ACL应用于本机防攻击
关于CPU Defend Policy
本机防攻击策略（CPU Defend Policy）通过对上送CPU的报文进行限制，防止因针对CPU的恶意攻击或无效报文过多而导致的CPU占用率过高。
防攻击整体部署思想是将所有上送CPU的报文分为信任域和非信任域，对信任域加以保护（设置带宽大些），对非信任域加以限制（设置的带宽小些）。
防攻击通过四个模块来实现信任域和非信任域的流量隔离和控制。
| 模块 | 功能 |
|---|---|
| TCP/IP攻击防范 | 通过识别攻击报文之后，直接丢弃。TCP/IP攻击防范是默认开启的功能，不需要配置。
主要支持下面4大类攻击报文的防护：
|
| 白名单 | 属于信任域，保护重要业务不受攻击的影响。
实现原理：基于TCP协议的应用层协议，包括BGP、LDP、MSDP、FTP-SERVER、SSH-SERVER、TELNET-SERVER、FTP-CLIENT、TELNET-CLIENT、SSH-CLIENT，当协议Session建立之后，系统自动将Session加入到白名单中，走高优先级，保证带宽。当攻击发生时，白名单中的业务不受影响，保持正常。
白名单是系统默认使能，无需用户配置。不建议修改白名单的缺省情况，如果想扩充其他应用，可以采用用户自定义流的方式。 |
| 黑名单 | 属于非信任域。用户可以明确指定需要严格控制的流量，采取丢弃策略，也可以对未知流量采用走默认通道的方式。默认通道分配低优先级，限制小带宽等方式。需要用户根据网络业务情况，配置相应策略。 |
| 用户自定义流 | 属于信任域，用户可以根据自身网络情况，灵活配置策略，指定自己需要保护的流量，控制流量的上送带宽，和上送优先级，包长等等。
用户自定义流还可以对用户关心的上送流量做细粒度的隔离，精确的控制，每一个自定义流量走单独的上送通道，互相之间不影响。需要用户根据网络业务情况，配置相应策略。 |
以上四个模块中的白名单、黑名单、用户自定义流，需要使用ACL规则来描述数据流特征。
每个防攻击策略下可以配置1个白名单和1个黑名单，以及多个用户自定义流。如下是防攻击策略的示意图。
cpu-defend policy 4 whitelist acl 2001 blacklist acl 2002 user-defined-flow 1 acl 2003 user-defined-flow 2 acl 2003 user-defined-flow 3 acl 2004 # cpu-defend policy 5 whitelist acl 2005
防攻击策略处理流程
- 先进行URPF、TCP/IP攻击防范和GTSM的安全检查。如果这些安全检查没通过，报文会被丢弃。
- 匹配白名单，不匹配就进行黑名单的匹配。
- 匹配黑名单，不匹配就进行用户自定义流的匹配。
- 匹配用户自定义流，不匹配就进行继续以下处理。
- 对上送的报文进行应用层联动检查，只上送上层应用协议开启的报文。没有开启的报文被丢弃。
步骤2~4中，匹配permit规则就按进行CAR限速上送CPU，匹配deny规则报文直接被丢弃。
“不匹配”都包含了三种情况：
- 没有命中任何规则；
- 引用的ACL不存在；
- 引用的ACL存在但没有配置任何规则。
此外，非管理接口接受到的管理报文直接丢弃。
