用路由器防止dos拒絕服務瘋狂攻擊(更新版)
【正文】 表的擴展，它基于應用層會話信息，智能化地過濾 TCP和 UDP數(shù)據(jù)包，防止 DoS攻擊。在整個連接期間，路由器會一直攔截和發(fā)送數(shù)據(jù)包。 使用 RPF功能需要將路由器設為快速轉(zhuǎn)發(fā)模式 (CEF switching)，并且不能將啟用 RPF功能的接口配置為 CEF交換。如果網(wǎng)絡中出現(xiàn)了大量建立 TCP連接的請求，這表明網(wǎng)絡受 到了 SYN Flood攻擊，這時用戶就可以改變訪問列表的配置，阻止 DoS攻擊。SYN Flood攻擊使用數(shù)量巨大的 TCP半連接來占用網(wǎng)絡資源 。正確配置路由器能夠有效防止 DoS攻擊。例如， WFQ對付 Ping Flood攻擊要比防止 SYN Flood攻擊更有效，這是因為 Ping Flood通常會在 WFQ中表現(xiàn)為一個單獨的傳輸隊列，而 SYN Flood攻擊中的每一個數(shù)據(jù)包 都會表現(xiàn)為一個單獨的數(shù)據(jù)流。第三 RPF作為一個反欺騙的工具，對路由器本身產(chǎn)生的性能沖擊，要比使用訪問列表小得多。 在 Cisco路由器上開啟 TCP攔截功能需要兩個步驟：一是配置擴展訪問列表，以確定需要保護的 IP地址 。對 UDP而言，半連接是指路由器沒有檢測到返回流量的會話。
公司管理相關推薦
鄂ICP備17016276號-1