从路由器入手改善网络安全性

路由器往往有不同的角色。例如，一般情况下，一个以太网端口连接到外部网络，四个端口提供到达局域网有线设备的互联网连接，无线发射装置向无线客户端提供访问。无线接口甚至可能提供多种SSID。

路由器通常都将其特性的诸多方面分离来，但在今年的黑帽大会上，黑客展示了攻击大量路由器的方法及破解路由器的可能性。要理解这个问题，就得从IP地址说起。

多数IP地址都位于公网，但是有些IP地址仅保留给内部网络使用。即，任何人都可在其局域网上使用且仅能用于内部的IP地址。这些特定的IP地址是不允许用在公网上的。

最常用的内部IP地址以192.168或10开头。例如，一台连接到路由器内部端口的计算机会将路由器的IP地址看成是192.168.0.1。如今，局域网上的大量路由器都可以使用这个IP地址，因为它可以保证这个地址不会通过路由器传到互联网上。路由器都有一个默认的内部IP地址，路由器的管理员可以将这个地址改为仅能用于内部的任何IP地址。

在将路由器用于互联网上的通信时，它还使用另外一个不同的IP地址，即公网IP地址。路由器的管理员无法控制公网IP地址，它是由把路由器连接到互联网的ISP提供的。

局域网上的所有计算机看似都拥有同一个IP地址。可以认为路由器是所有局域网计算机的“公共发言人”。

这样就出现了安全问题，即路由器无法将公网和私有的特性完全地分离开并保持其独特性。

公网IP地址仅能被互联网上的计算机“看见”，而私有IP地址仅能被局域网上的计算机看到，无论是有线网，还是无线网都应当如此。

如果这道屏障无法得以维持，那么，互联网上的黑手就有可能登录进入路由器，从而导致整个局域网中的全部设备都遭殃。

为修改路由器的配置，局域网的计算机可以通过IP地址来访问。例如，可以键入“http:// 192.168.0.1”，然后键入用户名和口令来访问路由器的配置界面。

通常情况下，仅能根据内部IP地址才能访问路由器。这就确保了仅有局域网上的计算机才能更改其配置。

用户访问的每个网站都知道用户路由器的公网IP地址。当然，用户的ISP也知道。但是，有很多措施可以阻止外部人员登录进入到路由器。

首先，路由器中有一个防火墙，它通常会阻止未经请求的进入通信。此外，路由器有一个远程管理选项，当然，此选项一般是禁用的。

现在，我们就可以理解克雷格.黑夫纳在黑帽大会上所公布的问题了。简言之，他所发现的漏洞准许恶意网页通过公网IP地址访问路由器。

应当对基于局域网的计算机进行限制，使其仅能根据内部地址才能访问路由器。由于远程网站可以轻松地知道你的公网IP地址，这个漏洞准许恶意的黑客登录到你的路由器。

更糟的是，许多人并没有修改其路由器的默认口令。有不少人甚至并不知道路由器还有口令。恶意的黑客随时准备访问路由器的默认口令，并还可以在一定程度上检测你使用的路由器的类型等信息。

在对最初的30台路由器的测试中，克雷格.黑夫纳发现有17台路由器易遭受这种攻击。