防止端口扫描什么意思_防止端口扫描ros

hacker|
334

4wan口实现宽带叠加负载均衡宽带控制的路由器

海蜘蛛 软路由不错看看吧

详细介绍:

优良的性能

海蜘蛛路由基于 Linux 2.6 稳定内核开发,采用嵌入式架构,模块化设计,体积精减、运行高效,具有很高的可靠性、安全性及稳定性,同时具备良好的可扩展性和硬件兼容性。

支持多线路负载均衡

支持最多8个WAN口接入,可以实现ADSL、光纤等方式的自由组合。具备实时备份功能,能实现多线路带宽负载均衡。

支持电信与网通双线策略路由

支持电信、网通双线策略路由,内置电信和网通路由表,可以针对电信或网通进行策略路由,实现电信走电信,网通走网通,有效地解决电信网通互联瓶颈问题。

支持VPN借线功能

单线路由器可通过 PPTP VPN 或 IPIP/GRE 隧道方式拨入另外一台拥有双线路的路由器上,使访问电信或网通走虚拟线路,如同拥有真实的双线路一样,通过借线可以节省高额的带宽接入费用。

专业防火墙

提供常见的内/外网攻击防护,能侦测及阻挡IP欺骗、源路由攻击、DoS等网络攻击,能有效的阻止端口扫描、抵御 TCP-SYN Flood、UDP Flood、ICMP Flood、IP 碎片 Flood 攻击等。

动态防火墙功能,可以设定受到攻击时,自动拦截攻击源、记入防火墙日志、或鸣笛报警。可针对IP地址、端口自定义ACL规则;提供Web防火墙功能,可对指定网址或URL关键字进行过滤。MAC地址和IP绑定功能,ARP攻击监测功能,发现攻击自动纠正ARP信息、声音报警。

灵活多样的端口映射功能,支持静态映射、UPNP自动映射、DMZ主机,支持端口回流(SNAT)。

QoS带宽管理控制

支持上传/下载分别限速、支持共享限速和单机限速、支持规则优先级、剩余带宽抢占优先级。 弹性、灵活、智能的带宽管理和分配方式,内置 Qos 规则,保证小包优先快速转发。可针对源IP、源端口、目的IP、目的端口设定限速规则,满足各种限速需求。

可通过 Web、SSH 客户端查看路由的实时流量状态(单机的上传、下载速率)、各网卡的实时流出流入或总流量

PPPoE服务器功能

支持客户机通过 PPPoE 拨号方式接入 Internet。可强制所有或部分客户使用 PPPoE 方式上网;可针对每个 PPPoE 拨号限制上传、下载带宽,并可以通过 Web 方式查看拨号连接状态;提供断开指定拨号连接功能(强制踢用户下线)。

支持 PPPoE RADIUS 认证,可绑定客户机 MAC 地址,及限制同一帐户同时拨号人数,并可以为指定用户分配固定IP地址。

易于实施与维护

系统采用全中文配置,同时每项配置均有帮助提示,使得操作简单易上手。系统具有多重自我保护功能,当核心进程(比如Web配置程序)意外终止时,系统会自动再次启动此程序;当内核出错或系统负载过重(接近死机状态)时,路由器会自动重新启动进行恢复。

高效IO设计/冗余备份

系统启动时直接载入内存运行,执行速度更快,意外断电不会伤害到硬盘。在安装或升级时,系统会自动建立备份镜像文件及配置信息,当主镜像文件或配置信息载入出错时,系统会自动加载备份文件,提供冗余

请问路由器防火墙该如何设置?

如果你是个人电脑,里面没什么重要的私人资料,只开启防病毒设置

就可以了,如果你的电脑里面有很重要的资料,建议全部开启。

其实路由器是带硬件防火墙的,不怕黑客攻击的,不需要设置。

PS:瑞星防火墙就算了,要用防火墙推荐天网和趋势科技的。

其实对个人而言开个防火墙,装个杀毒就可以了,没必要弄的你们复杂。被黑的可能其实是很小的。

在ROS2.86里如何防止外网UDP攻击?

