路由器(Router)是連接因特網中各局域網、廣域網的設備，它會根據信道的情況自動選擇和設定路由，以最佳路徑，按前后順序發送信號的設備。本文發表在《網絡安全技術與應用》，文章分析了網絡中路由器的應用與配置，是計算機論文刊發范例，供網絡工程師職稱評審參考。

　　摘 要：路由器是一種連接多個網絡或網段的網絡設備，它能將不同網絡或網段之間的數據信息進行“翻譯”，以使它們能夠相互“讀”懂對方的數據，并能夠高速的選擇信息傳送的線路，大大提高通信速度，減輕網絡系統通信負荷，節約網絡系統資源，提高網絡系統暢通率，從而讓網絡系統發揮出更大的效益來。

　　關鍵詞：路由器;IP地址;尋徑;轉發

　　隨著Internet的迅猛發展，人們已經不滿足于僅在本地網絡上共享信息，而希望最大限度地利用全球各個地區、各種類型的網絡資源，路由技術在網絡技術中已逐漸成為關鍵部分，路由器也隨之成為最重要的網絡設備。在目前的情況下，任何一個有一定規模的計算機網絡(如企業網、校園網、智能大廈等)，無論采用的是快速以大網技術、FDDI技術、還是ATM技術，都離不開路由器，否則就無法正常運作和管理。

　　一、路由器的工作原理。網絡中的設備用它們的網絡地址(TCP/IP網絡中為IP地址)互相通信。IP地址是與硬件地址無關的“邏輯”地址。路由器只根據IP地址來轉發數據。IP地址的結構有兩部分，一部分定義網絡號，另一部分定義網絡內的主機號。目前，在Internet網絡中采用子網掩碼來確定IP地址中網絡地址和主機地址。子網掩碼與IP地址一樣也是32bit，并且兩者是一一對應的，并規定，子網掩碼中數字為“1”所對應的IP地址中的部分為網絡號，為“0”所對應的則為主機號。網絡號和主機號合起來，才構成一個完整的IP地址。同一個網絡中的主機IP地址，其網絡號必須是相同的，這個網絡稱為IP子網。通信只能在具有相同網絡號的IP地址之間進行，要與其它IP子網的主機進行通信，則必須經過同一網絡上的某個路由器或網關(gateway)出去。不同網絡號的IP地址不能直接通信，即使它們接在一起，也不能通信。路由器有多個端口，用于連接多個IP子網。每個端口的IP地址的網絡號要求與所連接的IP子網的網絡號相同。不同的端口為不同的網絡號，對應不同的IP子網，這樣才能使各子網中的主機通過自己子網的IP地址把要求出去的IP分組送到路由器上。

　　二、路由器的主要功能。路由動作包括兩項基本內容：尋徑和轉發。尋徑即判定到達目的地的最佳路徑，由路由選擇算法來實現。為了判定最佳路徑，路由選擇算法必須啟動并維護包含路由信息的路由表，其中路由信息依賴于所用的路由選擇算法而不盡相同。路由選擇算法將收集到的不同信息填入路由表中，根據路由表可將目的網絡與下一站(nexthop)的關系告訴路由器。路由器間互通信息進行路由更新，更新維護路由表使之正確反映網絡的拓撲變化，并由路由器根據量度來決定最佳路徑。轉發即沿尋徑好的最佳路徑傳送信息分組。路由器首先在路由表中查找，判明是否知道如何將分組發送到下一個站點(路由器或主機)，如果路由器不知道如何發送分組，通常將該分組丟棄;否則就根據路由表的相應表項將分組發送到下一個站點，如果目的網絡直接與路由器相連，路由器就把分組直接送到相應的端口上。這就是路由轉發協議(routed protocol)。路由轉發協議和路由選擇協議是相互配合又相互獨立的概念，前者使用后者維護的路由表，同時后者要利用前者提供的功能來發布路由協議數據分組。

　　三、路由選擇協議。典型的路由選擇方式有兩種：靜態路由和動態路由。靜態路由是在路由器中設置的固定的路由表。除非網絡管理員干預，否則靜態路由不會發生變化。由于靜態路由不能對網絡的改變作出反映，一般用于網絡規模不大、拓撲結構固定的網絡中。靜態路由的優點是簡單、高效、可靠。在所有的路由中，靜態路由優先級最高。當動態路由與靜態路由發生沖突時，以靜態路由為準。動態路由是網絡中的路由器之間相互通信，傳遞路由信息，利用收到的路由信息更新路由器表的過程。它能實時地適應網絡結構的變化。如果路由更新信息表明發生了網絡變化，路由選擇軟件就會重新計算路由，并發出新的路由更新信息。這些信息通過各個網絡，引起各路由器重新啟動其路由算法，并更新各自的路由表以動態地反映網絡拓撲變化。動態路由適用于網絡規模大、網絡拓撲復雜的網絡。當然，各種動態路由協議會不同程度地占用網絡帶寬和CPU資源。靜態路由和動態路由有各自的特點和適用范圍，因此在網絡中動態路由通常作為靜態路由的補充。當一個分組在路由器中進行尋徑時，路由器首先查找靜態路由，如果查到則根據相應的靜態路由轉發分組;否則再查找動態路由。

