- 角色
- 流量汇聚与转发
- 路由器作为网络的核心设备，所有进出网络的流量都要经过它。在 DDoS 攻击中，它就像一个交通枢纽，恶意流量和正常流量都会汇聚于此。例如，在互联网服务提供商（ISP）的网络中，来自多个源的攻击流量会通过接入路由器，然后被转发到目标网络。这使得路由器成为攻击流量的关键传输节点。
- 路由器会根据其内部的路由表来决定流量的转发路径。在 DDoS 攻击时，大量的恶意数据包会按照这些规则被导向目标服务器或网络段。比如，当遭受 UDP Flood 攻击时，路由器会将大量的 UDP 数据包转发到目标主机所在的子网，从而使子网内的设备受到攻击。
- 潜在的攻击放大器（反射攻击）
- 在某些反射型 DDoS 攻击中，路由器扮演了一个不幸的 “帮凶” 角色。以 NTP（网络时间协议）反射放大攻击为例，攻击者会向支持 NTP 服务的路由器（通常是配置不当的路由器）发送伪造的请求，源 IP 地址被伪造成目标受害者的 IP。路由器会按照正常的协议流程，向被伪装的 IP（即受害者）发送放大后的响应数据包。
- 这种放大倍数可能非常高，例如一个较小的请求可能会导致路由器返回一个比请求大几十倍甚至上百倍的响应，从而使受害者遭受远超原始攻击流量规模的攻击。
- 网络拓扑信息泄露点
- 路由器存储和传播网络的拓扑信息，这些信息对于攻击者来说是有价值的。通过分析路由器的路由更新消息（如 BGP 消息），攻击者可以推断出网络的结构，包括关键节点、链路带宽等信息。
- 例如，在一个大型企业的广域网中，攻击者通过监听路由器之间的 BGP 通信，能够了解到各个分支机构与总部之间的连接方式，从而找到攻击的最佳切入点，比如选择攻击连接总部服务器的关键链路，以达到最大的破坏效果。
- 流量汇聚与转发
- 应对措施
- 访问控制与流量过滤
- ACL（访问控制列表）应用：路由器可以配置 ACL 来允许或禁止特定 IP 地址、端口和协议的流量。在 DDoS 攻击期间，通过分析攻击流量的特征，如源 IP 范围、攻击端口等，可以及时调整 ACL。例如，如果发现攻击主要来自某一特定网段的 IP，就可以在路由器的 ACL 中添加规则，禁止该网段的流量进入网络。
- 基于协议和端口的过滤：对于一些容易被利用进行 DDoS 攻击的协议和端口，如 UDP 端口 1900（用于 SSDP 协议，易受反射放大攻击）和 ICMP 协议（易受 Flood 攻击），可以在路由器上设置针对性的过滤规则。除了完全禁止，还可以对流量进行限制，只允许合法的、必要的使用这些协议和端口的流量通过。
- 流量速率限制与整形
- 入站流量限制：路由器可以设定入站流量的最大速率。当检测到入站流量超过预设阈值时，超过部分的流量可以被丢弃或者进行限速处理。例如，对于一个小型企业网络的路由器，正常情况下入站流量阈值可以设置为 10Mbps，当遭受 DDoS 攻击，流量超过这个阈值时，路由器可以自动将流量限制在一个较低的水平，如 5Mbps，以避免网络被淹没。
- 流量整形技术：流量整形能够使不规则的流量（如突发的攻击流量）变得更加平滑。它通过缓存和延迟部分流量，使流量符合预设的速率和带宽要求。例如，采用令牌桶算法进行流量整形，路由器可以根据令牌的产生速度来控制流量的发送速度，从而有效地应对突发的 DDoS 攻击流量。
- 动态路由安全机制
- 路由信息验证与过滤：为了防止攻击者篡改路由信息，路由器可以采用路由信息验证机制。例如，在 BGP 网络中，使用数字签名或消息认证码（MAC）等技术对路由更新消息进行验证，确保只有经过授权的、真实的路由信息才能被接受和传播。同时，对收到的路由更新消息进行过滤，拒绝来自不可信源的消息。
- 动态路由调整策略：在 DDoS 攻击期间，路由器可以根据网络的实时状态动态调整路由。例如，当检测到某条链路遭受严重攻击时，路由器可以将流量引导到其他未受攻击或受攻击较轻的链路。这可以通过动态路由协议（如 OSPF、BGP 等）的策略调整来实现，以保障网络的连通性和可用性。
- 与安全设备联动防御
- 与防火墙联动：路由器可以和防火墙协同工作。当路由器检测到疑似 DDoS 攻击流量时，它可以向防火墙发送警报，防火墙则可以根据这些信息采取更高级的防御措施，如深度包检测、行为分析等。例如，路由器发现大量来自某个 IP 的异常流量，将这一信息传递给防火墙，防火墙可以对该 IP 进行进一步的检查和拦截。
- 与 IDS/IPS（入侵检测系统 / 入侵防御系统）联动：和 IDS/IPS 配合，路由器可以将流量镜像给 IDS/IPS 设备进行检测。当 IDS/IPS 发现攻击行为时，通知路由器采取相应的流量控制措施，如切断与攻击源的连接或者将攻击流量引流到特定的清洗设备。这种联动机制能够更有效地应对复杂的 DDoS 攻击。
- 访问控制与流量过滤