用路由器实现端口和IP进行限制。或者防护墙进行过滤首先你要知道对方的IP地址(对你实行攻击的IP,和攻击的端口) 然后才进行过滤

高分求解。懂routeros的进来!遭遇DDOS!

DOS(Denial of Service)攻击是一种很简单但又很有效的进攻方式,能够利用合理的服务请求来占用过多的服务资源,从而使合法用户无法得到服务。DDOS(Distributed Denial of Service)是一种基于DOS的特殊形式的拒绝服务攻击,攻击者通过事先控制大批傀儡机,并控制这些设备同时发起对目标的DOS攻击,具有较大的破坏性。

常见的DOS/DDOS攻击可以分为两大类:一类是针对系统漏洞的的攻击如Ping of Death、TearDrop等,例如泪滴(TearDrop)攻击利用在 TCP/IP协议栈实现中信任IP碎片中的包的标题头所包含的信息来实现攻击,IP 分段含有指示该分段所包含的是原包的哪一段信息,某些 TCP/IP协议栈(例如NT 在service pack 4 以前)在收到含有重叠偏移的伪造分段时将崩溃。另一类是带宽占用型攻击比较典型的如UDP flood 、SYN flood、ICMP flood等,SYN Flood具有典型意义,利用TCP协议建连的特点完成攻击。通常一次TCP连接的建立包括3个步骤,客户端发送SYN包给服务器端,服务器分配一定的资源给这里连接并返回 SYN/ACK包,并等待连接建立的最后的ACK包,最后客户端发送ACK报文,这样两者之间的连接建立起来,并可以通过连接传送资料了。而SYN Flood攻击的过程就是疯狂发送SYN报文,而不返回ACK报文,服务器占用过多资源,而导致系统资源占用过多,没有能力响应别的操作,或者不能响应正常的网络请求。

从现在和未来看,防火墙都是抵御DOS/DDOS攻击的重要组成部分,这是由防火墙在网络拓扑的位置和扮演的角色决定的,下面以港湾网络有限公司基于NP架构开发的SmartHammer系列防火墙说明其在各种网络环境中对DOS/DDOS攻击的有效防范。

1、基于状态的资源控制,保护防火墙资源

港湾网络SmartHammer防火墙支持IP Inspect功能,防火墙会对进入防火墙的资料做严格的检查,各种针对系统漏洞的攻击包如Ping of Death、TearDrop等,会自动被系统过滤掉,从而保护了网络免受来自于外部的漏洞攻击。对防火墙产品来说,资源是十分宝贵的,当受到外来的DDOS攻击时,系统内部的资源全都被攻击流所占用,此时正常的资料报文肯定会受到影响。SmartHammer基于状态的资源控制会自动监视网络内所有的连接状态,当有连接长时间未得到应答就会处于半连接的状态,浪费系统资源,当系统内的半连接超过正常的范围时,就有可能是判断遭受到了攻击。SmartHammer防火墙基于状态的资源控制能有效控制此类情况。

控制连接、与半连的超时时间;必要时,可以缩短半连接的超时时间,加速半连接的老化;

限制系统各个协议的最大连接值,保证协议的连接总数不超过系统限制,在达到连接上限后删除新建的连接;

限制系统符合条件源/目的主机连接数量;

针对源或目的IP地址做流限制,Inspect可以限制每个IP地址的的资源,用户在资源控制的范围内时,使用并不会受到任何影响,但当用户感染蠕虫病毒或发送攻击报文等情况时,针对流的资源控制可以限制每个IP地址发送的连接数目,超过限制的连接将被丢弃,这种做法可以有效抑制病毒产生攻击的效果,避免其它正常使用的用户受到影响。

单位时间内如果穿过防火墙的“同类”数据流超过门限值后,可以设定对该种类的数据流进行阻断,对于防止IP、ICMP、UDP等非连接的flood攻击具有很好的防御效果。

