12、思科边界路由器问题与解决方案

思科边界路由器问题与解决方案

1. 解决合法 IP 地址不足问题

在网络连接中，可能会遇到机器数量多于合法 IP 地址数量的情况。例如，有 500 台机器要连接到互联网，但只有 254 个合法 IP 地址，这显然是个问题。不过，可以使用网络地址转换（NAT）来解决。

NAT 允许使用一组 IP 地址来满足大量客户端的需求。而且，NAT 除了扩展 IP 地址空间外，还能提供额外的安全优势。它可以将内部寻址方案隐藏起来，外部网络只能看到 NAT 设备，其后面的所有设备基本不可见。如果在边界路由器上配置 NAT，就能隐藏所有的内部地址。

NAT 的一个子集——端口地址转换（PAT），通过使用 TCP 和 UDP 端口进行地址转换，进一步扩展了 NAT 的功能。一个互联网 IP 地址最多可支持 64,000 个主机，但思科建议每个地址支持不超过 4,000 个主机。

当遇到合法 IP 地址不足的问题时，解决方案就是使用 NAT。

2. 应对重路由攻击

假设攻击者可以修改路由表，这是非常危险的。最好的情况是攻击者只是闯入网络，最坏的情况则是导致网络的破坏、数据损坏和故障。攻击者有多种方式来破坏路由，最明显的是获取路由器的访问权限，但这并非总是必要的。

以公司网络中的路由器 Lab_A 和 Lab_B 为例，它们通过增强内部网关路由协议（EIGRP）进行通信。当 Lab_A 发现到某个网络的新路径时，会使用 EIGRP 通知 Lab_B，Lab_B 可能会根据此信息更改其路由表。这虽然是动态路由的简单示例，但也展示了网络可能面临的安全风险。

如果攻击者在 Lab_A 和 Lab_B 之间监