|
|
|
|
|
|
|
|
|
|
|
路由器是网络系统中的核心设备，其安全性直接影响着整个网络。目前，路由器面临的威胁有路由信息交换的篡改和伪造、路由器管理信息泄露、路由器非法访问等。为了解决路由器的安全问题，密码学现已被广泛应用到路由器的安全防范工作中，其主要用途如下。
|
|
|
|
|
|
为了路由器口令的安全存储，路由器先用MD5对管理员口令信息进行Hash计算，然后再保存到路由器配置文件中。
|
|
|
|
|
|
远程访问路由器常用Telnet，但Telnet容易泄露敏感的口令信息，因此，管理员为增强路由器的安全管理，使用SSH替换Telnet。
|
|
|
|
|
|
路由器之间需要进行路由信息的交换，以保证网络路由正常进行，因此需要路由器之间发送路由更新包。为了防止路由欺诈，路由器之间对路由更新包都进行完整性检查，以保证路由完整性。目前，路由器常用MD5-HMAC来实现。如果路由信息在传输过程中被篡改了，接收路由器通过重新计算收到路由信息的Hash值，然后与发送路由器的路由信息的Hash值进行比较，如果两个Hash值不相同，则接收路由器拒绝路由更新包，如下图所示。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
在网络管理中，最为常用的就是net命令家族。常用的net命令有以下几个。
|
|
|
|
.net view命令：显示由指定的计算机共享的域、计算机或资源的列表。
|
|
|
|
.net share：用于管理共享资源，使网络用户可以使用某一服务器上的资源。
|
|
|
|
.net use命令：用于将计算机与共享的资源相连接或断开，或者显示关于计算机连接的信息。
|
|
|
|
.net start命令：用于启动服务，或显示已启动服务的列表。
|
|
|
|
|
|
.net user命令：可用来添加或修改计算机上的用户账户，或者显示用户账户的信息。
|
|
|
|
.net config命令：显示正在运行的可配置服务，或显示和更改服务器服务或工作站服务的设置。
|
|
|
|
.net send命令：用于将消息（可以是中文）发送到网络上的其他用户、计算机或者消息名称上。
|
|
|
|
.net localgroup命令：用于添加、显示或修改本地组。
|
|
|
|
.net accounts命令：可用来更新用户账户数据库、更改密码及所有账户的登录要求。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Internet的内部路由协议经过了几次大的变化。最初的RIP（路由选择信息协议）是基于Bellman-Ford算法的延迟矢量协议。这个协议在网络规模不大时工作得较好，当网络规模扩大后，因为交换的路由信息太多而显得效率很低。于是，在1979年5月被另一个路由协议——基于Dijkstra算法的链路状态协议所取代。从1988年开始，IETF开始研制新的路由协议，这就是OSPF（开放最短路径优先）协议。1990年，OSPF正式成为新的内部路由协议标准。
|
|
|
|
OSPF基本上仍是一种链路状态协议。OSPF的路由器维护一个本地链路状态表，并随时向其他相邻的路由器发送关于链路状态的更新信息。通过周期地扩散传播链路状态信息，每个路由器都记住了关于网络拓扑结构的全局数据库。同时OSPF路由器根据用户指定的链路费用标准（延迟、带宽或收费率等）计算最短通路，由到达各个目标的最短通路构成路由表。OSPF报文包含在原始的IP数据报中传送。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
自治系统之间使用EGP，最新的EGP叫作边界网关协议（BGP）。BGP的主要功能是控制路由策略，如是否愿意转发过路的分组等。BGP的报文通过TCP连接传送。BGP报文可实现以下3个功能过程。
|
|
|
|
（1）建立邻居关系。位于不同自治系统中的两个路由器首先要建立邻居关系，然后才能周期性地交换路由信息。建立邻居关系的过程是：一个路由器发送open报文，另一个路由器若愿意接受请求，则以keepalive（保持活动状态）报文应答。
|
|
|
|
（2）邻居可达性。这个过程维护邻居关系的有效性。通过周期性地互相发送keepalive报文，双方都知道对方的活动状态。
|
|
|
|
（3）网络可达性。每个路由器保持一个数据库，记录着它可到达的所有子网。当情况有变化时，用更新报文把最新信息及时地广播给所有实现BGP的路由器。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
在一个计算机网络中，当连接不同类型而协议差别又较大的网络时，要选用网关（Gateway）设备。网关的功能体现在OSI模型的最高层，它将协议进行转换，将数据重新分组，以便在两个不同类型的网络系统之间进行通信。由于协议转换是一件复杂的事，一般来说，网关只进行一对一转换，或是少数几种特定应用协议的转换，网关很难实现通用的协议转换。用于网关转换的应用协议有电子邮件、文件传输和远程登录等。
|
|
|
|
网关和多协议路由器组合在一起可以连接多种不同的系统。和网桥一样，网关可以是本地的，也可以是远程的。常见的网关有电子邮件网关、IBM主机网关、因特网网关和局域网网关等。
|
|
|
|
冲突域是连接在同一导线上的所有工作站的集合。这个域代表了冲突在其中发生并传播的区域，这个区域可以被认为是共享段。在OSI模型中，冲突域被看作第一层的概念，连接同一冲突域的设备有集线器（Hub）、中继器（Repeater）或者其他进行简单复制信号的设备。也就是说，用Hub或者Repeater连接的所有节点可以被认为是在同一个冲突域内，它不会划分冲突域。而第二层设备（如网桥、交换机）和第三层设备（如路由器）都可以划分冲突域。
|
|
|
|
广播域是接收同样广播消息的节点集合。由于广播域被认为是OSI中的第二层概念，所以像集线器、交换机等第一层、第二层设备连接的节点被认为都是在同一个广播域。而路由器、第三层交换机则可以划分广播域。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
自治系统是由同构型的网关连接的互联网，这样的系统往往是由一个网络管理中心控制的。自治系统内部的网关之间执行内部网关协议（IGP），互相交换路由信息。IGP是自治系统内部专用的，为特定的应用服务，在自治系统之外是无效的。
|
|
|
|
一个互联网也可能由不同的自治系统互联而成。在这种情况下，不同的自治系统可能采用不同的路由表和不同的路由选择算法。在不同自治系统中的网关之间交换路由信息，要用外部网关协议（EGP）。EGP比IGP传送的信息要少一些，因为EGP只涉及自治系统之间的路由信息，而与系统内部路由无关。EGP以自治系统为节点，通告各个网关可到达哪些系统。
|
|
|
|
|
|
|
|
|
|
|
|
|
