本文針對路由器ICMP的最新攻擊給予了應對方法的講解，下面將給予詳細的講解。

在最近發表的一個IOS安全公告里，Cisco警告稱在Internet上使用的一個公共管理協議可以被利用來發動針對Cisco 路由器或其他基于IP的設備的拒絕服務攻擊。

該安全公告對基于Internet控制報文協議（ICMP）的潛在攻擊發出了警告，攻擊可能導致基于IOS的設備不可訪問。思科的安全公告是根據英國國家基礎設施安全協調中心（NIS CC）發布的一份通報提出的，而NISCC發布的通報則是參考了IETF網站發表的一份描寫ICMP如何被用于發起針對TCP通信的DoS攻擊的文檔。

ICMP是TCP/IP協議族的一個子協議，用于在IP主機、路由器之間傳遞控制消息。控制消息是指網絡通不通、主機是否可達、路由是否可用等網絡本身的消息。據IETF文檔說，攻擊者有可能給運行TCP的設備發送某些ICMP“硬件錯誤”消息，導致設備重置TCP連接或降低TCP連接的吞吐率。如果反復發送這樣的ICMP消息，設備就可能變得對網絡不可訪問。IETF文檔還概述了利用路徑最大傳輸單元發現（PMTUD）的另一種DoS攻擊方法。PMTUD是ICMP的一個處理錯誤消息的機制。

Cisco表示，只有運行啟用了PMTUD的IOS的路由器和其他設備才會受到這種攻擊。它指出ICMP“硬件錯誤”消息攻擊對思科設備無效。不過，所有版本的IOS（10.x、11.x和12.x）易受基于PMTUD的攻擊。其他不基于IOS的設備也易受攻擊，包括思科Aironet WLAN設備、堆疊式和機架式Catalyst交換機和ONS光網絡設備。

Cisco表示，在運行IPv4的IOS設備中PMTUD默認是禁用的，但在運行IPv6或IPSec的IOS設備中PMTUD默認是啟用的，如VPN設備和PIX安全應用設備。Cisco警告說，他的基于IOS-XR操作系統的CRS-1互聯網路由器是易受PMTUD攻擊和ICMP“硬錯誤”消息攻擊。（PMTUD在IOS-XR中默認是禁用的）。

Cisco已經針對這些漏洞發布了軟件補丁程序。同時，Cisco表示在Cisco設備中禁用PMTUD也是解決問題的一個辦法。
 

【編輯推薦】

1. 詳細解釋思科路由器trace命令
2. 詳細探究思科路由器全局調試方法
3. 各種思科路由器模式全解
4. 看思科路由器如何引領路由行業發展
5. 看思科路由器的未來發展戰略