防范內(nèi)網(wǎng)遭受DoS攻擊的策略

盡管網(wǎng)絡安全（服務器租用找：51033397）專家都在著力開發(fā)抗DoS攻擊的辦法，但收效不大，因為DoS攻擊利用了TCP協(xié)議本身的弱點。在交換機上進行設置，并安裝專門的DoS識別和預防工具，能最大限度地 減少DoS攻擊造成的損失。
　　利用三層交換建立全面的網(wǎng)絡安全（服務器租用找：51033397）體系，其基礎必須是以三層交換和路由為核心的智能型網(wǎng)絡，有完善的三層以上的安全（服務器租用找：51033397）策略管理工具。

局域網(wǎng)層

在局域網(wǎng)層上，可采取很多預防措施。例如，盡管完全消除IP分組假冒現(xiàn)象幾乎不可能，但網(wǎng)管可構(gòu)建過濾器，如果數(shù)據(jù)帶有內(nèi)部網(wǎng)的信源地址，則通過限制數(shù)據(jù)輸入流量，有效降低內(nèi)部假冒IP攻擊。過濾器還可限制外部IP分組流，防止假冒IP的DoS攻擊被當作中間系統(tǒng)。

其他方法還有：關閉或限制特定服務，如限定UDP服務只允許于內(nèi)部網(wǎng)中用于網(wǎng)絡診斷目的。

但是，這些限制措施可能給合法應用（如采用UDP作為傳輸機制的RealAudio）帶來負面影響。

網(wǎng)絡傳輸層

以下對網(wǎng)絡傳輸層的控制可對以上不足進行補充。

獨立于層的線速服務質(zhì)量(QoS)和訪問控制 帶有可配置智能軟件、獨立于層的QoS和訪問控制功能的線速多層交換機的出現(xiàn)，改善了網(wǎng)絡傳輸設備保護數(shù)據(jù)流完整性的能力。

在傳統(tǒng)路由器中，認證機制（如濾除帶有內(nèi)部地址的假冒分組）要求流量到達路由器邊緣，并與特定訪問控制列表中的標準相符。但維護訪問控制列表不僅耗時，而且極大增加了路由器開銷。

相比之下，線速多層交換機可靈活實現(xiàn)各種基于策略的訪問控制。

這種獨立于層的訪問控制能力把安全（服務器租用找：51033397）決策與網(wǎng)絡結(jié)構(gòu)決策完全分開，使網(wǎng)管員在有效部署了DoS預防措施的同時，不必采用次優(yōu)的路由或交換拓撲。結(jié)果，網(wǎng)管員和服務供應商能把整個城域網(wǎng)、數(shù)據(jù)中心或企業(yè)網(wǎng)環(huán)境中基于策略的控制標準無縫地集成起來，而不管它采用的是復雜的基于路由器的核心服務，還是相對簡單的第二層交換。此外，線速處理數(shù)據(jù)認證可在后臺執(zhí)行，基本沒有性能延遲。

可定制的過濾和“信任鄰居”機制

智能多層訪問控制的另一優(yōu)點是，能簡便地實現(xiàn)定制過濾操作，如根據(jù)特定標準定制對系統(tǒng)響應的控制粒度。多層交換可把分組推送到指定的最大帶寬限制的特定QoS配置文件上，而不是對可能是DoS攻擊的組制訂簡單的“通過”或“丟棄”決策。這種方式，既可防止DoS攻擊，也可降低丟棄合法數(shù)據(jù)包的危險。

另一個優(yōu)點是能定制路由訪問策略，支持具體系統(tǒng)之間的“信任鄰居”關系，防止未經(jīng)授權(quán)使用內(nèi)部路由。

定制網(wǎng)絡登錄配置

網(wǎng)絡登錄采用惟一的用戶名和口令，在用戶獲準進入前認證身份。網(wǎng)絡登錄由用戶的瀏覽器把動態(tài)億恩科技主機配置協(xié)議（DHCP）遞交到交換機上，交換機捕獲用戶身份，向RADIUS億恩科技服務器發(fā)送請求，進行身份認證，只有在認證之后，交換機才允許該用戶發(fā)出的分組流量流經(jīng)網(wǎng)絡。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]