一、如何防止黑客用IP攻擊

最直接 的 方法 就是 關(guān)閉 一些 安全隱患比較 大 的 服務(wù) 和 端口默認(rèn)情況下，Windows有很多端口是開(kāi)放的，在你上網(wǎng)的時(shí)候，網(wǎng)絡(luò)病毒和黑客可以通過(guò)這些端口連上你的電腦。

為了讓你的系統(tǒng)變?yōu)殂~墻鐵壁，應(yīng)該封閉這些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后門(mén)端口（如 TCP 2745、3127、6129 端口），以及遠(yuǎn)程服務(wù)訪問(wèn)端口3389.下面介紹如何在WinXP/2000/2003下關(guān)閉這些網(wǎng)絡(luò)端口： 第一步，點(diǎn)擊“開(kāi)始”菜單/設(shè)置/控制面板/管理工具，雙擊打開(kāi)“本地安全策略”，選中“IP 安全策略，在本地計(jì)算機(jī)”，在右邊窗格的空白位置右擊鼠標(biāo)，彈出快捷菜單，選擇“創(chuàng)建 IP 安全策略”（如右圖），于是彈出一個(gè)向?qū)А?/p>

在向?qū)е悬c(diǎn)擊“下一步”按鈕，為新的安全策略命名；再按“下一步”，則顯示“安全通信請(qǐng)求”畫(huà)面，在畫(huà)面上把“激活默認(rèn)相應(yīng)規(guī)則”左邊的鉤去掉，點(diǎn)擊“完成”按鈕就創(chuàng)建了一個(gè)新的IP 安全策略。

第二步，右擊該IP安全策略，在“屬性”對(duì)話框中，把“使用添加向?qū)А弊筮叺你^去掉，然后單擊“添加”按鈕添加新的規(guī)則，隨后彈出“新規(guī)則屬性”對(duì)話框，在畫(huà)面上點(diǎn)擊“添加”按鈕，彈出IP篩選器列表窗口；在列表中，首先把“使用添加向?qū)А弊筮叺你^去掉，然后再點(diǎn)擊右邊的“添加”按鈕添加新的篩選器。

第三步，進(jìn)入“篩選器屬性”對(duì)話框，首先看到的是尋址，源地址選“任何 IP 地址”，目標(biāo)地址選“我的 IP 地址”；點(diǎn)擊“協(xié)議”選項(xiàng)卡，在“選擇協(xié)議類(lèi)型”的下拉列表中選擇“TCP”，然后在“到此端口”下的文本框中輸入“135”，點(diǎn)擊“確定”按鈕（如左圖），這樣就添加了一個(gè)屏蔽 TCP 135（RPC）端口的篩選器，它可以防止外界通過(guò)135端口連上你的電腦。

點(diǎn)擊“確定”后回到篩選器列表的對(duì)話框，可以看到已經(jīng)添加了一條策略，重復(fù)以上步驟繼續(xù)添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，為它們建立相應(yīng)的篩選器。

重復(fù)以上步驟添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的篩選器，最后點(diǎn)擊“確定”按鈕。

第四步，在“新規(guī)則屬性”對(duì)話框中，選擇“新 IP 篩選器列表”，然后點(diǎn)擊其左邊的圓圈上加一個(gè)點(diǎn)，表示已經(jīng)激活，最后點(diǎn)擊“篩選器操作”選項(xiàng)卡。

在“篩選器操作”選項(xiàng)卡中，把“使用添加向?qū)А弊筮叺你^去掉，點(diǎn)擊“添加”按鈕，添加“阻止”操作（右圖）：在“新篩選器操作屬性”的“安全措施”選項(xiàng)卡中，選擇“阻止”，然后點(diǎn)擊“確定”按鈕。

第五步、進(jìn)入“新規(guī)則屬性”對(duì)話框，點(diǎn)擊“新篩選器操作”，其左邊的圓圈會(huì)加了一個(gè)點(diǎn)，表示已經(jīng)激活，點(diǎn)擊“關(guān)閉”按鈕，關(guān)閉對(duì)話框；最后回到“新IP安全策略屬性”對(duì)話框，在“新的IP篩選器列表”左邊打鉤，按“確定”按鈕關(guān)閉對(duì)話框。