2、智能TCP代理有效防范SYN Flood

SYN Flood是DDOS攻击中危害性最强,也是最难防范的一种。这种攻击利用TCP协议缺陷,发送大量伪造的TCP连接请求,从而使得被攻击方资源耗尽(CPU满负荷或内存不足)。SmartHammer系列防火墙能够利用智能TCP代理技术,判断连接合法性,保护网络资源。如图

防火墙工作时,并不会立即开启TCP代理(以免影响速度),只有当网络中的TCP半连接达到系统设置的TCP代理启动警戒线时,正常TCP Intercept会自动启动,并且当系统的TCP半连接超过系统TCP Intercept高警戒线时,系统进入入侵模式,此时新连接会覆盖旧的TCP连接;此后,系统全连接数增多,半连接数减小,当半连接数降到入侵模式低警戒线时,系统推出入侵模式。如果此时攻击停止,系统半连接数量逐渐降到TCP代理启动警戒线以下,智能TCP代理模块停止工作。通过智能TCP代理可以有效防止SYN Flood攻击,保证网络资源安全。

3、利用NETFLOW对DOS攻击和病毒监测

网络监控在抵御DDOS攻击中有重要的意义。SmartHammer防火墙支持NetFlow功能,它将网络交换中的资料包识别为流的方式加以记录,并封装为UDP资料包发送到分析器上,这样就为网络管理、流量分析和监控、入侵检测等提供了丰富的资料来源。可以在不影响转发性能的同时记录、发送NetFlow信息,并能够利用港湾网络安全管理平台对接收到的资料进行分析、处理。

利用NetFlow监视网络流量。防火墙可以有效的抵御DDOS攻击,但当攻击流数量超过一定程度,已经完全占据了带宽时,虽然防火墙已经通过安全策略把攻击数据包丢弃,但由于攻击数据包已经占据了所有的网络带宽,正常的用户访问依然无法完成。此时网络的流量是很大的,SmartHammer防火墙可以利用内置的NetFlow统计分析功能,查找攻击流的数据源,并上报上级ISP,对数据流分流或导入黑洞路由。通过在防火墙相关接口下开启NetFlow采集功能,并设置NETFLOW输出服务器地址,这样就可以利用港湾安全管理平台对接收的资料进行分析处理。我们可以用此方法统计出每天流量的TOP TEN或者业务的TOP TEN等,以此做为标准,当发现网络流量异常的时候,就可以利用NetFlow有效的查找、定位DDOS攻击的来源。

利用NetFlow监视蠕虫病毒。防止蠕虫病毒的攻击,重要的是防止蠕虫病毒的扩散,只有尽早发现,才可以迅速采取措施有效阻止病毒。各种蠕虫病毒在感染了系统后,为了传播自身,会主动向外发送特定的数据包并扫描相关端口。利用这个特性,港湾网络在安全管理平台上建立相关的蠕虫病毒查询模板,定期查询,当发现了匹配的资料时,可以分析该地址是否已经感染病毒,然后采取相应的措施。

值得指出的是,防火墙在网络拓扑中的位置对抵御攻击也有很大影响,通常盒式防火墙被设计放置在网络的出口,这种情况下,虽然防火墙能够抵御从外部产生的攻击,但一旦网络内部的PC通过浏览网页、收发Email、下载等方式感染蠕虫病毒或有人从内部发起的恶意攻击时,防火墙是没有防护能力的。

港湾网络的SmartHammer ESP-FW防火墙模块可以解决此类问题,ESP-FW是港湾网络BigHammer6800系列交换机的一个安全模块,它继承了SmartHammer盒式防火墙的相关安全特性内置于交换机中,有效抵御来自内部网络的攻击。在插入了防火墙模块后,交换机可以选择将相关VLAN加入防火墙中,受防火墙保护。以VLAN做为保护对象的另一大优点是利于网络扩展,当有一个新增部门出现时,我们不需要再增加投资就可以使新增部门得到保护,网络部署异常灵活。这样当内部网络中出现异常数据流时,防火墙可以有效限制该数据的转发,保护其他VLAN不受影响。

