目  录

1 TCP和ICMP攻击防御

1.1 TCP和ICMP攻击防御配置命令

1.1.1 display ip icmp fast-reply statistics

1.1.2 display ipv6 icmpv6 fast-reply statistics

1.1.3 ip icmp fast-reply enable

1.1.4 ipv6 icmpv6 fast-reply enable

1.1.5 tcp anti-naptha enable

1.1.6 tcp anti-syn-flood duration

1.1.7 tcp anti-syn-flood enable

1.1.8 tcp anti-syn-flood threshold

1.1.9 tcp state

1.1.10 tcp check-state interval

1.1.11 reset ip icmp fast-reply statistics

1.1.12 reset ipv6 icmpv6 fast-reply statistics

1 TCP和ICMP攻击防御

1.1  TCP和ICMP攻击防御配置命令

1.1.1  display ip icmp fast-reply statistics

display ip icmp fast-reply statistics命令用来显示ICMP快速应答的报文统计信息。

【命令】

独立运行模式

display ip icmp fast-reply statistics [ slot slot-number ]

IRF模式

display ip icmp fast-reply statistics [ chassis chassis-number slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

slot slot-number：显示指定单板的ICMP快速应答的报文统计信息。slot-number表示单板所在的槽位号。如果未指定本参数，则显示所有单板上的ICMP快速应答的报文统计信息。（独立运行模式）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的ICMP快速应答的报文统计信息。chassis-number表示设备在IRF中的成员编号。slot-number表示单板的槽位号。如果未指定本参数，则显示所有单板上的ICMP快速应答的报文统计信息。（IRF模式）

【举例】

# 显示slot 2上的ICMP快速应答的报文统计信息。（独立运行模式）

<Sysname> display ip icmp fast-reply statistics slot 2

Number of fast replied ICMP messages: 419455

表1-1 display ip icmp fast-reply statistics 命令显示信息描述表

【相关命令】

·              reset ip icmp fast-reply statistics

1.1.2  display ipv6 icmpv6 fast-reply statistics

display ipv6 icmpv6 fast-reply statistics命令用来显示ICMPV6快速应答的报文统计信息。

【命令】

独立运行模式

display ipv6 icmpv6 fast-reply statistics [ slot slot-number ]

IRF模式

display ipv6 icmpv6 fast-reply statistics [ chassis chassis-number slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

slot slot-number：显示指定单板的ICMPV6快速应答的报文统计信息。slot-number表示单板所在的槽位号。如果未指定本参数，则显示所有单板上的ICMPV6快速应答的报文统计信息。（独立运行模式）

chassis chassis-number slot slot-number：显示指定成员设备上指定单板的ICMPV6快速应答的报文统计信息。chassis-number表示设备在IRF中的成员编号。slot-number表示单板的槽位号。如果未指定本参数，则显示所有单板上的ICMPV6快速应答的报文统计信息。（IRF模式）