在“本地安全策略”窗口，用鼠標(biāo)右饜綠砑擁?IP 安全策略，然后選擇“指派”。

于是重新啟動(dòng)后，電腦中上述網(wǎng)絡(luò)端口就被關(guān)閉了，病毒和黑客再也不能連上這些端口，從而保護(hù)了你的電腦。

路由器的設(shè)置：1、關(guān)閉7.9等等端口：關(guān)閉SimpleTCP/IPService,支持以下TCP/IP服務(wù)：CharacterGenerator,Daytime,Discard,Echo,以及QuoteoftheDay。

2、關(guān)閉80口：關(guān)掉WWW服務(wù)。

在“服務(wù)”中顯示名稱(chēng)為"WorldWideWebPublishingService"，通過(guò)Internet信息服務(wù)的管理單元提供Web連接和管理。

3、關(guān)掉25端口：關(guān)閉SimpleMailTransportProtocol(SMTP)服務(wù)，它提供的功能是跨網(wǎng)傳送電子郵件。

4、關(guān)掉21端口：關(guān)閉FTPPublishingService,它提供的服務(wù)是通過(guò)Internet信息服務(wù)的管理單元提供FTP連接和管理。

5、關(guān)掉23端口：關(guān)閉Telnet服務(wù)，它允許遠(yuǎn)程用戶登錄到系統(tǒng)并且使用命令行運(yùn)行控制臺(tái)程序。

6、還有一個(gè)很重要的就是關(guān)閉server服務(wù)，此服務(wù)提供RPC支持、文件、打印以及命名管道共享。

關(guān)掉它就關(guān)掉了win2k的默認(rèn)共享，比如ipc$、c$、admin$等等，此服務(wù)關(guān)閉不影響您的共他操作。

7、還有一個(gè)就是139端口，139端口是NetBIOSSession端口，用來(lái)文件和打印共享，注意的是運(yùn)行samba的unix機(jī)器也開(kāi)放了139端口，功能一樣。

以前流光2000用來(lái)判斷對(duì)方主機(jī)類(lèi)型不太準(zhǔn)確，估計(jì)就是139端口開(kāi)放既認(rèn)為是NT機(jī)，現(xiàn)在好了。

關(guān)閉139口聽(tīng)方法是在“網(wǎng)絡(luò)和撥號(hào)連接”中“本地連接”中選取“Internet協(xié)議(TCP/IP)”屬性，進(jìn)入“高級(jí)TCP/IP設(shè)置”“WINS設(shè)置”里面有一項(xiàng)“禁用TCP/IP的NETBIOS”，打勾就關(guān)閉了139端口。

對(duì)于個(gè)人用戶來(lái)說(shuō)，可以在各項(xiàng)服務(wù)屬性設(shè)置中設(shè)為“禁用”，以免下次重啟服務(wù)也重新啟動(dòng)，端口也開(kāi)放了。

我們一般采用一些功能強(qiáng)大的反黑軟件和防火墻來(lái)保證我們的系統(tǒng)安全，但是有些用戶不具備上述條件。

怎么辦呢？下面就介紹一種簡(jiǎn)易的辦法——通過(guò)限制端口來(lái)幫助大家防止非法入侵。

非法入侵的方式 簡(jiǎn)單說(shuō)來(lái)，非法入侵的方式可粗略分為4種： 1、掃描端口，通過(guò)已知的系統(tǒng)Bug攻入主機(jī)。

2、種植木馬，利用木馬開(kāi)辟的后門(mén)進(jìn)入主機(jī)。

3、采用數(shù)據(jù)溢出的手段，迫使主機(jī)提供后門(mén)進(jìn)入主機(jī)。

4、利用某些軟件設(shè)計(jì)的漏洞，直接或間接控制主機(jī)。

非法入侵的主要方式是前兩種，尤其是利用一些流行的黑客工具，通過(guò)第一種方式攻擊主機(jī)的情況最多、也最普遍；而對(duì)后兩種方式來(lái)說(shuō)，只有一些手段高超的黑客才利用，波及面并不廣泛，而且只要這兩種問(wèn)題一出現(xiàn)，軟件服務(wù)商很快就會(huì)提供補(bǔ)丁，及時(shí)修復(fù)系統(tǒng)。

