Router

For hver pakke fjerner en router den indkommende frame fra linklaget, validerer IP-headeren, slår destinationsadressen op i sin forwarding-tabel (FIB) efter længste præfiksmatch, tæller TTL eller hop limit ned (og genberegner IPv4-headerens checksum), finder næste hops MAC-adresse med ARP eller IPv6 Neighbor Discovery og sender pakken ud i en ny frame. Kilde- og destinations-IP-adressen er de samme hele vejen, medmindre NAT omskriver dem, mens MAC-adresserne skifter ved hvert hop. Passer ingen mere specifik rute, bruges standardruten (0.0.0.0/0 eller ::/0); findes der ingen, kasseres pakken med en ICMP Destination Unreachable, og en pakke, hvis TTL når nul, udløser ICMP Time Exceeded.

En router har tre logiske planer. Kontrolplanet opbygger routingtabellen (RIB) ud fra direkte tilsluttede netværk, statiske ruter og routingprotokoller: interne protokoller som OSPF (RFC 2328) og IS-IS inden for en organisation og BGP-4 (RFC 4271) mellem autonome systemer. De bedste ruter lægges i FIB'en, som dataplanet bruger til at videresende pakker - i kraftige routere med fuld linjehastighed i dedikerede ASIC'er. Administrationsplanet er den vej, administratorer og værktøjer når enheden: SSH, SNMP, webgrænseflader og API'er.

Begreberne bruges løst i praksis. En lag 2-switch videresender frames efter MAC-adresse inden for ét broadcast-domæne, en lag 3-switch router også mellem VLAN'er, og "routeren" i et hjem eller et lille kontor er en kombineret enhed med router, NAT, stateful firewall, DHCP-server, DNS-videresender, switch og Wi-Fi-adgangspunkt. NAT skjuler interne adresser som en bivirkning, men erstatter ikke en firewallpolitik, og routere filtrerer med tilstandsløse adgangslister (ACL'er), medmindre de kører en firewallfunktion.

Angreb på routere rammer alle tre planer. I kontrolplanet giver OSPF uden autentifikation eller dårligt filtrerede BGP-sessioner mulighed for at indsprøjte og kapre ruter, hvilket modvirkes med protokolautentifikation, præfiksfiltrering og RPKI-validering af ruteoprindelse. I administrationsplanet er standardadgangskoder (CIS Controls v8, safeguard 4.7, dækker standardkonti) og webgrænseflader eksponeret mod internettet tilbagevendende problemer: I oktober 2023 udnyttede angribere CVE-2023-20198 i webgrænsefladen på Cisco IOS XE til at placere implantater på titusindvis af enheder, og malwaren VPNFilter, der blev opdaget i 2018, havde inficeret mindst 500.000 routere i hjem og små kontorer. Hærdning betyder, at administrationsgrænseflader kun kan nås fra et dedikeret administrationsnetværk, central AAA via TACACS+ eller RADIUS, SNMPv3 i stedet for community strings, deaktivering af ubrugte tjenester, logning til en SIEM, backup af konfigurationen med sporing af ændringer, opdatering af firmware og udskiftning af enheder, der ikke længere får opdateringer.