所选语种没有对应资源,请选择:

本站点使用Cookies,继续浏览表示您同意我们使用Cookies。Cookies和隐私政策>

提示

尊敬的用户,您的IE浏览器版本过低,为获取更好的浏览体验,请升级您的IE浏览器。

升级

S1720, S2700, S5700, S6720 V200R012(C00&C20) 配置指南-安全

本文档介绍了安全的配置,具体包括ACL配置、本机防攻击配置、MFF配置、攻击防范配置、流量抑制及风暴控制配置、ARP安全配置、端口安全配置、DHCP Snooping配置、ND Snooping配置、PPPoE+配置、IPSG配置、SAVI配置、URPF配置、Keychain配置、MPAC配置、PKI配置、业务与管理隔离配置、安全风险查询配置
评分并提供意见反馈 :
华为采用机器翻译与人工审校相结合的方式将此文档翻译成不同语言,希望能帮助您更容易理解此文档的内容。 请注意:即使是最好的机器翻译,其准确度也不及专业翻译人员的水平。 华为对于翻译的准确性不承担任何责任,并建议您参考英文文档(已提供链接)。
配置ARP安全综合功能示例

配置ARP安全综合功能示例

组网需求

图6-11所示,Switch作为网关通过接口GE0/0/3连接一台服务器,通过接口GE0/0/1、GE0/0/2连接VLAN10和VLAN20下的四个用户。网络中存在以下ARP威胁:
  • 攻击者向Switch发送伪造的ARP报文、伪造的免费ARP报文进行ARP欺骗攻击,恶意修改Switch的ARP表项,造成其他用户无法正常接收数据报文。
  • 攻击者发出大量目的IP地址不可达的IP报文进行ARP泛洪攻击,造成Switch的CPU负荷过重。
  • 用户User1构造大量源IP地址变化MAC地址固定的ARP报文进行ARP泛洪攻击,造成Switch的ARP表资源被耗尽以及CPU进程繁忙,影响到正常业务的处理。
  • 用户User3构造大量源IP地址固定的ARP报文进行ARP泛洪攻击,造成Switch的CPU进程繁忙,影响到正常业务的处理。
管理员希望能够防止上述ARP攻击行为,为用户提供更安全的网络环境和更稳定的网络服务。
图6-11  配置ARP安全功能组网图

配置思路

采用如下思路在Switch上进行配置:
  1. 配置ARP表项严格学习功能以及ARP表项固化功能,实现防止伪造的ARP报文错误地更新Switch的ARP表项。
  2. 配置根据源IP地址进行ARP Miss消息限速,实现防止用户侧存在攻击者发出大量目的IP地址不可达的IP报文触发大量ARP Miss消息,形成ARP泛洪攻击。同时需要保证Switch可以正常处理服务器发出的大量此类报文,避免因丢弃服务器发出的大量此类报文而造成网络无法正常通信。
  3. 配置基于接口的ARP表项限制以及根据源MAC地址进行ARP限速,实现防止User1发送的大量源IP地址变化MAC地址固定的ARP报文形成的ARP泛洪攻击,避免Switch的ARP表资源被耗尽,并避免CPU进程繁忙。
  4. 配置根据源IP地址进行ARP限速,实现防止User3发送的大量源IP地址固定的ARP报文形成的ARP泛洪攻击,避免Switch的CPU进程繁忙。

操作步骤

  1. 创建VLAN,将接口加入到VLAN中,并配置VLANIF接口

    # 创建VLAN10、VLAN20和VLAN30,并将接口GE0/0/1加入VLAN10中,接口GE0/0/2加入VLAN20中,接口GE0/0/3加入VLAN30中。

    <HUAWEI> system-view
    [HUAWEI] sysname Switch
    [Switch] vlan batch 10 20 30
    [Switch] interface gigabitethernet 0/0/1
    [Switch-GigabitEthernet0/0/1] port link-type trunk
    [Switch-GigabitEthernet0/0/1] port trunk allow-pass vlan 10
    [Switch-GigabitEthernet0/0/1] quit
    [Switch] interface gigabitethernet 0/0/2
    [Switch-GigabitEthernet0/0/2] port link-type trunk
    [Switch-GigabitEthernet0/0/2] port trunk allow-pass vlan 20
    [Switch-GigabitEthernet0/0/2] quit
    [Switch] interface gigabitethernet 0/0/3
    [Switch-GigabitEthernet0/0/3] port link-type trunk
    [Switch-GigabitEthernet0/0/3] port trunk allow-pass vlan 30
    [Switch-GigabitEthernet0/0/3] quit

    # 创建接口VLANIF10、VLANIF20、VLANIF30,配置各VLANIF接口的IP地址。

    [Switch] interface vlanif 10
    [Switch-Vlanif10] ip address 10.8.8.4 24
    [Switch-Vlanif10] quit
    [Switch] interface vlanif 20
    [Switch-Vlanif20] ip address 10.9.9.4 24
    [Switch-Vlanif20] quit
    [Switch] interface vlanif 30
    [Switch-Vlanif30] ip address 10.10.10.3 24
    [Switch-Vlanif30] quit

  2. 配置ARP表项严格学习功能

    [Switch] arp learning strict

  3. 配置ARP表项固化功能

    # 配置ARP表项固化模式为fixed-mac方式。

    [Switch] arp anti-attack entry-check fixed-mac enable

  4. 配置根据源IP地址进行ARP Miss消息限速

    # 配置对Server(IP地址为10.10.10.2)的ARP Miss消息进行限速,允许Switch每秒最多处理该IP地址触发的40个ARP Miss消息;对于其他用户,允许Switch每秒最多处理同一个源IP地址触发的20个ARP Miss消息。