因此，如果能限制前兩種非法入侵方式，就能有效防止利用黑客工具的非法入侵。

而且前兩種非法入侵方式有一個(gè)共同點(diǎn)，就是通過(guò)端口進(jìn)入主機(jī)。

端口就像一所房子(服務(wù)器)的幾個(gè)門(mén)一樣，不同的門(mén)通向不同的房間(服務(wù)器提供的不同服務(wù))。

我們常用的FTP默認(rèn)端口為21，而WWW網(wǎng)頁(yè)一般默認(rèn)端口是80.但是有些馬虎的網(wǎng)絡(luò)管理員常常打開(kāi)一些容易被侵入的端口服務(wù)，比如139等；還有一些木馬程序，比如冰河、BO、廣外等都是自動(dòng)開(kāi)辟一個(gè)您不察覺(jué)的端口。

那么，只要我們把自己用不到的端口全部封鎖起來(lái)，不就杜絕了這兩種非法入侵嗎？ 限制端口的方法 對(duì)于個(gè)人用戶來(lái)說(shuō)，您可以限制所有的端口，因?yàn)槟静槐刈屇臋C(jī)器對(duì)外提供任何服務(wù)；而對(duì)于對(duì)外提供網(wǎng)絡(luò)服務(wù)的服務(wù)器，我們需把必須利用的端口(比如WWW端口80、FTP端口21、郵件服務(wù)端口25、110等)開(kāi)放，其他的端口則全部關(guān)閉。

這里，對(duì)于采用Windows2000或者WindowsXP的用戶來(lái)說(shuō)，不需要安裝任何其他軟件，可以利用“TCP/IP篩選”功能限制服務(wù)器的端口。

具體設(shè)置如下： 1、右鍵點(diǎn)擊“網(wǎng)上鄰居”，選擇“屬性”，然后雙擊“本地連接”(如果是撥號(hào)上網(wǎng)用戶，選擇“我的連接”圖標(biāo))，彈出“本地連接狀態(tài)”對(duì)話框。

2、點(diǎn)擊[屬性]按鈕，彈出“本地連接屬性”，選擇“此連接使用下列項(xiàng)目”中的“Internet協(xié)議(TCP/IP)”，然后點(diǎn)擊[屬性]按鈕。

3、在彈出的“Internet協(xié)議(TCP/IP)”對(duì)話框中點(diǎn)擊[高級(jí)]按鈕。

在彈出的“高級(jí)TCP/IP設(shè)置”中，選擇“選項(xiàng)”標(biāo)簽，選中“TCP/IP篩選”，然后點(diǎn)擊[屬性]按鈕。

4、在彈出的“TCP/IP篩選”對(duì)話框里選擇“啟用TCP/IP篩選”的復(fù)選框，然后把左邊“TCP端口”上的“只允許”選上(請(qǐng)見(jiàn)附圖)。

這樣，您就可以來(lái)自己添加或刪除您的TCP或UDP或IP的各種端口了。

添加或者刪除完畢，重新啟動(dòng)機(jī)器以后，您的服務(wù)器就被保護(hù)起來(lái)了。

如果只上網(wǎng)瀏覽的話，可以不添加任何端口。

但是要利用一些網(wǎng)絡(luò)聯(lián)絡(luò)工具，比如OICQ的話，就要把“4000”這個(gè)端口打開(kāi)，同理BitComet端口：TCP：8927，UDP：8927 ，如果發(fā)現(xiàn)某個(gè)常用的網(wǎng)絡(luò)工具不能起作用的時(shí)候，請(qǐng)搞清它在您主機(jī)所開(kāi)的端口，然后在“TCP/IP篩選”中添加端口即可。

要改回來(lái)也很簡(jiǎn)單，把最后一個(gè)圖改回缺省設(shè)定，重啟就ok

網(wǎng)絡(luò)端口安全防護(hù)技巧（追加一篇） 計(jì)算機(jī)之間通信是通過(guò)端口進(jìn)行的，例如你訪問(wèn)一個(gè)網(wǎng)站時(shí)，Windows就會(huì)在本機(jī)開(kāi)一個(gè)端口（例如1025端口），然后去連接遠(yuǎn)方網(wǎng)站服務(wù)器的一個(gè)端口，別人訪問(wèn)你時(shí)也是如此。

默認(rèn)狀態(tài)下，Windows會(huì)在你的電腦上打開(kāi)許多服務(wù)端口，黑客常常利用這些端口來(lái)實(shí)施入侵，因此掌握端口方面的知識(shí)，是安全上網(wǎng)必備的技能。

一、常用端口及其分類(lèi) 電腦在Internet上相互通信需要使用TCP/IP協(xié)議，根據(jù)TCP/IP協(xié)議規(guī)定，電腦有256×256（65536）個(gè)端口，這些端口可分為T(mén)CP端口和UDP端口兩種。

