擊源的這一類型數據包。

這里“DoS類攻擊防護”閾值設置與上面“掃描攻擊”閾值剛好相反，值越小越“敏感”，但一般也不能太小，正常的應用不能影響，我們可以根據自己的環境在實際的應用中動態調整。

下面為一個ICMP的例子，在路由器沒有開啟攻擊防護的情況下，ping前端的計算機：

使用發包工具，對前端的計算機進行1000pps的ping操作，通過抓包可以看到，前端的計算機都有回應。

而開啟了路由器攻擊防護的ICMP Flood攻擊防護，設置閾值為100pps。

此時進行抓包分析：

路由器檢測到了有ICMP Flood攻擊存在，發送了一個日志給日志服務器，在以后的ping請求中，都沒有得到回應。有效地防止了ICMP Flood攻擊。

日志服務器中，也可以查看到相應的攻擊信息：

3、可疑包類防護包括五類：大的ICMP包（大于1024字節）、沒有Flag的TCP包、同時設置SYN和FIN的TCP包、僅設置 FIN 而沒有設置ACK的TCP包、未知協議。

4、含有IP選項的包防護：在 Internet Protocol 協議（RFC 791）中，指定了一組選項以提供特殊路由控制、診斷工具和安全性。它是在 IP 包頭中的目的地址之后。協議認為這些選項“ 對最常用的通信是不必要的”。在實際使用中，它們也很少出現在 IP 包頭中。這些選項經常被用于某些惡意用途。

IP選項包括：

選中一項IP選項的復選框，則檢查；清除選項的選擇，則取消檢查。

一般情況下上面兩部分的數據包是不會出現的，屬于非正常的包，可能是病毒或者攻擊者的試探，路由器在設置了相應的攻擊防護的話會將對應的數據包丟棄。

本文主要介紹了我司企業級路由器的攻擊防護的處理機制以及效果，通過舉了幾個例子進行詳細地描述。例子中使用的參數只為測試使用，并不一定符合實際的使用環境，在具體的使用過程中，還需要根據您的實際網絡使用環境進行調試，找到一個合理的閾值，才能有效的保護您的網絡。