路由器是網絡系統的主要設備，也是網絡安全的前沿關口。實際上，路由器可以看作是一臺具有中央處理器、內存、操作系統的計算機，將地理上分散的網絡連接在一起，實現它們之間的網絡通信。所以，路由器配置的是否正確、安全會對網絡的通暢起著舉足輕重作用。如果路由器連自身的安全都沒有保障，整個網絡也就毫無安全可言，很多黑客會利用路由器的漏洞發起攻擊，最后導致浪費CPU周期，誤導信息流量，使網絡陷于癱瘓。因此在網絡安全管理上，必須對路由器進行合理規劃、配置，采取必要的安全保護措施，避免因路由器自身的安全問題而給整個網絡系統帶來漏洞和風險。
在介紹路由器所采用的安全技術之前，先來了解一下網絡應用環境對路由器提出的安全要求：
保密性：要求路由器保證信息在發送過程中不會被竊聽，即使信息被竊聽也不能被破譯。
可用性：要求路由器保證系統或系統資源可被授權用戶訪問并按照需求使用的特性。
可控性：要求路由器根據需要對轉發信息進行安全監控，對可疑的網絡信息進行分析、截留或其他處理。
及時性：要求路由器保證網絡信息能夠被及時轉發，不會因安全處理而使轉發時間超出限度。
抗攻擊性：要求路由器具有抵抗網絡攻擊的能力。
了解了網絡應用環境對于路由器的安全要求，那么我們再來分析如何正確合理規劃、配置路由器，才能保護好我們的網路。
堵住安全漏洞
限制系統物理訪問是確保路由器安全的最有效方法之一。限制系統物理訪問的一種方法就是將控制臺和終端會話配置成在較短閑置時間后自動退出系統。避免將調制解調器連接至路由器的輔助端口也很重要。一旦限制了路由器的物理訪問，用戶一定要確保路由器的安全補丁是最新的。漏洞常常是在供應商發行補丁之前被披露，這就使得黑客搶在供應商發行補丁之前利用受影響的系統，這需要引起用戶的關注。
避免身份危機
黑客常常利用弱口令或默認口令進行攻擊。加長口令、選用30到60天的口令有效期等措施有助于防止這類漏洞。另外，一旦重要的IT員工辭職，用戶應該立即更換口令。用戶應該啟用路由器上的口令加密功能，這樣即使黑客能夠瀏覽系統的配置文件，他仍然需要破譯密文口令。實施合理的驗證控制以便路由器安全地傳輸證書。在大多數路由器上，用戶可以配置一些協議，如遠程驗證撥入用戶服務，這樣就能使用這些協議結合驗證服務器提供經過加密、驗證的路由器訪問。驗證控制可以將用戶的驗證請求轉發給通常在后端網絡上的驗證服務器。驗證服務器還可以要求用戶使用雙因素驗證，以此加強驗證系統。雙因素的前者是軟件或硬件的令牌生成部分，后者則是用戶身份和令牌通行碼。其他驗證解決方案涉及在安全外殼（SSH）或IPSec內傳送安全證書。
禁用不必要服務
擁有眾多路由服務是件好事，但近來許多安全事件都凸顯了禁用不需要本地服務的重要性。需要注意的是，禁用路由器上的CDP可能會影響路由器的性能。另一個需要用戶考慮的因素是定時。定時對有效操作網絡是必不可少的。即使用戶確保了部署期間時間同步，經過一段時間后，時鐘仍有可能逐漸失去同步。用戶可以利用名為網絡時間協議（NTP）的服務，對照有效準確的時間源以確保網絡上的設備時針同步。不過，確保網絡設備時鐘同步的最佳方式不是通過路由器，而是在防火墻保護的非軍事區（DMZ）的網絡區段放一臺NTP服務器，將該服務器配置成僅允許向外面的可信公共時間源提出時間請求。在路由器上，用戶很少需要運行其他服務，如SNMP和DHCP。只有絕對必要的時候才使用這些服務。
限制邏輯訪問
限制邏輯訪問主要是借助于合理處置訪問控制列表。限制遠程終端會話有助于防止黑客獲得系統邏輯訪問。SSH是優先的邏輯訪問方法，但如果無法避免 Telnet，不妨使用終端訪問控制，以限制只能訪問可信主機。因此，用戶需要給Telnet在路由器上使用的虛擬終端端口添加一份訪問列表。
控制消息協議（ICMP）有助于排除故障，但也為攻擊者提供了用來瀏覽網絡設備、確定本地時間戳和網絡掩碼以及對OS修正版本作出推測的信息。為了防止黑客搜集上述信息，只允許以下類型的ICMP流量進入用戶網絡：ICMP網無法到達的、主機無法到達的、端口無法到達的、包太大的、源抑制的以及超出生存時間（TTL）的。此外，邏輯訪問控制還應禁止ICMP流量以外的所有流量。