如果按照端口號(hào)劃分，它們又可以分為以下兩大類(lèi)： 1.系統(tǒng)保留端口（從0到1023） 這些端口不允許你使用，它們都有確切的定義，對(duì)應(yīng)著因特網(wǎng)上常見(jiàn)的一些服務(wù)，每一個(gè)打開(kāi)的此類(lèi)端口，都代表一個(gè)系統(tǒng)服務(wù)，例如80端口就代表Web服務(wù)。

21對(duì)應(yīng)著FTP，25對(duì)應(yīng)著SMTP、110對(duì)應(yīng)著POP3等（如圖1）。

2.動(dòng)態(tài)端口（從1024到65535） 當(dāng)你需要與別人通信時(shí)，Windows會(huì)從1024起，在本機(jī)上分配一個(gè)動(dòng)態(tài)端口，如果1024端口未關(guān)閉，再需要端口時(shí)就會(huì)分配1025端口供你使用，依此類(lèi)推。

但是有個(gè)別的系統(tǒng)服務(wù)會(huì)綁定在1024到49151的端口上，例如3389端口（遠(yuǎn)程終端服務(wù)）。

從49152到65535這一段端口，通常沒(méi)有捆綁系統(tǒng)服務(wù)，允許Windows動(dòng)態(tài)分配給你使用。

二、如何查看本機(jī)開(kāi)放了哪些端口 在默認(rèn)狀態(tài)下，Windows會(huì)打開(kāi)很多“服務(wù)端口”，如果你想查看本機(jī)打開(kāi)了哪些端口、有哪些電腦正在與本機(jī)連接，可以使用以下兩種方法。

1.利用netstat命令 Windows提供了netstat命令，能夠顯示當(dāng)前的 TCP/IP 網(wǎng)絡(luò)連接情況，注意：只有安裝了TCP/IP協(xié)議，才能使用netstat命令。

操作方法：?jiǎn)螕簟伴_(kāi)始→程序→附件→命令提示符”，進(jìn)入DOS窗口，輸入命令 netstat -na 回車(chē)，于是就會(huì)顯示本機(jī)連接情況及打開(kāi)的端口，如圖2.其中Local Address代表本機(jī)IP地址和打開(kāi)的端口號(hào)（圖中本機(jī)打開(kāi)了135端口），F(xiàn)oreign Address是遠(yuǎn)程計(jì)算機(jī)IP地址和端口號(hào)，State表明當(dāng)前TCP的連接狀態(tài)，圖中LISTENING是監(jiān)聽(tīng)狀態(tài)，表明本機(jī)正在打開(kāi)135端口監(jiān)聽(tīng)，等待遠(yuǎn)程電腦的連接。

如果你在DOS窗口中輸入了netstat -nab命令，還將顯示每個(gè)連接都是由哪些程序創(chuàng)建的。

上圖2中本機(jī)在135端口監(jiān)聽(tīng)，就是由svchost.exe程序創(chuàng)建的，該程序一共調(diào)用了5個(gè)組件（WS2_32.dll、RPCRT4.dll、rpcss.dll、svchost.exe、ADVAPI32.dll）來(lái)完成創(chuàng)建工作。

如果你發(fā)現(xiàn)本機(jī)打開(kāi)了可疑的端口，就可以用該命令察看它調(diào)用了哪些組件，然后再檢查各組件的創(chuàng)建時(shí)間和修改時(shí)間，如果發(fā)現(xiàn)異常，就可能是中了木馬。

2.使用端口監(jiān)視類(lèi)軟件 與netstat命令類(lèi)似，端口監(jiān)視類(lèi)軟件也能查看本機(jī)打開(kāi)了哪些端口，這類(lèi)軟件非常多，著名的有Tcpview、Port Reporter、綠鷹PC萬(wàn)能精靈、網(wǎng)絡(luò)端口查看器等，推薦你上網(wǎng)時(shí)啟動(dòng)Tcpview，密切監(jiān)視本機(jī)端口連接情況，這樣就能?chē)?yán)防非法連接，確保自己的網(wǎng)絡(luò)安全，詳見(jiàn)本刊2005年2月88頁(yè)《讓端口開(kāi)放盡收眼底》一文。

