一、上网行为管理产品

如果说路由器 实现了企业内部网与Internet的互联互通，那么网络层防火墙就是企业内部网与Internet互联互通上的过滤岗哨，它根据数据包的性质(数据包的 性质有目地和源IP地址、源和目的TCP/UDP端口、TCP包的ACK位、出站和入站网络接口等。)进行包过滤，主要发挥在网络层的访问控制保障作用。

网络层防火墙在20世纪90年代推向市场，设计策略遵循安全防范的基本原则是“除非明确允许，否则就禁止”。为了实现企业内部网与Internet的互 联互通，以满足企业基本Internet应用的需求，通常网络层防火墙对外开放了80、443、25、110和21等http、https、smtp、 pop3和FTP这几种协议常用的标准端口。

然而，如今随着网络技术的发展，80、443、25、110和21端口不再仅仅是常用的 http、https、smtp、pop3和FTP等应用协议使用的专利，越来越多的应用可以自动扫描防火墙的开放端口进行通信，例如IM、P2P、流媒 体、网络游戏、网络炒股等Internet应用，同时网络威胁的散布与攻击技术也不再限于网络层，而上升到基于http、 https、smtp、pop3和FTP等应用协议的数据包中。这样一来传统网络层防火墙基于数据包性质的过滤规则，就没法检测数据包的内容，也就无法分 析检测过滤出其中的网络应用威胁。

于是为了防御网络层防火墙通常所开放的这5个常用Internet应用协议所带来的网络威胁，像木 马、病毒、间谍软件等，出现了防病毒网关(这是国内的叫法，国外叫Anti-malware网关)。同时出现的还有上网行为管理产品，对IM，P2P，流 媒体，网络游戏，网络炒股、web2.0站点等加以管控，他的强项在于对于网络应用的管理，而并非防御网络应用威胁。Web安全网关最早出现是在防病毒网 关的基础上增加了对 URL的分类过滤，主要实现对http、https、FTP、SMTP、POP3等应用协议的安全与web内容过滤管控。

二、如何设置路由器上防止DDoS攻击

1、使用访问控制列表（ACL）过滤RFC 1918中列出的所有地址：参考以下例子：

interface xy 　　

ip access-group 101 in 　　

access-list 101 deny ip 10.0.0.0 0.255.255.255 any 　　

access-list 101 deny ip 192.168.0.0 0.0.255.255 any 　　

access-list 101 deny ip 172.16.0.0 0.15.255.255 any 　　

access-list 101 permit ip any any 　　

2、参照RFC 2267，使用访问控制列表（ACL）过滤进出报文：参考以下例子：

{ISP中心} -- ISP端边界路由器 -- 客户端边界路由器 -- {客户端网络} 　　ISP端边界路由器应该只接受源地址属于客户端网络的通信，而客户端网络则应该只接受源地址未被客户端网络过滤的通信。

以下是ISP端边界路由器的访问控制列表（ACL）例子： 　　

access-list 190 permit ip {客户端网络} {客户端网络掩码} any 　　

access-list 190 deny ip any any [log] 　　

interface {内部网络接口} {网络接口号} 　　

ip access-group 190 in 　　

以下是客户端边界路由器的ACL例子： 　　

access-list 187 deny ip {客户端网络} {客户端网络掩码} any 　　

access-list 187 permit ip any any 　　

access-list 188 permit ip {客户端网络} {客户端网络掩码} any 　　

access-list 188 deny ip any any 　　

interface {外部网络接口} {网络接口号} 　　

ip access-group 187 in 　　

ip access-group 188 out 　　

如果打开了CEF功能，通过使用单一地址反向路径转发（Unicast RPF），能够充分地缩短访问控制列表（ACL）的长度以提高路由器性能。为了支持Unicast RPF，只需在路由器完全打开CEF；打开这个功能的网络接口并不需要是CEF交换接口。

3、使用CAR（Control Access Rate）限制ICMP数据包流量速率 　　参考以下例子： 　　

interface xy 　　

rate-limit output

access-group 2020 3000000 512000 786000 conform-action 　　

transmit exceed-action drop 　　

access-list 2020 permit icmp any any echo-reply 　　请参阅IOS Essential Features 获取更详细资料。