选择区域语言: EN CN HK

11-安全配置指导

19-连接限制配置

本章节下载  (131.84 KB)

docurl=/cn/Service/Document_Software/Document_Center/Routers/Catalog/MSR/MSR_50/Configure/Operation_Manual/H3C_MSR_CG-Release_2104(V1.10)/11/201311/803432_30005_0.htm

19-连接限制配置


1 连接限制配置

1.1  连接限制简介

内网用户访问外部网络时,如果某一用户在短时间内经过设备向外部网络发起大量连接,将会导致设备系统资源迅速消耗,其它用户无法正常使用网络资源。另外,如果一台内部服务器在短时间内接收到大量的连接请求,将会导致该服务器无法及时进行处理,以至于不能再接受其它客户端的正常连接请求。

因此,为了保护内部网络资源(主机或服务器)以及合理分配设备系统资源,需要制定相应的连接限制策略来对设备上建立的连接进行统计和限制。目前,设备支持的连接限制策略可通过限制用户发起的连接数来实现。

1.2  连接限制配置任务简介

表1-1 连接限制配置任务简介

配置任务

说明

详细配置

创建连接限制策略

必选

1.3 

配置连接限制策略

配置缺省连接限制动作和参数

可选

1.4.1 

配置基于ACL的连接限制策略

必选

1.4.2 

应用连接限制策略

必选

1.5 

 

1.3  创建连接限制策略

连接限制策略用于定义具体的连接限制规则,其中的规则规定了策略生效的范围和实施的参数。

表1-2 创建连接限制策略

操作

命令

说明

进入系统视图

system-view

-

创建连接限制策略,并进入连接限制策略视图

connection-limit policy policy-number

必选

 

1.4  配置连接限制策略

一个连接限制策略中可定义多条连接限制规则,每条连接限制规则中可指定一个连接限制的对象或范围,与之匹配的用户的连接建立将受到该规则中指定参数的限制。对于未指定连接限制规则的用户所建立的连接,设备将根据配置的缺省连接限制动作对其进行处理。

1.4.1  配置缺省连接限制动作和参数

缺省连接限制动作和参数的涵义如下:

l              若缺省的连接限制动作为deny,则表示不对这些连接进行统计和限制;

l              若缺省的连接限制动作为permit,则需按照缺省连接限制参数的设置来限制用户连接,即按照指定的连接数上限值来控制用户最大可建立的连接数,并在连接数下降到指定的下限值后允许新建连接。

需要注意的是,只有应用连接限制策略之后,缺省的连接限制配置才能生效。关于应用连接限制的配置请参见“1.5  应用连接限制策略”。

表1-3 配置缺省连接限制动作和参数

操作

命令

说明

进入系统视图

system-view

-

进入连接限制策略视图

connection-limit policy policy-number

-

设置缺省连接限制动作

connection-limit default action { deny | permit }

可选

缺省情况下,连接限制动作为deny,表示不对用户连接进行统计和限制

设置缺省连接限制参数

connection-limit default amount upper-limit max-amount lower-limit min-amount

可选

 

1.4.2  配置基于ACL的连接限制规则

可以根据ACL来限定用户范围,对匹配ACL规则的用户连接数进行统计和限制。

连接数限制是指,当某类型的连接数达到上限值时,设备将不接受该类型的新建连接请求,直到设备上已有连接因老化而删除,使得当前该类型的连接数等于或者低于连接数下限后,才允许新建连接。

设备可支持如下三种类型的连接限制规则:

l              per-destination:按目的地址方式统计和限制,即到同一个目的地址的连接数目受限。

l              per-service:按服务方式统计和限制,即同一种服务(或应用)的连接数目受限。

l              per-source:按源地址方式统计和限制,即同一个源地址发起的连接数目受限。

如果在一条规则中同时指定per-destinationper-serviceper-source类型中的多个,则各种统计和限制类型组合生效。例如,同时指定per-destinationper-service类型,则表示对同一个目的地址的同一种服务的连接进行统计和限制。

表1-4 配置基于ACL的连接限制规则

操作

命令

说明

进入系统视图

system-view

-

进入连接限制策略视图

connection-limit policy policy-number

-

配置基于ACL的连接限制规则

limit limit-id acl acl-number [ { per-destination | per-service | per-source } * amount max-amount min-amount ]

必选

 

l    在连接限制规则中未配置的参数,将采用缺省连接限制参数的配置。

l    连接限制规则按照规则编号从小到大的顺序进行匹配。

 

1.5  应用连接限制策略

将已经配置好的连接限制策略应用到全局或不同的业务模块上,实现对指定网络资源的连接限制。

表1-5 应用连接限制策略

操作

命令

说明

进入系统视图

system-view

-

在NAT模块上应用连接限制策略

nat connection-limit-policy policy-number

必选

 

1.6  连接限制的显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示连接限制配置后的运行情况,通过查看显示信息验证配置的效果。

表1-6 NAT显示和维护

操作

命令

显示连接限制策略的配置信息

display connection-limit policy { policy-number | all } [ | { begin | exclude | include } regular-expression ]

显示连接限制统计信息

display connection-limit statistics [ source src-address { mask-length | mask } ] [ destination dst-address { mask-length | mask } ] [ destination-port { eq | gt | lt | neq | range } port-number ] [ vpn-instance vpn-instance-name ] [ | { begin | exclude | include } regular-expression ]

显示NAT模块的连接限制统计信息

display nat connection-limit [ source src-address { mask-length | mask } ] [ destination dst-address { mask-length | mask } ] [ destination-port { eq | gt | lt | neq | range } port-number ] [ vpn-instance vpn-instance-name ] [ | { begin | exclude | include } regular-expression ]

 

1.7  连接限制常见配置错误举例

1.7.1  不同的连接限制规则中网段存在包含关系时,规则顺序错误

1. 故障现象      

在Router上进行如下配置,希望限制主机192.168.0.100最多向外部网络发起100条连接请求,以及192.168.0.0/24网段的其他主机最多向外部网络发起10条连接请求。

[Router-connection-limit-policy-0] limit 0 source ip 192.168.0.0 24 destination ip any protocol ip max-connections 10 per-source

[Router-connection-limit-policy-0] limit 1 source ip 192.168.0.100 32 destination ip any protocol ip max-connections 100 per-source

实际运行过程中,主机192.168.0.100最多只能向外部网络发起10条连接,后续连接被拒绝。

2. 故障分析

在上述配置中,limit 0和limit 1中指定的源IP地址范围存在包含关系,192.168.0.100发起的连接既符合limit 0又符合limit 1。由于在进行连接限制规则的匹配时,设备以匹配到的第一条有效规则为准,因此对192.168.0.100向外部网络发起的连接将只按照limit 0进行限制,而不会使用limit 1来限制。

3. 处理过程

为实现本需求,需要对limit 1与limit 0的顺序重新安排,将两个规则的序号进行调换,即将限制粒度更细、限制范围更精确的规则置前。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!