三、關(guān)閉本機(jī)不用的端口 默認(rèn)情況下Windows有很多端口是開(kāi)放的，一旦你上網(wǎng)，黑客可以通過(guò)這些端口連上你的電腦，因此你應(yīng)該封閉這些端口。

主要有：TCP139、445、593、1025 端口和 UDP123、137、138、445、1900端口、一些流行病毒的后門(mén)端口（如 TCP 2513、2745、3127、6129 端口），以及遠(yuǎn)程服務(wù)訪問(wèn)端口3389.關(guān)閉的方法是： ①137、138、139、445端口：它們都是為共享而開(kāi)放的，你應(yīng)該禁止別人共享你的機(jī)器，所以要把這些端口全部關(guān)閉，方法是：?jiǎn)螕簟伴_(kāi)始→控制面板→系統(tǒng)→硬件→設(shè)備管理器”，單擊“查看”菜單下的“顯示隱藏的設(shè)備”，雙擊“非即插即用驅(qū)動(dòng)程序”，找到并雙擊NetBios over Tcpip，在打開(kāi)的“NetBios over Tcpip屬性”窗口中，單擊選中“常規(guī)”標(biāo)簽下的“不要使用這個(gè)設(shè)備（停用）”，如圖3，單擊“確定”按鈕后重新啟動(dòng)后即可。

②關(guān)閉UDP123端口：?jiǎn)螕簟伴_(kāi)始→設(shè)置→控制面板”，雙擊“管理工具→服務(wù)”，停止Windows Time服務(wù)即可。

關(guān)閉UDP 123端口，可以防范某些蠕蟲(chóng)病毒。

③關(guān)閉UDP1900端口：在控制面板中雙擊“管理工具→服務(wù)”，停止SSDP Discovery Service 服務(wù)即可。

關(guān)閉這個(gè)端口，可以防范DDoS攻擊。

④其他端口：你可以用網(wǎng)絡(luò)防火墻來(lái)關(guān)閉，或者在“控制面板”中，雙擊“管理工具→本地安全策略”，選中“IP 安全策略，在本地計(jì)算機(jī)”，創(chuàng)建 IP 安全策略來(lái)關(guān)閉。

四、重定向本機(jī)默認(rèn)端口，保護(hù)系統(tǒng)安全 如果本機(jī)的默認(rèn)端口不能關(guān)閉，你應(yīng)該將它“重定向”。

把該端口重定向到另一個(gè)地址，這樣即可隱藏公認(rèn)的默認(rèn)端口，降低受破壞機(jī)率，保護(hù)系統(tǒng)安全。

例如你的電腦上開(kāi)放了遠(yuǎn)程終端服務(wù)（Terminal Server）端口（默認(rèn)是3389），可以將它重定向到另一個(gè)端口（例如1234），方法是： 1.在本機(jī)上（服務(wù)器端）修改 定位到下列兩個(gè)注冊(cè)表項(xiàng)，將其中的 PortNumber，全部改成自定義的端口（例如1234）即可： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] 2.在客戶端上修改 依次單擊“開(kāi)始→程序→附件→通訊→遠(yuǎn)程桌面連接”，打開(kāi)“遠(yuǎn)程桌面連接”窗口，單擊“選項(xiàng)”按鈕擴(kuò)展窗口，填寫(xiě)完相關(guān)參數(shù)后，單擊“常規(guī)”下的“另存為”按鈕，將該連接參數(shù)導(dǎo)出為.rdp文件。

用記事本打開(kāi)該文件，在文件最后添加一行：server port:i:1234 （這里填寫(xiě)你服務(wù)器自定義的端口）。

以后，直接雙擊這個(gè).rdp 文件即可連接到服務(wù)器的這個(gè)自定義端口了。

常見(jiàn)的p2p端口:現(xiàn)在qq直播非常嚴(yán)重,所以很多網(wǎng)管都在煩這個(gè)問(wèn)題.無(wú)意中得知!封qq直播端口即可解決此問(wèn)題.這東西比BT還BT..封13000-14000的udp 端口。

二、如何設(shè)置路由器上防止DDoS攻擊

1、使用 ip verfy unicast reverse-path 網(wǎng)絡(luò)接口命令 這個(gè)功能檢查每一個(gè)經(jīng)過(guò)路由器的數(shù)據(jù)包。

