路由器的安全设计技术全解
相关话题
为了使路由器将合法信息完整、及时、安全地转发到目的地，许多路由器厂商开始在路由器中添加安全模块，于是出现了路由器与安全设备融合的趋势。从本质上讲，增加安全模块的路由器，在路由器功能实现方面与普通路由器没有区别。所不同的是，添加安全模块的路由器可以通过加密、认证等技术手段增强报文的安全性，与专用安全设备进行有效配合，来提高路由器本身的安全性和所管理网段的可用性。
在介绍路由器所采用的安全技术之前，我们先来了解一下网络应用环境对路由器提出的安全要求。
完整性：要求路由器在转发报文过程中，保证信息不会遭到偶然或蓄意地添加、删除、修改、重放等破坏。
保密性：要求路由器保证信息在发送过程中不会被窃听，即使信息被窃听也不能被破译。
可用性：要求路由器保证系统或系统资源可被授权用户访问并按照需求使用的特性。
可控性：要求路由器根据需要对转发信息进行安全监控，对可疑的网络信息进行分析、截留或其他处理。
及时性：要求路由器保证网络信息能够被及时转发，不会因安全处理而使转发时间超出限度。
抗攻击性：要求路由器具有抵抗网络攻击的能力。
所采用的安全技术
为了满足网络应用环境对路由器的安全要求，许多路由器厂商将防火墙、VPN、IDS、防病毒、URL过滤等技术引入路由器当中。
访问控制技术：用户验证是实现用户安全防护的基础技术。路由器上可以采用多种用户接入的控制手段，如PPP、Web登录认证、ACL、802.1x协议等，保护接入用户不受网络攻击，同时能够阻止接入用户攻击其他用户和网络。基于CA标准体系的安全认证，将进一步加强访问控制的安全性。
传输加密技术：IPSec是路由器常用的协议。借助该协议，路由器支持建立虚拟专用网(VPN)。IPSec协议包括ESP(Encapsulating Security Payload)封装安全负载、AH(Authentication Header)报头验证协议及IKE(Internet Key Exchange)密钥管理协议等，可以用在公共IP网络上确保数据通信的可靠性和完整性，能够保障数据安全穿越公网而没有被侦听。由于IPSec的部署简便，只需安全通道两端的路由器或主机支持IPSec协议即可，几乎不需对网络现有基础设施进行更动。这正是IPSec协议能够确保包括远程登录、客户机、服务器、电子邮件、文件传输及Web访问等多种应用程序安全的重要原因。
防火墙防护技术：采用防火墙功能模块的路由器具有报文过滤功能，能够对所有接收和转发的报文进行过滤和检查，检查策略可以通过配置实现更改和管理。路由器还可以利用NAT/PAT功能隐藏内网拓扑结构，进一步实现复杂的应用网关(ALG)功能。还有一些路由器提供基于报文内容的防护。原理是，当报文通过路由器时，防火墙功能模块可以对报文与指定的访问规则进行比较，如果规则允许，报文将接受检查，否则报文直接被丢弃。如果该报文是用于打开一个新的控制或数据连接，防护功能模块将动态修改或创建规则，同时更新状态表以允许与新创建的连接相关的报文。回来的报文只有属于一个已经存在的有效连接，才会被允许通过。
入侵检测技术：在安全架构中，入侵检测(IDS)是一个非常重要的技术，目前有些路由器和高端交换机已经内置IDS功能模块。内置入侵检测模块需要路由器具备完善的端口镜像(一对一、多对一)和报文统计支持功能。
HA(高可用性)：提高自身的安全性，需要路由器能够支持备份协议(如VRRP)和具有日志管理功能，以使得网络数据具备更高的冗余性和能够获取更多的保障。
七层安全设计
具体来说，人们正从以下七个层面来加强路由器的安全设计。
硬件的安全保障：模块化的硬件结构体系结构。
软件的安全保障：自主知识产权的操作系统;操作系统高度模块化结构，进程空间隔离、数据流和控制流空间隔离。
链路层的安全保障：广域网上采用PPP认证和EAP-TLS;以太网上采用802.1x、MAC地址/端口绑定、VLAN隔离和EAP-TLS;对流量峰值设置阀值，通过流量限速抵御DoS攻击。
网络层和传输层的安全保障：IPSec协议、AH/ESP/IKE、3DES等;基于IP的报文过滤;对ICMP各种类型报文的过滤处理;根据TCP/UDP报文头选项进行过滤;网络处理器实现分类和过滤功能，保证线速。
路由安全： OSPF/BGP/RIP2/IS-IS/RSVP/LDP支持各种认证方式(不认证、明文认证、HMAC-MD5认证)。
应用层的安全保障:防火墙模块。
实现管理安全的手段：SSL保证web和CLI管理的安全通道;SSH替代Telnet的明文管理通道;多种用户登录验证方式;命令行分级视图管理;管理访问策略控制(源地址、登录端口、登录时间控制);支持SNMPv3。
安全特性有侧重