    [Switch] arp-miss speed-limit source-ip maximum 20
    [Switch] arp-miss speed-limit source-ip 10.10.10.2 maximum 40

  5. 配置基于接口的ARP表项限制

    # 配置接口GE0/0/1最多可以学习到20个动态ARP表项。

    [Switch] interface gigabitethernet 0/0/1
    [Switch-GigabitEthernet0/0/1] arp-limit vlan 10 maximum 20
    [Switch-GigabitEthernet0/0/1] quit

  6. 配置根据源MAC地址进行ARP限速

    # 配置对用户User1(MAC地址为1-1-1)进行ARP报文限速,每秒最多只允许10个该MAC地址的ARP报文通过。

    [Switch] arp speed-limit source-mac 1-1-1 maximum 10

  7. 配置根据源IP地址进行ARP限速

    # 配置对用户User3(IP地址为10.9.9.2)进行ARP报文限速,每秒最多只允许10个该IP地址的ARP报文通过。

    [Switch] arp speed-limit source-ip 10.9.9.2 maximum 10

  8. 验证配置结果

    # 执行命令display arp learning strict,可以看到全局已经配置ARP表项严格学习功能。

    [Switch] display arp learning strict
     The global configuration:arp learning strict
     Interface                           LearningStrictState
    ------------------------------------------------------------
    ------------------------------------------------------------
     Total:0
     Force-enable:0
     Force-disable:0 

    # 执行命令display arp-limit,查看接口可以学习到的动态ARP表项数目的最大值。

    [Switch] display arp-limit interface gigabitethernet 0/0/1
     Interface                      LimitNum   VlanID     LearnedNum(Mainboard)
    ---------------------------------------------------------------------------
     GigabitEthernet0/0/1           20         10         0
    ---------------------------------------------------------------------------
     Total:1 

    # 执行命令display arp anti-attack configuration all,查看当前ARP防攻击配置情况。

    [Switch] display arp anti-attack configuration all
    ......                                                                                
    ARP anti-attack entry-check mode:                                              
    Vlanif      Mode                                                               
    ------------------------------------------------------------------------------- 
    All         fixed-mac                                                           
    ------------------------------------------------------------------------------- 
    ......
    ARP speed-limit for source-MAC configuration:                                   
    MAC-address         suppress-rate(pps)(rate=0 means function disabled)          
    ------------------------------------------------------------------------------- 
    0001-0001-0001      10
    Others              0                                                           
                                                              
    ------------------------------------------------------------------------------- 
    The number of configured specified MAC address(es) is 1, spec is 512.                  
                                                                                    
    ARP speed-limit for source-IP configuration:                                   
    IP-address          suppress-rate(pps)(rate=0 means function disabled)         
    ------------------------------------------------------------------------------- 
    10.9.9.2             10   
    Others               0                                                         
    ------------------------------------------------------------------------------- 
    The number of configured specified IP address(es) is 1, spec is 512.                   
                                                                                    
    ARP miss speed-limit for source-IP configuration:                              
    IP-address          suppress-rate(pps)(rate=0 means function disabled)         
    ------------------------------------------------------------------------------- 
    10.10.10.2/32       40                                                          
    Others              20                                                         
    ------------------------------------------------------------------------------- 
    The number of configured specified IP address(es) is 1, spec is 512.      

    # 执行命令display arp packet statistics,查看ARP处理的报文统计数据。

    [Switch] display arp packet statistics
    ARP Pkt Received:   sum  8678904                                                 
    ARP-Miss Msg Received:   sum      183                                             
    ARP Learnt Count:   sum     37                                                  
    ARP Pkt Discard For Limit:   sum      146                                         
    ARP Pkt Discard For SpeedLimit:   sum      40529                                    
    ARP Pkt Discard For Proxy Suppress:   sum      0                                
    ARP Pkt Discard For Other:   sum  8367601                                        
    ARP-Miss Msg Discard For SpeedLimit:   sum      20                               
    ARP-Miss Msg Discard For Other:   sum      104     

    由显示信息可知,Switch上产生了ARP报文和ARP Miss消息丢弃计数,表明ARP安全功能已经生效。

配置文件

# Switch的配置文件

#
sysname Switch
#
vlan batch 10 20 30
#
arp learning strict
#                                                                               
arp-miss speed-limit source-ip 10.10.10.2 maximum 40                            
arp speed-limit source-ip 10.9.9.2 maximum 10                                    
arp speed-limit source-mac 0001-0001-0001 maximum 10 
arp anti-attack entry-check fixed-mac enable                                    
#
arp-miss speed-limit source-ip maximum 20                                       
#
interface Vlanif10                                                             
 ip address 10.8.8.4 255.255.255.0                                                 
#                    
interface Vlanif20                                                             
 ip address 10.9.9.4 255.255.255.0                                                 
#
interface Vlanif30                                                             
 ip address 10.10.10.3 255.255.255.0                                                 
#
interface GigabitEthernet0/0/1
 port link-type trunk                                                           
 port trunk allow-pass vlan 10                                                  
 arp-limit vlan 10 maximum 20
#
interface GigabitEthernet0/0/2
 port link-type trunk                                                           
 port trunk allow-pass vlan 20                                                  
#
interface GigabitEthernet0/0/3
 port link-type trunk                                                           
 port trunk allow-pass vlan 30                                                  
#
return
翻译
下载文档
更新时间:2018-12-24

文档编号:EDOC1100038434

浏览量:32543

下载量:939

平均得分:
本文档适用于这些产品
相关版本
相关文档
Share
上一页 下一页