资源预览内容
第1页 / 共6页
第2页 / 共6页
第3页 / 共6页
第4页 / 共6页
第5页 / 共6页
第6页 / 共6页
亲,该文档总共6页全部预览完了,如果喜欢就下载吧!
资源描述
作者:风林来源: 风林的家 http:/221.199.150.103/jsj/Html/net/book/Router/ppp.htm日期: 2011/11/30配置预防DoS攻击的入口过滤作者:风林 来源:风林的家r DoS攻击概述拒绝服务攻击(DoS)是目前互联网上常见的攻击手段。DoS攻击方式有很 多种,最基本的DoS攻击是利用大量的合理服务请求来占用服务资源,使合 法用户无法得到服务的响应。而攻击报文多采用伪装源IP地址以防暴露其 踪迹。预防DoS攻击的方法之一就是在网络的接入设备上设置入口过滤,来限制伪 装源IP的报文进入网络,这样可以在攻击的早期防止DoS的发生,因而具 有较好的效果。ISP可通过此项措施防止攻击进入Internet,局域网的网管 也有义务确保局域网不会成为此类攻击的发源地。锐捷交换机采用基于RFC2827的入口过滤规则来预防DoS攻击,该过滤采用 硬件实现,不会给网络转发增加负担。入口过滤的设置位置通常有两种:在三层交换机上配置DoS过滤在缺省情况下,3层交换机的预防DoS攻击的入口过滤功能是关闭的,配置 时,需要打开该服务。1、打开预防DoS攻击入口过滤的开关:模式:接口配置模式。命令:Switch(config-if)#ip deny spoofing-source这条命令用于打开指定接口的入口过滤开关。说明:1、这条命令只能用于3层口。2、过滤开关打开后,系统会自动为该接口生成一个ACL, ACL的名称为 auto_defeat_dos_interfacelD 其中 interfacelD是接口名。假设这个 3 层口的IP地址是192.168.5.1/24,则生成的ACL的内容为:permit 192.168.5.0 0.0.0.255permit host 0.0.0.0deny any这个ACL会作用在接口的传入检查中,它只允许源地址和192.168.5.0匹配 的数据报传入,以及源地址为0.0.0.0的数据报传入(这种数据报是DHCP 请求报文),如果源地址是其它值,说明是伪造的,交换机会直接把它丢弃。3、你只能在和下层网段直连的接口上配置过滤功能,不要在和上层网络相 连的接口(如Uplink 口)上配置过滤功能,这会导致源自Internet的各种 源IP报文无法进入该网段。4、如果在接口上有一个自定义的ACL,则它不能和过滤生成的ACL同时应 用。解决方法是不开启过滤功能,但在自定义的ACL中加入过滤用的语句。5、在设置了过滤功能后,如果修改了接口的IP地址,必须先关闭过滤功能 然后再打开,这样才能使入口过滤对新的地址生效。2、关闭入口过滤功能:模式:接口配置模式。命令:Switch(config-if)#no ip deny spoofing-source3、查看入口过滤配置:模式:特权模式。命令:Switch#show access-group本命令用于查看ACL。配置举例1:在一个3层路由口上启用入口过滤功能。SwitchenableSwitch#configure terminalSwitch(config)#interface f0/3Switch(config-if)#no switchportSwitch(config-if)#ip address 192 168 301 2552552550Switch(config-if)#ip deny spoofing-sourceSwitch(config-if)#endSwitch#配置后会生成一个名为auto_defeat_dos_fastethernet_3的ACL,并且被 关联在f0/3的传入端,它会禁止源IP为192.168.30.0以外的数据报从此 接口进入交换机(DHCP请求报文除外)配置举例2:在一个3层SVI接口上启用入口过滤功能。SwitchenableSwitch#configure terminalSwitch(config)#interface vlan 2Switch(config-if)#ip address 192 168.120.1 255255255.0Switch(config-if)#ip deny spoofing-sourceSwitch(config-if)#endSwitch#配置后会生成一个名为auto_defeat_dos_vlan_2的ACL,并且被关联在vlan 2的传入端,它会禁止源IP为192.168.120.0以外的数据报从此接口进入 交换机(DHCP请求报文除外)
网站客服QQ:2055934822
金锄头文库版权所有
经营许可证:蜀ICP备13022795号 | 川公网安备 51140202000112号