【举例】

# 显示slot 2上的ICMPV6快速应答的报文统计信息。（独立运行模式）

<Sysname> display ipv6 icmpv6 fast-reply statistics slot 2

Number of fast replied ICMPv6 messages: 419455

表1-2 display ipv6 icmpv6 fast-reply statistics命令显示信息描述表

【相关命令】

·              reset ipv6 icmpv6 fast-reply statistics

1.1.3  ip icmp fast-reply enable

ip icmp fast-reply enable命令用来开启ICMP快速应答功能。

undo ip icmp fast-reply enable命令用来关闭ICMP快速应答功能。

【命令】

ip icmp fast-reply enable

undo ip icmp fast-reply enable

【缺省情况】

ICMP快速应答功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

为了防止ICMP请求报文攻击，用户可以开启ICMP快速应答功能，对于收到的ICMP请求报文由硬件快速应答。

【举例】

# 开启ICMP快速应答功能。

<Sysname> system-view

[Sysname] ip icmp fast-reply enable

【相关命令】

·              ipv6 icmpv6 fast-reply enable

1.1.4  ipv6 icmpv6 fast-reply enable

ipv6 icmpv6 fast-reply enable命令用来开启ICMPv6快速应答功能。

undo ipv6 icmpv6 fast-reply enable命令用来关闭ICMPv6快速应答功能。

【命令】

ipv6 icmpv6 fast-reply enable

undo ipv6 icmpv6 fast-reply enable

【缺省情况】

ICMPv6 快速应答功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

为了防止ICMPv6请求报文攻击，用户可以开启ICMPv6快速应答功能，对于收到的ICMPv6请求报文由硬件快速应答。

【举例】

# 开启ICMPv6快速应答功能。

<Sysname> system-view

[Sysname] ipv6 icmpv6 fast-reply enable

【相关命令】

·              ip icmp fast-reply enable

1.1.5  tcp anti-naptha enable

tcp anti-naptha enable命令用来开启防止Naptha攻击功能。

undo tcp anti-naptha enable命令用来关闭防止Naptha攻击功能。

【命令】

tcp anti-naptha enable

undo tcp anti-naptha enable

【缺省情况】

防止Naptha攻击功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

开启防止Naptha攻击功能后，设备周期性地对各状态的TCP连接数进行检测（检测周期由tcp check-state interval命令配置），当某状态的最大TCP连接数超过指定的最大连接数后（最大连接数由tcp state命令配置），将加速该状态下TCP连接的老化。

【举例】

# 开启防止Naptha攻击功能。

<Sysname> system-view

[Sysname] tcp anti-naptha enable

【相关命令】

·              tcp state

·              tcp check-state interval

1.1.6  tcp anti-syn-flood duration

tcp anti-syn-flood duration命令用来配置TCP SYN Flood攻击防范的持续时间。

undo tcp anti-syn-flood duration命令用来恢复缺省情况。

【命令】

tcp anti-syn-flood duration minutes

undo tcp anti-syn-flood duration

【缺省情况】

TCP SYN Flood攻击防范的持续时间为5分钟。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

duration minutes：TCP SYN Flood攻击防范的持续时间，取值范围为1～3600，单位为分钟。

【使用指导】

开启TCP SYN Flood攻击防范功能后，设备处于攻击检测状态。当监测到存在SYN Flood攻击时，则进入攻击防范状态，限速或者丢弃后续收到的SYN报文。在攻击防范的持续时间到达后，设备由攻击防范状态恢复为攻击检测状态。

【举例】

# 配置TCP SYN Flood攻击防范的持续时间为10分钟。

<Sysname> system-view

[Sysname] tcp anti-syn-flood duration 10

【相关命令】

·              tcp anti-syn-flood enable

·              tcp anti-syn-flood threshold

1.1.7  tcp anti-syn-flood enable

tcp anti-syn-flood enable命令用来开启TCP SYN Flood攻击防范功能。

undo tcp anti-syn-flood enable命令用来关闭TCP SYN Flood攻击防范功能。

【命令】

tcp anti-syn-flood enable

undo tcp anti-syn-flood enable

【缺省情况】

TCP SYN Flood攻击防范功能处于关闭状态。

【视图】      

系统视图

【缺省用户角色】

network-admin

【使用指导】

根据TCP协议，TCP连接的建立需要经过三次握手。利用TCP连接的建立过程，一些恶意的攻击者可以进行SYN Flood攻击。攻击者向设备发送大量请求建立TCP连接的SYN报文，而不回应设备的SYN ACK报文，导致设备上建立了大量的TCP半连接。从而达到耗费设备资源，使设备无法处理正常业务的目的。

开启TCP SYN Flood攻击防范功能后，设备收到请求端（要与其建立TCP连接的客户端）发送的SYN报文后，如果SYN报文的速率达到或超过触发阈值，即认为存在攻击，设备限速或者丢弃后续收到的SYN报文。

【举例】

# 开启TCP SYN Flood攻击防范功能。

<Sysname> system-view

[Sysname] tcp anti-syn-flood enable

【相关命令】

·              tcp anti-syn-flood threshold

·              tcp anti-syn-flood duration

1.1.8  tcp anti-syn-flood threshold

tcp anti-syn-flood threshold命令用来配置TCP SYN Flood攻击防范的触发阈值。

undo tcp anti-syn-flood threshold命令用来恢复缺省情况。

【命令】

tcp anti-syn-flood threshold threshold-value

undo tcp anti-syn-flood threshold

【缺省情况】

TCP SYN Flood攻击防范的触发阈值为100。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

threshold threshold-value：TCP SYN Flood 攻击防范的触发阈值，即每秒钟收到SYN报文的最大数目，取值范围为1～1000000。

【使用指导】

开启TCP SYN Flood攻击防范功能后，设备收到请求端（要与其建立TCP连接的客户端）发送的SYN报文后，如果SYN报文的速率达到或超过触发阈值，即认为存在攻击，设备限速或者丢弃后续收到的SYN报文。

【举例】

# 配置TCP SYN Flood攻击防范的触发阈值为200。

<Sysname> system-view

[Sysname] tcp anti-syn-flood threshold 200

【相关命令】

·              tcp anti-syn-flood enable

·              tcp anti-syn-flood duration

1.1.9  tcp state

tcp state命令用来配置TCP连接的某一状态下的最大TCP连接数。

undo tcp state命令用来恢复为缺省情况。

【命令】

tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack } connection-limit number

undo tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack } connection-limit

