CPU-Defend Policy本机防攻击 本机防攻击可保护CPU,解决CPU因处理大量正常上送CPU的报文或者恶意攻击报文造成的业务中断问题。 安全策略介绍 本机防攻击包括CPU防攻击、攻击溯源两部分功能。 CPU防攻击可以针对上送CPU的报文进行限制和约束,使单位时间内上送CPU报文的数量限制在一定的范围之内,从而保护CPU的安全,保证...
[HUAWEI-cpu-defend-policy-policy1] undo auto-defend protocol 8021x arp dhcp icmp tcp telnet ttl-expired udp //配置攻击溯源防范的报文类型为IGMP(缺省情况下,系统对九种报文进行攻击溯源防范) [HUAWEI-cpu-defend-policy-policy1] quit [HUAWEI] cpu-defend-policy policy1 global //在所有接口板上应用...
Rate-limit all-packets : 1500(pps)(default) 在cpu-defend的策略里面添加黑名单,并在全局下面启用,启用cpu黑名单之后,路由器不会吧acl里面mac地址发送的arp报文上传到cpu处理,而是直接敷略,这样路由器也不会学习到他们的arp信息,这样的话,为了让他们正常通信还需要通过手动的方式添加静态arp <AR2220>display arp...
[HUAWEI-cpu-defend-policy-policy1] auto-defend enable //使能攻击溯源功能(缺省情况下,未使能该功能) [HUAWEI-cpu-defend-policy-policy1] auto-defend action deny timer 300 //(缺省情况下,未使能攻击溯源的惩罚功能) 配置本机防攻击策略的黑名单,直接丢弃黑名单用户上送的报文。 如果判断攻击源为特定用户...
defend-policy test#共二十四页第三步:按协议(xiy)类型分别处理-3Reserved-multicast 此类报文一般属路由协议报文,目的IP地址224.0.0.X,如果设备不需要此类报文(或者启用OSPF路由但未起组播功能),可以(ky)直接丢弃处理(或者升级到最新版本):#cpu-defend policy test deny packet-type reserved-multicast#Cpu-defend-...
建议 此时在每个vlanif接口下调整ARP学习延迟时间: # # interface vlanif1000interface vlanif1000 arp-fake expire-time 30 arp-fake expire-time 30 # # lTTL-EXPIREDTTL-EXPIRED 如果不需要本机在tracert中显示,建议丢弃此类报文: # # cpu-defend policy testcpu-defend policy test deny packet-type ttl-...
对于报文冲击导致CPU高的情形，可进一步通过cpu-defend统计查询功能确认具体的协议类型。协议上送过多判断标准：该协议对应的Drop列有大量计数，且相对于Pass计数占比较高，例如上表中的arp-request类型。HUAWEITECHNOLOGIESCO.,LTD.HuaweiConfidential4 displaylogbuffer <Quidway>displaylogbufferLoggingbufferconfigurationand...
defend-policy test global Cpu-defend-policy test # 第三步:按协议类型分别处理-4 ND/ICMPV6/DHCPV6 如果本机不需要IPV6功能,建议直接丢弃此类报文: # cpu-defend policy test deny packet-type nd deny packet-type icmpv6 deny packet-type dhcpv6-request deny packet-type dhcpv6-reply # Cpu-defend-...
<HUAWEI> system-view [~HUAWEI] cpu-defend policy policy1 [*HUAWEI-cpu-defend-policy-policy1] auto-defend enable [*HUAWEI-cpu-defend-policy-policy1] auto-defend attack-packet sample 5 //每5个报文抽样识别一次,抽样值过小会消耗过多CPU [*HUAWEI-cpu-defend-policy-policy1] auto-defend threshold...
<HUAWEI>system-view[~HUAWEI]cpu-defend policy policy1[*HUAWEI-cpu-defend-policy-policy1]auto-defend enable[*HUAWEI-cpu-defend-policy-policy1]auto-defend attack-packet sample 5//每5个报文抽样识别一次,抽样值过小会消耗过多CPU [*HUAWEI-cpu-defend-policy-policy1]auto-defend threshold 30//报文达...