配置NAT的安全性
配置NAT安全性实现NAT会话数限制和用户建流首包限速。
- 配置NAT正向会话数限制
正向会话指从用户侧向网络侧发起的会话。为了防止个别用户占用过多的会话表资源，导致其他用户无法建立连接，需要使能NAT会话数限制功能。 - 配置NAT反向会话数限制
反向会话指从网络侧向用户侧发起的会话。为了防止个别网络侧的设备占用过多的会话表资源，导致其他网络侧的设备无法建立连接，需要使能NAT反向会话数限制功能。 - 配置用户建流速率
通过动态感知转发速率，对建流速度进行限制，使转发速率和建流速度保持一定的比例。 - 配置NAT黑名单和建流速率限制
通过NAT黑名单和建流速率限制，防止用户通过流量攻击占用大量CPU资源而影响普通流量转发。 - 检查配置结果
通过相应的display命令，可以查看已经配置的NAT安全性功能是否实现。
配置NAT正向会话数限制
配置NAT反向会话数限制
配置用户建流速率
通过动态感知转发速率，对建流速度进行限制，使转发速率和建流速度保持一定的比例。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令nat instance instance-name [ id id ]，进入NAT实例视图。
- （可选）执行命令nat user-session create-rate limit enable，使能用户会话的建流限速功能。
- 任选其中一种方式配置用户会话的建流速率：
- 当用户建流速率精度比较小，可以执行命令nat user-session create-rate rate。
- 当用户建流速率精度比较大，可以执行命令nat user-session create-rate extended-range rate。
说明：
nat user-session create-rate extended-range和nat user-session create-rate两条命令功能会相互覆盖，配置结果以最后一次执行的命令为准。
- 执行命令commit，提交配置。
配置NAT黑名单和建流速率限制
通过NAT黑名单和建流速率限制，防止用户通过流量攻击占用大量CPU资源而影响普通流量转发。
背景信息
NAT黑名单功能是针对网络侧首包攻击某个公网IP+Port+Protocol或者整个IP的防攻击功能。在未部署NAT内部服务器以及公网侧流量不能在NAT设备上查到会话表的情况下，当流量达到一定的速率阈值时，该流量会被视为攻击流量，类似这种流量的IP地址以及UDP目的端口号、TCP目的端口号会被加入到NAT黑名单，会对后续匹配到黑名单的网络侧攻击报文进行丢弃或统计。
NAT黑名单有两种检测方式，一种是仅对IP地址的攻击检测，又称为地址级的检测，可以通过配置NAT黑名单地址级阈值调整攻击流量的检测速率；另一种是针对IP地址、端口和协议号的攻击检测，又称为端口级的检测，可以通过配置NAT黑名单端口级阈值调整攻击流量的检测速率。
说明： 该配置过程仅在Admin-VS支持。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令nat flow-defend reverse-blacklist disable，去使能NAT黑名单功能。
- 执行命令nat flow-defend { forward | fragment | reverse } rate rate-number slot slot-id ，配置业务板的建流速率限制。
- 执行命令nat flow-defend reverse-blacklist detect-threshold ip-port-level high-threshold，配置NAT黑名单的端口级的阈值，超过阈值则会产生黑名单。
在NAT黑名单功能开启的情况下，执行此命令之后，会匹配到针对IP地址、端口和协议号的攻击流量进行检测，通过配置NAT黑名单端口级阈值调整攻击流量的检测速率。
- 执行命令nat flow-defend reverse-blacklist detect-threshold ip-level high-threshold，配置NAT黑名单的地址级阈值，超过阈值则会产生黑名单。
在NAT黑名单功能开启的情况下，执行此命令之后，对匹配到针对IP地址的攻击流量进行检测，通过配置NAT黑名单端口级阈值调整攻击流量的检测速率。
上述的配置NAT黑名单端口级阈值和地址级阈值可以同时进行配置，两条命令功能是独立的。
- 执行命令commit，提交配置。
检查配置结果
执行命令display nat flow-defend reverse-blacklist，查看CPU反向首包黑名单表项。
Slot: 1
Current total reverse-blacklists: 1(Ip+Port).
Victim information(IP,port): (10.33.33.2,0)
Attacker information(IP,port): (192.85.1.2,0)
Protocol: UDP, VPN: -
Create: 2017-6-25 10:25:43, Left: 00:10:00
Current Attack-rate: 129kpps, Max Attack-rate: 129kpps
Current total reverse-blacklists: 1(Ip).
Victim information(IP): (10.33.33.2)
Attacker information(IP,port): (192.85.1.2,0) VPN: -
Create: 2017-6-25 10:25:43, Left: 00:10:00
Current Attack-rate: 129kpps, Max Attack-rate: 129kpps
