路由器经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在网络之外。而对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。

通过以下这些设置路由器步骤能够保证你拥有一道保护你的网络的砖墙，用来保护网络的安全。

一、审阅安全记录

路由器一般情况下，位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。

通过其内置的防火墙功能审阅路由器记录是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。

利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的网络安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。

二、保持路由器的物理安全

路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据，所以路由器比集线器更安全。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。

确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

三、建立准许进入和外出的地址过滤政策

在边界路由器上建立政策，可以根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。

来自互联网外部的通信的源地址应该不是你的内部网络的一部分，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类(classE)地址段240.0.0.0-254.255.255.255。

四、关闭路由器的HTTP设置

HTTP协议中没有一个用于验证口令或者一次性口令的有效规定，而HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。

这种未加密的口令对于你从远程位置(例如家里)设置你的路由器，其他人也照样可以。如果使用默认的口令，还必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。

五、封锁ICMPping请求

通过取消远程用户接收ping请求的应答能力，更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”(scriptkiddies)。

ping的主要目的是识别目前正在使用的主机，通常用于更大规模的协同性攻击之前的侦察活动。

这样做实际上并不能保护你的网络不受攻击，但可使你不太可能成为一个攻击目标。

六、数据包过滤的需求

封锁端口是根据你对网络安全水平的要求对于你的网络是合适的。

大多数网络将通过使用按拒绝请求实施过滤的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举攻击。封锁31337(TCP和UDP)端口将使BackOrifice木马程序更难攻击你的网络。

对于高度网络安全特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。

这项工作应该在网络规划阶段确定，这时候网络安全水平的要求应该符合网络用户的需求。查看这些端口的列表，可以了解这些端口正常的用途。

七、关闭IP源路由

IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径，用于诊断连接故障。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

最常用的用途是为了侦察目的对你的网络进行镜像或者用于攻击者在你的专用网络中寻找一个后门。

八、关闭IP直接广播(IPDirectedBroadcast)

Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个ICMPecho请求，这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。

九、修改默认的口令

网络上有大多数路由器的广泛的默认口令列表，80%的网络安全突破事件是由薄弱的口令引起的。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。

通过以上九个路由器的功能设置，我们可以有效保护网络安全，尽可能的做到万无一失。