　　四、路由算法。路由算法按照種類可分為以下幾種：靜態和動態、單路和多路、平等和分級、源路由和透明路由、域內和域間、鏈路狀態和距離向量。鏈路狀態算法(也稱最短路徑算法)發送路由信息到互聯網上所有的結點，然而對于每個路由器，僅發送它的路由表中描述了其自身鏈路狀態的那一部分。距離向量算法(也稱為Bellman-Ford算法)則要求每個路由器發送其路由表全部或部分信息，但僅發送到鄰近結點上。從本質上來說，鏈路狀態算法將少量更新信息發送至網絡各處，而距離向量算法發送大量更新信息至鄰接路由器。由于鏈路狀態算法收斂更快，因此它在一定程度上比距離向量算法更不易產生路由循環。但另一方面，鏈路狀態算法要求比距離向量算法有更強的CPU能力和更多的內存空間，因此鏈路狀態算法將會在實現時顯得更昂貴一些。除了這些區別，兩種算法在大多數環境下都能很好地運行。

　　五、路由器安全維護。利用路由器的漏洞發起攻擊的事件經常發生。路由器攻擊會浪費CPU周期，誤導信息流量，使網絡異常甚至陷于癱瘓。因此需要采取相應的安全措施來保護路由器的安全。①避免口令泄露危機。據卡內基梅隆大學的CERT/CC(計算機應急反應小組/控制中心)稱，80%的安全突破事件是由薄弱的口令引起的。黑客常常利用弱口令或默認口令進行攻擊。加長口令、選用30到60天的口令有效期等措施有助于防止這類漏洞。②關閉IP直接廣播。Smurf攻擊是一種拒絕服務攻擊。在這種攻擊中，攻擊者使用假冒的源地址向你的網絡廣播地址發送一個“ICMP echo”請求。這要求所有的主機對這個廣播請求做出回應。這種情況會降低網絡性能。使用no ip source-route關閉IP直接廣播地址。③禁用不必要的服務。強調路由器的安全性就不得不禁用一些不必要的本地服務，例如SNMP和DHCP這些用戶很少用到的服務，都可以禁用，只有絕對必要的時候才使用。另外，可能時關閉路由器的HTTP設置，因為HTTP使用的身份識別協議相當于向整個網絡發送一個未加密的口令。然而，HTTP協議中沒有一個用于驗證口令或者一次性口令的有效規定。④限制邏輯訪問。限制邏輯訪問主要借助于合理處置訪問控制列表，限制遠程終端會話有助于防止黑客獲得系統邏輯訪問。SSH是優先的邏輯訪問方法，但如果無法避免Telnet，不妨使用終端訪問控制，以限制只能訪問可信主機。因此，用戶需要給Telnet在路由器上使用的虛擬終端端口添加一份訪問列表。⑤封鎖ICMP ping請求。控制消息協議(ICMP)有助于排除故障，識別正在使用的主機，這樣為攻擊者提供了用來瀏覽網絡設備、確定本地時間戳和網絡掩碼以及對OS修正版本作出推測的信息。因此通過取消遠程用戶接收ping請求的應答能力，就能更容易的避開那些無人注意的掃描活動或者防御那些尋找容易攻擊的目標的“腳本小子”(script kiddies)。⑥關閉IP源路由。IP協議允許一臺主機指定數據包通過你的網絡路由，而不是允許網絡組件確定最佳的路徑。這個功能的合法應用是診斷連接故障。但是，這種用途很少得到應用，事實上，它最常見的用途是為了偵察目的對網絡進行鏡像，或者用于攻擊者在專用網絡中尋找一個后門。除非指定這項功能只能用于診斷故障，否則應該關閉這個功能。⑦監控配置更改。用戶在對路由器配置進行改動之后，需要對其進行監控。如果用戶使用SNMP，那么一定要選擇功能強大的共用字符串，最好是使用提供消息加密功能的SNMP。如果不通過SNMP管理對設備進行遠程配置，用戶最好將SNMP設備配置成只讀。拒絕對這些設備進行寫訪問，用戶就能防止黑客改動或關閉接口。 此外，用戶還需將系統日志消息從路由器發送至指定服務器。

　　總之，路由器在網絡中起著舉足輕重的作用，它工作在網絡層，可以確定網絡上各個數據包的目的地址，并將數據包發往通向目的地的最短路徑上，同時路由器還可以過濾數據包。

　　參考文獻：

　　[1]尚曉航等.Internet 技術與應用.中國鐵道出版社.2007年.

　　IT動力源 路由器配置與測試

　　論文刊發須知：《網絡安全技術與應用》雜志成立于2003年，先由中華人民共和國公安部主管、中國人民公安大學出版社主辦。從2009年起，本刊改由中華人民教育部主管，北京大學出版社主辦，是國內網絡安全技術與應用領域行業指導性科技月刊，國內外公開發行。本刊系“三高兩強”刊物，即信息量高、學術水平高、技術含量高;專業性強、應用性強。