在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息:设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令:nocdprunning或nocdpenable关闭这个服务。

7.阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃。

“IPsource-route”是一个全局配置命令，允许路由器处理带源路由选项标记的数据流。启用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过防火墙。关闭命令如下：noipsource-route。

8.关闭路由器广播包的转发。

SumrfD.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。应在每个端口应用“noipdirected-broadcast”关闭路由器广播包。

9.管理HTTP服务。

HTTP服务提供Web管理接口。“noiphttpserver”可以停止HTTP服务。如果必须使用HTTP，一定要使用访问列表“iphttpaccess-class”命令，严格过滤允许的IP地址，同时用“iphttpauthentication”命令设定授权限制。

10.抵御spoofing(欺骗)类攻击。

使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自外部的包。在路由器端口配置：ipaccess-grouplistinnumber访问控制列表如下：access-listnumberdenyicmpanyanyredirectaccess-listnumberdenyip127.0.0.00.255.255.255anyaccess-listnumberdenyip224.0.0.031.255.255.255anyaccess-listnumberdenyiphost0.0.0.0any注:上述四行命令将过滤BOOTP/DHCP应用中的部分数据包，在类似环境中使用时要有充分的认识。

11.防止包嗅探。

黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码,包括SNMP通信密码，也包括路由器的登录和特权密码，这样网络管理员难以保证网络的安全性。在不可信任的网络上不要用非加密协议登录路由器。如果路由器支持加密协议，请使用SSH或KerberizedTelnet，或使用IPSec加密路由器所有的管理流。