笔者公司共有10台Web服务器,使用Redhat Linux 9作为操作系统,分布在全国各大城市,主要为用户提供HTTP服务。曾经有一段时间不少用户反映有的服务器访问速度缓慢,甚至不能访问,检查后发现是受到了DDoS攻击(分布式拒绝服务攻击)。由于服务器分布太散,不能采用硬件防火墙的方案,虽然IPtables功能很强大,足以应付大部分的攻击,但Linux系统自身对DDoS攻击的防御力本来就弱,只好另想办法了。

一、Freebsd的魅力

发现Freebsd的好处是在一次偶然的测试中,在LAN里虚拟了一个Internet,用一台Windows客户端分别向一台Windows Server、Linux Server和一台Freebsd在无任何防范措施的情况下发送Syn Flood数据包(常见的DDoS攻击主要靠向服务器发送Syn Flood数据完成)。Windows在达到10个包的时候就完全停止响应了,Linux在达到10个数据包的时候开始连接不正常,而Freebsd却能承受达100个以上的Syn Flood数据包。笔者决定将公司所有的Web服务器全换为Freebsd平台。

在使用Freebsd后,的确过了一段时间的安稳日子。不过近日又有用户再次反映网站不能正常访问,表现症状为用户打开网页速度缓慢,或者直接显示为找不到网站。用netstat ?Ca查看到来自某IP的连接刚好50个,状态均为FIN_WAIT 1,这是属于明显的DDoS攻击,看来Freebsd没有防火墙也不是万能的啊,于是就想到了装防火墙。

看了N多资料,了解到Freebsd下最常见的防火墙叫IP FireWall,中文字面意思叫IP防火墙,简称IPFW。但如果要使用IPFW则需要编译Freebsd系统内核。出于安全考虑,在编译结束后,IPFW是默认拒绝所有网络服务,包括对系统本身都会拒绝,这下我就彻底“寒”了,我放在外地的服务器可怎么弄啊?

大家这里一定要小心,配置稍不注意就可能让你的服务器拒绝所有的服务。笔者在一台装了Freebsd 5.0 Release的服务器上进行了测试。

二、配置IPFW

其实我们完全可以把安装IPFW看作一次软件升级的过程,在Windows里面,如果要升级一款软件,则需要去下载升级包,然后安装;在Freebsd中升级软件过程也是如此,但我们今天升级的这个功能是系统本身已经内置了的,我们只需要利用这个功能即可。打开这个功能之前,我们还要做一些准备工作。

下面开始配置IPFW的基本参数。

Step1:准备工作

在命令提示符下进行如下操作:

#cd /sys/i386/conf

如果提示没有这个目录,那说明你的系统没有安装ports服务,要记住装上。

#cp GENERIC ./kernel_IPFW

Step2:内核规则

用编辑器打开kernel_IPFW这个文件,在该文件的末尾加入以下四行内容:

options IPFIREWALL

将包过滤部分的代码编译进内核。

options IPFIREWALL_VERBOSE

启用通过Syslogd记录的日志;如果没有指定这个选项,即使你在过滤规则中指定了记录包,也不会真的记录它们。

options IPFIREWALL_VERBOSE_LI

MIT=10

限制通过Syslogd记录的每项包规则的记录条数。如果你受到了大量的攻击,想记录防火墙的活动,但又不想由于Syslog洪水一般的记录而导致你的日记写入失败,那么这个选项将会很有用。有了这条规则,当规则链中的某一项达到限制数值时,它所对应的日志将不再记录。

options IPFIREWALL_DEFAULT_TO

_ACCEPT

这句是最关键的。将把默认的规则动作从 “deny” 改为 “allow”。这句命令的作用是,在默认状态下,IPFW会接受任何的数据,也就是说服务器看起来像没有防火墙一样,如果你需要什么规则,在安装完成后直接添加就可以了。

输入完成后保存kernel_IPFW文件并退出。

ros 做端口映射 时通时不通

你的ros是多线叠加的吗?是的话要在mangle加多以条策略,定向一下要映射的ip走那一条出口。

如:

/ip firewall mangle add action=mark-routing chain=prerouting disabled=yes new-routing-mark=出口 passthrough=no src-address=映射IP

0条大神的评论

发表评论