路由器配置主要是對(duì)路由器進(jìn)行基本的調(diào)試，讓我們以后的使用更加的方便快捷。根據(jù)RFC 2267規(guī)定，互聯(lián)網(wǎng)服務(wù)提供商（ISP）必須在網(wǎng)絡(luò)上使用類似這一類的過(guò)濾。注意末尾處ACL包含permit ip any any的方式。在“真實(shí)世界”中，你在進(jìn)行路由器配置中可能擁有一個(gè)狀態(tài)式防火墻（stateful fireful），它可以保護(hù)你的內(nèi)部局域網(wǎng)。

當(dāng)然你可以在這方面更進(jìn)一步，即過(guò)濾所有來(lái)自內(nèi)網(wǎng)中其他子網(wǎng)的進(jìn)站信息，以便保證沒(méi)有人在一個(gè)子網(wǎng)內(nèi)向其它子網(wǎng)進(jìn)行IP地址欺騙。你還可以實(shí)施出站ACL來(lái)防止你的網(wǎng)絡(luò)中的用戶仿冒其他網(wǎng)絡(luò)的IP地址。不過(guò)記住這只是整個(gè)網(wǎng)絡(luò)安全策略中的一個(gè)方面。

使用反向路徑轉(zhuǎn)發(fā)（reverse path forwarding，即IP驗(yàn)證）

另一個(gè)避免IP地址欺騙的方法是使用反向路徑轉(zhuǎn)發(fā)（RPF），或者叫IP驗(yàn)證。在Cisco IOS中，反向路徑轉(zhuǎn)發(fā)的命令以ip verify開(kāi)頭。RPF的工作原理和反垃圾郵件解決方案非常類似。反垃圾郵件解決方案收到了郵件消息后，先提出源郵件地址，然后執(zhí)行向發(fā)送服務(wù)器查詢的操作，確定發(fā)送者是否真的在發(fā)出消息的服務(wù)器上存在。如果發(fā)送者不存在，服務(wù)器則丟棄該郵件消息，因?yàn)楦揪蜎](méi)法回復(fù)這種消息，而且大體上屬于垃圾郵件。

RPF對(duì)數(shù)據(jù)包所作的操作與此類似。它從互聯(lián)網(wǎng)收到數(shù)據(jù)包，取出源IP地址，然后查看該路由器配置中的路由表中是否有該數(shù)據(jù)包的路由信息。如果路由表中沒(méi)有其用于數(shù)據(jù)返回的路由器配置信息，那么極有可能是某人偽造了該數(shù)據(jù)包，于是路由便把它丟棄。下面是在路由器配置RPF的方法：
Router(config)# ip cef
Router(config)# int serial0/0
Router(config-if)# ip verify unicast reverse-path

注意這對(duì)多重網(wǎng)絡(luò)（multi-homed network）沒(méi)有效果。保護(hù)私網(wǎng)不受來(lái)自互聯(lián)網(wǎng)的攻擊很重要。這三個(gè)方法對(duì)于防御IP地址欺騙已能起巨大效果。