需要说明的是，路由器是一个庞大的家族，核心路由器和边缘分支路由器从结构到技术原理都有很大不同，因此不同级别的路由器的安全侧重点是不同的。例如，远程分支路由器主要需要集成较为完善的加密和VPN功能，能够在用户端对数据进行加密或者建立VPN通道，这样可以保证信息在广域网上安全地传递。对于在网络中位于核心位置的高端路由器，则需要综合化的安全实现措施，首先路由器需要具备完善的用户接入认证和控制功能;其次路由器在应用程序过滤、入侵检测等方面应具备更强大的能力;并且应该具备支持IP报文加密、MPLS等技术。可以说，中低端路由器只需在路由软件中增加特性或者通过添加硬件加密卡即可实现安全功能;而高端路由器则需要综合采用多种安全措施。
为了使路由器在经过诸多与安全相关的复杂报文处理之后，处理性能不会下降，业界出现了以网络处理器(NP)为核心构建高端路由器的方式。网络处理器能够较好解决高端路由器的业务能力和性能之间矛盾的问题，同时也适应网络安全变化迅速的特征，可以说代表了路由器未来的发展方向之一。
产品篇
具有安全功能的路由器可以应用于不同的网络环境中，如内部网络和外部网络的互联、不同子网之间的互联以及网络的接入服务等等。随着电子政务建设的深入进行和企业级用户安全问题的日渐突出，具有安全功能的路由器将会得到更广泛的使用。下面我们就来介绍几款加强安全设计的路由器产品。
安奈特AT-AR700系列路由器
AT-AR700系列路由器配置了高性能的80MHz RISC处理器和可升级的SDRAM，支持丰富的WAN接口，具有出色的路由功能、VPN功能和防火墙功能。借助于VPN模块，AT-AR700支持基于硬件的DES/3DES加密，最多可同时支持1023个VPN隧道。借助于基于状态检测防火墙模块，AT-AR700可以防止DoS攻击。AT-AR700还提供事件触发、防火墙事件日志和信息统计功能，能够生成全面的安全日志。AT-AR700设有丰富的PIC接口，可以最大限度地保护用户投资。AT-AR745上的NSM(网络服务)模块可以配置各种高速LAN/WAN接口，32MHz 32位的PCI总线可以提供高速的数据转发。NSM构架同时也可以放置在安奈特公司的三层交换机上，为交换机提供丰富的WAN接口。此外，该路由器还具有流量整形、VRRP、冗余电源、脚本、异步拨号、支持IPv6等功能，适合用作大、中型企业和分支办公机构的路由器平台。
博达BDCOM 3660系列路由器
BDCOM 3660系列路由器作为内部网络和外部网络之间的关键通信设备，采用多种网络安全机制，涉及的安全技术主要有备份技术、AAA、CA技术、CallBack技术、包过滤技术、网络地址转换、VPN技术、密钥交换技术、安全管理、硬件加密卡和路由信息认证技术。为了保证网络数据传输安全，BDCOM 3660路由器在接受任何路由信息时，首先会对该信息的发送方进行认证，以确保收到的路由信息是合法的。该路由器支持OSPF和RIPv2，启用认证机制能够保护路由信息的正确性，同时不会影响路由器的路由功能。BDCOM 3660系列路由器分为BDOCM 3660、BDOCM 3660-DC两种型号，均采用模块化设计，具有6个网络/语音模块扩展槽，支持种高密度的网络/语音模块，可实现更多组合应用。操作系统采用博达拥有自主知识产权的ROS，能够适应新技术、新业务、新功能的应用与扩展。
Cisco 830系列路由器
Cisco 830系列路由器可分为Cisco 831以太网宽带路由器和Cisco 837 ADSL宽带路由器。Cisco 831路由器设有一个以太网WAN端口，可与外部DSL或有线调制解调器共用，Cisco 837路由器则设有一个集成化ADSL WAN端口。这两种型号均提供了一个4端口10/100以太网LAN交换机，可连接小型机构网络中的多个PC或网络设备。Cisco 830系列提供集成化企业级安全服务，支持IPSec、3DES加密，并设有状态检测防火墙模块。可供选择的特性包括Cisco Easy VPN Remote(可实现VPN的简单部署和管理的软件特性)、需数字证书的公共密钥基础设施、网络地址转换、思科入侵检测系统和URL过滤等，可确保中小企业、网吧、数码工作室和个人用户的上网安全。
港湾NetHammer1760路由器
NetHammer1760模块化安全路由器是港湾新一代多业务接入路由器。NetHammer1760采用19英寸机架式设计，内置电源，具有很高的稳定性。尤其是它支持港湾公司独有的HVPN技术，HVPN可以对VPN数据提供加密保护，支持路由协议，支持VPN一端地址由ISP动态分配，是港湾公司为解决传统VPN技术的缺点而推出的专有技术。NetHammer1760还可以配置VPN硬件加密卡以提高加密性能。