路由器防禦攻擊技術解析：Smurf 攻擊原理與四大防護關鍵

路由器成為駭客攻擊首要目標，其中 Smurf 攻擊 最為常見。本文解析其運作機制與從「放大器」與「受害者」雙面佈防的四大關鍵設定。

Smurf 攻擊運作模式

屬 ICMP Echo Flooding 攻擊。攻擊者發送偽造來源 IP（指向受害者）的 Ping 廣播封包，路由器將廣播轉為 L2 廣播散佈至連接網段，所有主機回應 Ping 產生巨大回應流量淹沒受害者，路由器連接網段亦癱瘓。

網路成為「流量放大器」的四個條件（任一破壞即可防禦）

1. 路由器允許來源 IP 偽造封包通過 → 啟用入口過濾，丟棄來源 IP 不合法封包。
2. 路由器將導向廣播轉為 L2 廣播 → 關閉導向廣播轉發功能。
3. 網段主機回應 Ping 廣播 → 主機端停用 ICMP 廣播回應。
4. 路由器不限制主機回應流量 → 配置速率限制/QoS 限制 ICMP 回應頻寬。

防禦策略

依據上述四點重新規劃網路架構，使本地網路不具備放大器條件，大幅降低受攻擊風險。同樣原理可延伸至其他 DDoS 變種防禦。

本文來源：系統之家 www.xp85.com