提高DCN网络的安全性
可以通过配置GNE的超限告警阈值和SSL认证，配置OSPF接口认证和优化所有网元的DCN路由等来提高DCN网络的安全性。
- 配置GNE的网元超限告警阈值
通过配置网元超限告警阈值，提醒用户避免GNE的处理压力过大。 - 在GNE上配置SSL认证
在DCN网络中运行SSL（Secure Sockets Layer）认证协议后，只有通过SSL验证，网管才能和GNE正常通信。 - 配置OSPF接口认证
在DCN网络中运行OSPF协议，支持报文验证功能，只有通过验证的报文才能接收，否则将不能正常建立邻居关系。 - 优化DCN路由
在DCN网络环境中，配置OSPF的一些特性功能可以对DCN网络的性能进行调整和优化。 - 配置DCN报文的优先级
DCN报文使用IP报文承载时，优先级较低，重新配置DCN报文的优先级后，GNE（Gateway Network Element）会按照设置的优先级在DCN域内进行转发。 - 配置DCN ACL策略
通过配置DCN ACL策略，DCN报文将按照配置的ACL规则进行过滤，对于不匹配的报文将会被丢弃，从而提高DCN网络的安全性。 - 配置关闭DCN快速终结协商状态功能
通过配置关闭DCN快速终结协商状态功能，防止故意通过终结报文攻击设备，提高设备可靠性。 - 配置GNE与NE之间通道加密功能
通过配置GNE与NE之间通道加密功能，防止攻击者恶意攻击，提高安全性。 - 检查配置结果
在完成提高DCN网络安全性配置后，通过检查配置结果可以查看配置是否生效。
在GNE上配置SSL认证
在DCN网络中运行SSL（Secure Sockets Layer）认证协议后，只有通过SSL验证，网管才能和GNE正常通信。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令dcn，进入DCN视图。
- 执行命令bind ssl-policy ssl-policy-name，绑定SSL策略。
说明：
绑定SSL策略后，DCN将使用策略中加载的证书完成SSL握手认证，因此需要在网管上加载正确的证书。
- 执行命令connect-mode { normal | security | both }，设置GNE与网管的连接模式。
normal：普通模式，DCN的TCP连接不会进行SSL加密。
security：安全模式，DCN的TCP连接进行SSL加密。
both：普通模式和安全模式都支持。
- 执行命令ssl verify-mode { single | dual }，配置DCN SSL的认证模式。
single：单端认证，只在设备侧进行SSL认证。
dual：双端认证，设备侧和网管侧都会进行SSL认证。
- （可选）执行命令ssl-auth-fail threshold-alarm report-times report-times，配置在一定时间内SSL认证失败次数的Trap上报阈值。
- 执行命令commit，提交配置。
配置OSPF接口认证
在DCN网络中运行OSPF协议，支持报文验证功能，只有通过验证的报文才能接收，否则将不能正常建立邻居关系。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令interface interface-type interface-number，进入接口视图。
- 执行命令dcn（接口视图），使能接口的DCN功能。或执行dcn mode vlan命令，使能4094子接口方式的DCN功能。
- 请选择如下步骤中的一种，配置接口验证方式。
执行命令dcn ospf authentication-mode simple [ [ plain ] simple-plain-text | cipher simple-cipher-text ]，配置OSPF接口的简单验证模式。
说明：
密码需要符合密码复杂度规则：大写、小写、数字、特殊字符中至少有2种，并且长度不能小于8。
为避免高安全风险，配置时请尽量选择密文模式。为保证设备安全，请定期修改密码。
执行命令dcn ospf authentication-mode { { md5 | hmac-md5 | hmac-sha256 } [ key-id { plain plain-text | [ cipher ] cipher-text } ] }，配置OSPF接口的MD5（Message Digest 5）或SHA（Secure Hash Algorithm）验证模式。
说明：
为了保证更好的安全性，建议不要使用MD5和HMAC-MD5算法，推荐使用HMAC-SHA256算法。
执行命令dcn ospf authentication-mode null，不对OSPF接口进行验证。
同一网段的接口的验证模式和口令必须相同，不同网段可以不同。
OSPF没有配置区域认证方式。建议配置认证方式，否则系统可能不安全。
- 执行命令commit，提交配置。
优化DCN路由
在DCN网络环境中，配置OSPF的一些特性功能可以对DCN网络的性能进行调整和优化。
操作步骤
- 执行命令system-view，进入系统视图。
- 执行命令interface interface-type interface-number，进入接口视图。
- 执行命令dcn（接口视图），使能接口DCN功能。或执行dcn mode vlan命令，使能4094子接口方式的DCN功能。
- 请选择如下步骤中的一种或多种，配置OSPF的特性功能。
配置接口发送Hello报文的时间间隔
执行命令dcn ospf timer hello interval，配置接口发送Hello报文的时间间隔。
配置邻居路由器重传LSA（Link State Advertisement）的间隔
执行命令dcn ospf timer retransmit interval，设置邻接路由器重传LSA的间隔。
配置接口传送LSA的延迟时间
执行命令dcn ospf trans-delay interval，配置接口传送LSA的延迟时间。
配置相邻路由器失效的时间
执行命令dcn ospf timer dead interval，设置相邻路由器失效的时间。
OSPF邻居的失效时间是指：在该时间间隔内，若未收到邻居发送的Hello报文，就认为该邻居已失效。
配置NBMA（Non-broadcast multiple access）网络中发送轮询报文的时间间隔
执行命令dcn ospf timer poll interval，在NBMA接口上配置发送轮询报文的时间间隔。
- 执行命令commit，提交配置。
配置DCN报文的优先级
配置DCN ACL策略
配置GNE与NE之间通道加密功能
检查配置结果
在完成提高DCN网络安全性配置后，通过检查配置结果可以查看配置是否生效。
任务示例
执行命令display this，查看配置的GNE网元超限告警阈值和SSL认证信息。
[~HUAWEI-dcn] display this # !The DCN function implements the capability of plug-and-play for this device. !A NE IP address based on the unique NE ID is automatically generated in VPN !of DCN. It is recommended that the NE IP address be changed to the planned !one by running the ne-ip X.X.X.X <MASK>command after the device being online. dcn ne-number alarm threshold 300 connect-mode security ssl verify-mode dual bind ssl-policy huawei2012 # return
执行命令display this，查看OSPF接口认证的配置。
[~HUAWEI-interface GigabitEthernet0/1/0] display this # undo shutdown dcn dcn ospf authentication-mode hmac-sha256 # return
执行命令display this，查看优化DCN路由的配置。
[~HUAWEI-interface GigabitEthernet0/1/0] display this # undo shutdown dcn dcn ospf timer hello 200 dcn ospf timer dead 400 dcn ospf timer poll 200 dcn ospf timer retransmit 200 dcn ospf trans-delay 20 # return
<HUAWEI> display dcn brief
------------------------------------------------
NE-ID: 0x10008
NE-IP: 128.1.0.8
Mask: 255.255.0.0
DCN-Interface: LoopBack2047
Auto-Report: Enable
------------------------------------------------
[~HUAWEI-dcn] display this # !The DCN function implements the capability of plug-and-play for this device. !A NE IP address based on the unique NE ID is automatically generated in VPN !of DCN. It is recommended that the NE IP address be changed to the planned !one by running the ne-ip X.X.X.X <MASK>command after the device being online. dcn bandwidth ethernet 1024 bandwidth pos 1024 bandwidth serial 192 fast-terminate disable # return