在路由器的CEF（Cisco Express Forwarding）表該數(shù)據(jù)包所到達(dá)網(wǎng)絡(luò)接口的所有路由項(xiàng)中，如果沒(méi)有該數(shù)據(jù)包源IP地址的路由，路由器將丟棄該數(shù)據(jù)包。

例如，路由器接收到一個(gè)源IP地址為1.2.3.4的數(shù)據(jù)包，如果CEF路由表中沒(méi)有為IP地址1.2.3.4提供任何路由（即反向數(shù)據(jù)包傳輸時(shí)所需的路由），則路由器會(huì)丟棄它。

單一地址反向傳輸路徑轉(zhuǎn)發(fā)（Unicast Reverse Path Forwarding）在ISP（局端）實(shí)現(xiàn)阻止SMURF攻擊和其它基于IP地址偽裝的攻擊。

這能夠保護(hù)網(wǎng)絡(luò)和客戶免受來(lái)自互聯(lián)網(wǎng)其它地方的侵?jǐn)_。

使用Unicast RPF需要打開(kāi)路由器的"CEF swithing"或"CEF distributed switching"選項(xiàng)。

不需要將輸入接口配置為CEF交換（switching）。

只要該路由器打開(kāi)了CEF功能，所有獨(dú)立的網(wǎng)絡(luò)接口都可以配置為其它交換（switching）模式。

RPF（反向傳輸路徑轉(zhuǎn)發(fā)）屬于在一個(gè)網(wǎng)絡(luò)接口或子接口上激活的輸入端功能，處理路由器接收的數(shù)據(jù)包。

在路由器上打開(kāi)CEF功能是非常重要的，因?yàn)镽PF必須依靠CEF。

Unicast RPF包含在支持CEF的Cisco IOS 12.0及以上版本中，但不支持Cisco IOS 11.2或11.3版本。

2、使用訪問(wèn)控制列表（ACL）過(guò)濾RFC 1918中列出的所有地址 參考以下例子： interface xy ip access-group 101 in access-list 101 deny ip 10.0.0.0 0.255.255.255 any access-list 101 deny ip 192.168.0.0 0.0.255.255 any access-list 101 deny ip 172.16.0.0 0.15.255.255 any access-list 101 permit ip any any 3、參照RFC 2267，使用訪問(wèn)控制列表（ACL）過(guò)濾進(jìn)出報(bào)文 參考以下例子： {ISP中心} -- ISP端邊界路由器 -- 客戶端邊界路由器 -- {客戶端網(wǎng)絡(luò)} ISP端邊界路由器應(yīng)該只接受源地址屬于客戶端網(wǎng)絡(luò)的通信，而客戶端網(wǎng)絡(luò)則應(yīng)該只接受源地址未被客戶端網(wǎng)絡(luò)過(guò)濾的通信。

以下是ISP端邊界路由器的訪問(wèn)控制列表（ACL）例子： access-list 190 permit ip {客戶端網(wǎng)絡(luò)} {客戶端網(wǎng)絡(luò)掩碼} any access-list 190 deny ip any any [log] interface {內(nèi)部網(wǎng)絡(luò)接口} {網(wǎng)絡(luò)接口號(hào)} ip access-group 190 in 以下是客戶端邊界路由器的ACL例子： access-list 187 deny ip {客戶端網(wǎng)絡(luò)} {客戶端網(wǎng)絡(luò)掩碼} any access-list 187 permit ip any any access-list 188 permit ip {客戶端網(wǎng)絡(luò)} {客戶端網(wǎng)絡(luò)掩碼} any access-list 188 deny ip any any interface {外部網(wǎng)絡(luò)接口} {網(wǎng)絡(luò)接口號(hào)} ip access-group 187 in ip access-group 188 out 如果打開(kāi)了CEF功能，通過(guò)使用單一地址反向路徑轉(zhuǎn)發(fā)（Unicast RPF），能夠充分地縮短訪問(wèn)控制列表（ACL）的長(zhǎng)度以提高路由器性能。

為了支持Unicast RPF，只需在路由器完全打開(kāi)CEF；打開(kāi)這個(gè)功能的網(wǎng)絡(luò)接口并不需要是CEF交換接口。

4、使用CAR（Control Access Rate）限制ICMP數(shù)據(jù)包流量速率 參考以下例子： interface xy rate-limit output access-group 2020 3000000 512000 786000 conform-action transmit exceed-action drop access-list 2020 permit icmp any any echo-reply 請(qǐng)參閱IOS Essential Features 獲取更詳細(xì)資料。