使用Cisco IOS阻止外向IP欺騙
Cisco IOS阻止外向IP欺騙的步驟如下
你不希望你的網絡成為一個惡意活動的庇護所吧？在你公司的網絡上，可能并沒有發現任何有關的惡意活動。但是 這不意味著它未來不會發生。下面是一些你希望阻止的常見惡意行為：
面向Internet的朝外IP欺騙數據
以單臺電腦作為SMTP服務器，直接發往互聯網的電子郵件
從公司內部發出的，以電子郵件或者其他端口作為傳播手段的病毒或者蠕蟲
對你的互聯網路由器發動的黑客攻擊
阻止外向IP地址欺騙
正如我在先前文章中提到的，有些指定的IP地址，公司應當避免將其用于在Internent上的通訊。
- 10.0.0.0/8
- 172.16.0.0/12
- 192.168.0.0/16
- 127.0.0.0/8
- 224.0.0.0/3
- 169.254.0.0/16
- 240.0.0.0/4
如果有通訊使用了上述IP地址的話，那么十有八九就是虛假的，并且是惡意的。所以你不僅要阻止來自互聯網的，源地址屬于上述這些IP地址范圍內的通信，同時也要阻止這個范圍內的IP通信發往互聯網。
要做到這一點，首先應當在路由器上建立一個出口ACL（存取權限控制列表）過濾器，并對通往互聯網的接口應用該ACL.表格A提供了一個示例。
它阻止了任何來自公司網絡中，指定IP地址范圍內的通信。正如我在關于內向IP欺騙文章中所提到的，要想保護網路免遭IP地址欺騙，另一個辦法就是反向路徑轉發或者是IP校驗。要想阻擋外向通訊，你將使用路由器的快速以太0/0接口，而不是串行接口。
除了阻止來自公司網絡中的欺騙性IP地址數據包之外，還有很多其他步驟你也應當采取，以防止惡意用戶利用你的網絡。
禁止單臺PC使用SMTP向互聯網直接發送電子郵件
你可不希望有人利用公司的網絡發送垃圾信。要想阻止這個，你的防火墻應當不允許網上的電腦直接和互聯網的任何端口直接通信。
換句話說，你應當控制何種通訊可以直接從你的互聯網連接上發送出去。假設你的公司有一臺內部電子郵件服務器，所有的SMTP通訊都應當來自于這臺內部服務器，而不是來自于其他任何一臺內部網上的電腦。
你可以通過讓防火墻（起碼也該使用ACL）僅允許指定目標端口發往Internet，從而保證我說剛才說到的這一點。舉例來說，絕大多數公司僅需允許所有電腦使用互聯網上的80端口，以及443端口。
防止來自公司內部的病毒或者蠕蟲向外傳播
通過控制局域網上客戶端用于和互聯網進行通訊的端口，你有很多方法可以阻止病毒和蠕蟲的傳播。但是，僅僅限制了端口還不夠，因為惡意用戶常常可以找到方法繞過端口限制。
要想更深入的阻止病毒和蠕蟲，可以考慮使用一些UTM設備，比如Cisco的ASA或者Fortinet.既然標稱為“anti-X”設備，這兩者都可以阻擋大量的安全威脅。
阻止對你的互聯網路由器的攻擊
要保護你的路由器，就要確保你已經在你的Cisco路由器上配置了SSH，設置了一個ACL，定義了你的管理控制臺的源IP地址，并運行了 Cisco的SDM（安全設備管理器，Security Device Manager）安全審核功能，以確保你不會漏過任何一個常見的安全漏洞。
要記住：保證你的網絡免受來自互聯網上攻擊的確重要，但是阻止這些攻擊者利用你的網絡做壞事也是同樣的重要。這四個方法可以讓你在這一點上獲得更多的保證。
Cisco IOS阻止外向IP欺騙的敘述就結束了，你學會了，只要按照以上所述的內容操作，相信你能實現你預期的結果。
【編輯推薦】