【缺省情况】

CLOSING、ESTABLISHED、 FIN_WAIT_1、 FIN_WAIT_2和LAST_ACK五种状态最大TCP连接数均为50。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

closing：TCP连接的CLOSING状态。

established：TCP连接的ESTABLISHED状态。

fin-wait-1：TCP连接的FIN_WAIT_1状态。

fin-wait-2：TCP连接的FIN_WAIT_2状态。

last-ack：TCP连接的LAST_ACK状态。

connection-limit number：最大TCP连接数，取值范围为0～500，取值为0时，表示不会加速该状态下TCP连接的老化。

【使用指导】

开启防止Naptha攻击功能后，各状态的最大TCP连接数限制才能生效，连接数目超过最大连接数后，将加速该状态下TCP连接的老化。

【举例】

# 配置ESTABLISHED状态下的最大TCP连接数为100。

<Sysname> system-view

[Sysname] tcp state established connection-limit 100

【相关命令】

·              tcp anti-naptha enable

·              tcp check-state interval

1.1.10  tcp check-state interval

tcp check-state interval命令用来配置TCP连接状态的检测周期。

undo tcp check-state interval命令用来恢复缺省情况。

【命令】

tcp check-state interval interval

undo tcp check-state interval

【缺省情况】

TCP连接状态的检测周期为30秒。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

interval：TCP连接状态的检测周期，取值范围为1～60，单位为秒。

【使用指导】

设备周期性地检测处于CLOSING、ESTABLISHED、 FIN_WAIT_1、 FIN_WAIT_2和LAST_ACK五种状态的TCP连接数，如果检测到某个状态的TCP连接数目超过设定的最大连接数时，将加速该状态下TCP连接的老化。

开启防止Naptha攻击功能后，设备才会周期性地对各状态的TCP连接数进行检测。

【举例】

# 配置TCP连接状态的检测周期为40秒。

<Sysname> system-view

[Sysname] tcp check-state interval 40

【相关命令】

·              tcp anti-naptha enable

·              tcp state

1.1.11  reset ip icmp fast-reply statistics

reset ip icmp fast-reply statistics命令用来清除ICMP快速应答的报文统计信息。

【命令】

独立运行模式

reset ip icmp fast-reply statistics [ slot slot-number ]

IRF模式

reset ip icmp fast-reply statistics [ chassis chassis-number slot slot-number ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

slot slot-number：清除指定单板的ICMP快速应答的报文统计信息。slot-number表示单板的槽位号。如果不指定该参数，则表示清除所有单板的ICMP快速应答的报文统计信息。（独立运行模式）

chassis chassis-number slot slot-number：清除指定成员设备上指定单板的ICMP快速应答的报文统计信息。chassis-number表示设备在IRF中的成员编号。slot-number表示单板的槽位号。如果没有指定该参数，则表示清除所有成员设备的所有单板上的ICMP快速应答的报文统计信息。（IRF模式）

【举例】

# 清除指定单板上的ICMP快速应答的报文统计信息。（独立运行模式）

<Sysname> reset ip icmp fast-reply statistics slot 2

【相关命令】

·              display ip icmp fast-reply statistics

1.1.12  reset ipv6 icmpv6 fast-reply statistics

reset ipv6 icmpv6 fast-reply statistics命令用来清除ICMPv6快速应答的报文统计信息。

【命令】

独立运行模式

reset ipv6 icmpv6 fast-reply statistics [ slot slot-number ]

IRF模式

reset ipv6 icmpv6 fast-reply statistics [ chassis chassis-number slot slot-number ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

slot slot-number：清除指定单板的ICMPv6快速应答的报文统计信息。slot-number表示单板的槽位号。如果不指定该参数，则表示清除所有单板的ICMPv6快速应答的报文统计信息。（独立运行模式）

chassis chassis-number slot slot-number：清除指定成员设备上指定单板的ICMPv6快速应答的报文统计信息。chassis-number表示设备在IRF中的成员编号。slot-number表示单板的槽位号。如果没有指定该参数，则表示清除所有成员设备的所有单板上的ICMPv6快速应答的报文统计信息。（IRF模式）

【举例】

# 清除指定单板上的ICMPv6快速应答的报文统计信息。（独立运行模式）

<Sysname> reset ipv6 icmpv6 fast-reply statistics slot 2

【相关命令】

·              display ipv6 icmpv6 fast-reply statistics