使用入站訪問控制將特定服務引導至對應的服務器。例如，只允許SMTP流量進入郵件服務器；DNS流量進入DSN服務器；通過安全套接協議層（SSL）的HTTP（HTTP/S）流量進入Web服務器。為了避免路由器成為DoS攻擊目標，用戶應該拒絕以下流量進入：沒有IP地址的包、采用本地主機地址、廣播地址、多播地址以及任何假冒的內部地址的包。雖然用戶無法杜絕DoS攻擊，但用戶可以限制DoS的危害。用戶可以采取增加SYN ACK隊列長度、縮短ACK超時等措施來保護酚善髏饈躎CP SYN攻擊。用戶還可以利用出站訪問控制限制來自網絡內部的流量。這種控制可以防止內部主機發送ICMP流量，只允許有效的源地址包離開網絡。這有助于防止IP地址欺騙，減小黑客利用用戶系統攻擊另一站點的可能性。

監控配置更改

用戶在對路由器配置進行改動之后，需要對其進行監控。如果用戶使用SNMP，那么一定要選擇功能強大的共用字符串，最好是使用提供消息加密功能的 SNMP。如果不通過SNMP管理對設備進行遠程配置，用戶最好將SNMP設備配置成只讀。拒絕對這些設備進行寫訪問，用戶就能防止黑客改動或關閉接口。此外，用戶還需將系統日志消息從路由器發送至指定服務器。

為進一步確保安全管理，用戶可以使用SSH等加密機制，利用SSH與路由器建立加密的遠程會話。為了加強保護，用戶還應該限制SSH會話協商，只允許會話用于同用戶經常使用的幾個可信系統進行通信。

配置管理的一個重要部分就是確保網絡使用合理的路由協議。避免使用路由信息協議（RIP），RIP很容易被欺騙而接受不合法的路由更新。用戶可以配置邊界網關協議（BGP）和開放最短路徑優先協議（OSPF）等協議，以便在接受路由更新之前，通過發送口令的MD5散列，使用口令驗證對方。以上措施有助于確保系統接受的任何路由更新都是正確的。

實施配置管理

用戶應該實施控制存放、檢索及更新路由器配置的配置管理策略，并將配置備份文檔妥善保存在安全服務器上，以防新配置遇到問題時用戶需要更換、重裝或回復到原先的配置。

用戶可以通過兩種方法將配置文檔存放在支持命令行接口（CLI）的路由器平臺上。一種方法是運行腳本，腳本能夠在配置服務器到路由器之間建立SSH 會話、登錄系統、關閉控制器日志功能、顯示配置、保存配置到本地文件以及退出系統；另外一種方法是在配置服務器到路由器之間建立IPSec隧道，通過該安全隧道內的TFTP將配置文件拷貝到服務器。用戶還應該明確哪些人員可以更改路由器配置、何時進行更改以及如何進行更改。在進行任何更改之前，制訂詳細的逆序操作規程。

總結：

路由器將是保護內部網的第一道關口，是我們整個局域網的“門戶”，讓我們的路由更安全、更強壯，是需要我們通過實踐了一步步去探索的。