路由器配置主要是對路由器進行基本的調(diào)試，讓我們以后的使用更加的方便快捷。根據(jù)RFC 2267規(guī)定，互聯(lián)網(wǎng)服務(wù)提供商（ISP）必須在網(wǎng)絡(luò)上使用類似這一類的過濾。注意末尾處ACL包含permit ip any any的方式。在“真實世界”中，你在進行路由器配置中可能擁有一個狀態(tài)式防火墻（stateful fireful），它可以保護你的內(nèi)部局域網(wǎng)。

當然你可以在這方面更進一步，即過濾所有來自內(nèi)網(wǎng)中其他子網(wǎng)的進站信息，以便保證沒有人在一個子網(wǎng)內(nèi)向其它子網(wǎng)進行IP地址欺騙。你還可以實施出站ACL來防止你的網(wǎng)絡(luò)中的用戶仿冒其他網(wǎng)絡(luò)的IP地址。不過記住這只是整個網(wǎng)絡(luò)安全策略中的一個方面。

使用反向路徑轉(zhuǎn)發(fā)（reverse path forwarding，即IP驗證）

另一個避免IP地址欺騙的方法是使用反向路徑轉(zhuǎn)發(fā)（RPF），或者叫IP驗證。在Cisco IOS中，反向路徑轉(zhuǎn)發(fā)的命令以ip verify開頭。RPF的工作原理和反垃圾郵件解決方案非常類似。反垃圾郵件解決方案收到了郵件消息后，先提出源郵件地址，然后執(zhí)行向發(fā)送服務(wù)器查詢的操作，確定發(fā)送者是否真的在發(fā)出消息的服務(wù)器上存在。如果發(fā)送者不存在，服務(wù)器則丟棄該郵件消息，因為根本就沒法回復(fù)這種消息，而且大體上屬于垃圾郵件。

RPF對數(shù)據(jù)包所作的操作與此類似。它從互聯(lián)網(wǎng)收到數(shù)據(jù)包，取出源IP地址，然后查看該路由器配置中的路由表中是否有該數(shù)據(jù)包的路由信息。如果路由表中沒有其用于數(shù)據(jù)返回的路由器配置信息，那么極有可能是某人偽造了該數(shù)據(jù)包，于是路由便把它丟棄。下面是在路由器配置RPF的方法：
Router(config)# ip cef
Router(config)# int serial0/0
Router(config-if)# ip verify unicast reverse-path

注意這對多重網(wǎng)絡(luò)（multi-homed network）沒有效果。保護私網(wǎng)不受來自互聯(lián)網(wǎng)的攻擊很重要。這三個方法對于防御IP地址欺騙已能起巨大效果。