【IT168 报道】宽带路由器连接ADSL及FTTH等接入线路和用户方的LAN，其安全功能日趋成熟。其中，预先决定安全数据包的“静态过滤”功能，及从通信开始便自动更改设置以使安全数据包通过的“动态过滤”功能，已为人们所熟知。最近，又推出了比上述过滤功能更为安全的“SPI”（ Stateful Packet Inspection）功能。这种安全功能非常难以理解。下面让我们来仔细了解一下宽带路由器的安全功能。

　　说起宽带路由器的安全功能，静态过滤功能堪称其代表。该功能根据端口号码及IP地址决定是否转送数据包。比如，如果设置为只允许来自LAN的用户接入Web，那么从LAN到互联网只有表示接入Web的端口号码为80号的数据包可以通过。

　　但是，静态过滤存在相当大的弱点。比如，在允许Web接入的情况下，入侵者只需发出发送方端口号码为80的数据包，该数据包便可进入LAN内。

　　比静态过滤更为先进的是动态过滤。所谓动态过滤，是指不象静态过滤那样预先规定许可和禁止的数据包种类，而是根据LAN的接入状况自动更改设置。

　　当LAN上的个人电脑访问Web服务器时，如果个人电脑访问Web服务器时最初的数据包由路由器获取，路由器便会自动更改过滤设置，仅通过该通信所需的数据包。

　　而且，路由器能够记录最初LAN内部个人电脑访问目的方的IP地址，并检查它与互联网的应答数据包发送方的IP地址是否一致。通信完成后，路由器恢复还原，呈任何数据包都无法通过的状态。这样的话，路由器便可仅在需要时放开通路，不通信时则可以阻断所有来自互联网的数据包。另外，在通信中也只有相应的通信对象回复的数据包可以通过LAN。

　　但是，即便是这种过滤方式，通信中的数据包也会受到监视，在通信持续进行的过程中，冒充发信方IP地址和端口号码的非法数据包也可以侵入LAN。

　　SPI是一种考虑到如何应对上述情况的安全功能。SPI会检查收发数据包的内容，检查内容包括写在TCP文件头的确认应答（ACK）标记及序列号码等。这些文件头信息是用来检查TCP通信进展状态的。在通信过程中插入的非法数据包，无论如何都会与这些文件头信息不同。因此通过检查文件头信息可以防止非法数据包入侵。

　　不过，该功能虽然名为SPI，但在实现程度上还存在着差距。许多宽带路由器的SPI只能监视TCP的文件头。而另一方面，对于HTTP及FTP等一些通信协议，一部分制造商推出的宽带路由器不仅可以检查TCP文件头，还可以检查收发方数据包的数据部分以发现非法数据包。

　　2003年以后，几乎所有的路由器都具备动态过滤或者SPI功能。但是，各产品功能的等级有所不同。如果用户重视安全性能，则在选择产品时还需注意上述功能的细微差别。