校园网通常会部署防火墙来加强对内部网络的保护。路由器则处于防火墙的外部,负责与INTERNET的连接。防火墙重点解决如何有效防范外部非法入侵问题,它总是假定来自内部网络的访问都是合法的、安全的,只有来自外部网络的访问才是不安全的、需要限制的。防火墙技术在一定程度上可以保护内部用户避免受到来自外部的攻击。如何保护一般处于防火墙外部的路由器安全,避免成为攻击者发起攻击的一块跳板,对内部网络安全造成威胁;对于内部用户有可能的非法操作,诸如对学院重要服务器的攻击、对外部网络的攻击、散布非法言论等,如何限制。防火墙技术对这两类问题均无能为力。 位于校园网安全防线防火墙外面的路由器,如果未采取适当的安全防范策略,就可能成为攻击者发起攻击的一块跳板,对内部网络安全造成威胁。CISCO路由器使用分组过滤技术,可以有选择地放行或阻止网络中传输的数据流,以此实现网络安全或流量控制方面的需要。本文在讨论有关分组过滤理论的基础上,分析讨论了网络中现存的安全漏洞以及攻击行为,针对它们的特点,分别利用静态分组过滤技术和动态分组过滤技术,在CISCO路由器上设计实现了安全访问控制策略。通过对比两种分组过滤技术,我们认为静态分组过滤技术是一种非智能过滤技术,只提供对高级攻击的基本保护,但是对系统资源占用较少,适用于分级网络安全模型。通过在防火墙外部的边界路由器中启用静态分组过滤,增加了一层安全屏障,可以有效增强网络安全性。动态分组过滤技术是一种智能过滤技术,可以根据分组属性和状态表进行信息流控制,但是占用系统资源较多。对于资金较为紧张的单位,在没有配置专用防火墙的情况下,