边界路由器（edge router），是异步传输模式（ATM）网路中的术语，它是在一个或多个区域网路（LAN）和ATM主干网路之间（无论是校园网路还是广域网（WAN））路由数据包的设备。边界路由器（edge router）是边界设备的一种。有时将边界路由器与核心路由器（core router）相比较，核心路由器在网路中（而不是在网路间）将数据包传送给电脑主机。

用路由来保护区域网路的安全，这已经不是太新的话题了。那幺如何给区域网路增加一个有效地防护屏障呢？对于大多数1、企业区域网路来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网路都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。

经过恰当的设定，边界路由器能够把几乎所有的最顽固的坏分子挡在网路之外。如果你愿意的话，这种路由器还能够让好人进入网路。不过，没有恰当设定的路由器只是比根本就没有安全措施稍微好一点。

在下列指南中，我们将研究一下你可以用来保护网路安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网路的砖墙，而不是一个敞开的大门。

边界路由器将企业、学校、家庭的区域网路接入到广域网,在区域网路和广域网之间转发IP报文。边界路由器通常执行内部网关协定RIP或OSPF。RIP 是基于最短距离(跳数)的网关协定；OSPF 基于最短路径优先的路由协定。边界路由器根据路由协定建立路由表,维持到达其它网路的路由。

由于网际网路IP位址的匮乏，网路运营商只为企业、学校、家庭区域网路网关分配一个IP位址。企业、学校、家庭内部网路使用私用网路 IP 地址。网际网路预留给私用网路的IP 地址是:192.168.0.0~192.168.255.255(C类)、172.16,0.0~172.31.255.255(B 类)、10.0.0.0~10.255.255.255(A 类)。使用私用网路IP位址的IP报文网际网路不转发。内部网路计算机访问网际网路时，发出的IP报的IP位址必须由边界路由器的NAT伺服器转换为网际网路的IP位址，网际网路返回的IP报文的IP位址必须由NAT伺服器转换为区域网路IP位址。边界路由器通常提供 NAT 网路地址转换(Network Address Translation)地址转化功能。

据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。网路上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。

你的伺服器是很听话的。让它做什幺它就做什幺，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网路广播地址传送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网路性能。

参考你的路由器信息档案，了解如何关闭IP直接广播。例如，“Central(cONfig)#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。

正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协定相当于向整个网路传送一个未加密的口令。然而，遗憾的是，HTTP协定中没有一个用于验证口令或者一次性口令的有效规定。

虽然这种未加密的口令对于你从远程位置（例如家里）设定你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令！如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协定，因为它支持更严格的口令。

ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”（script. kiddies）。

请注意，这样做实际上并不能保护你的网路不受攻击，但是，这将使你不太可能成为一个攻击目标。

IP协定允许一台主机指定数据包通过你的网路的路由，而不是允许网路组件确定最佳的路径。这个功能的合法的套用是用于诊断连线故障。但是，这种用途很少套用。这项功能最常用的用途是为了侦察目的对你的网路进行镜像，或者用于攻击者在你的专用网路中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

封锁连线埠有两项理由。其中之一根据你对安全水平的要求对于你的网路是合适的。

对于高度安全的网路来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的连线埠和IP位址都必要要封锁。例如，用于web通信的连线埠80和用于SMTP的110/25连线埠允许来自指定地址的访问，而所有其它连线埠和地址都可以关闭。

大多数网路将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网路没有使用的连线埠和特洛伊木马或者侦查活动常用的连线埠来增强你的网路的安全性。例如，封锁139连线埠和445（TCP和UDP）连线埠将使黑客更难对你的网路实施穷举攻击。封锁31337（TCP和UDP）连线埠将使Back Orifice木马程式更难攻击你的网路。

这项工作应该在网路规划阶段确定，这时候安全水平的要求应该符合网路用户的需求。查看这些连线埠的列表，了解这些连线埠正常的用途。

在你的边界路由器上建立政策以便根据IP位址过滤进出网路的违反安全规定的行为。除了特殊的 不同寻常的案例之外，所有试图从你的网路内部访问网际网路的IP位址都应该有一个分配给你的区域网路的地址。例如，192.168.0.1这个地址也许通过这 个路由器访问网际网路是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。

相反，来自网际网路外部的通信的源地址应该不是你的内部网路的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。

最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类（class E）地址段240.0.0.0-254.255.255.255。

从网路嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP位址智慧型化地路由数据包，而集线器相所有的节点播出数据。如果连线到那台集线器的一个系统将其网路适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。然后，重要的是确保物理访问你的网路设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

审阅你的路由器记录（通过其内置的防火墙功能）是查出安全事件的最有效的方法，无论是查出正 在实施的攻击还是未来攻击的徵候都非常有效。利用出网的记录，你还能够查出试图建立外部连线的特洛伊木马程式和间谍软体程式。用心的安全管理员在病毒传播 者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。

网路设计时通常将网路分为核心层、汇聚层、接入层。核心层是网路的主干部分，承载数据的传输和交换,核心层所用的路由器为核心路由器；汇聚层汇聚服务区的数据流量，所用的路由器称为汇聚路由器;接入层位于网路的边界，所用的路由器称为边界路由器。边界路由器将企业网路、校园网路、家庭网路接入 ISP 的城域网或广域网，边界路由器在两个网路之间转发IP报文。根据转发能力，边界路由器分为用户级、网咖级、企业级三级。边界路由器连线广域网的接口称为 WAN(广域网) 口, 连线内部网路的接口称为 LAN(区域网路)口。