- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
07-TCP攻击防御配置
本章节下载： 07-TCP攻击防御配置 (110.38 KB)
攻击者可以利用TCP连接的建立过程对与其建立连接的设备进行攻击，为了避免攻击带来的危害，设备提供了相应的技术对攻击进行检测和防范：
· 防止Naptha攻击功能
· 防止TCP SYN Flood攻击功能
Naptha属于DDoS（Distributed Denial of Service，分布式拒绝服务）攻击方式，主要利用操作系统TCP/IP栈和网络应用程序需要使用一定的资源来控制TCP连接的特点，在短时间内不断地建立大量的TCP连接，并且使其保持在某个特定的状态（CLOSING、ESTABLISHED、FIN_WAIT_1、FIN_WAIT_2和LAST_ACK五种状态中的一种），而不请求任何数据，那么被攻击设备会因消耗大量的系统资源而陷入瘫痪。
防止Naptha攻击功能通过加速TCP状态的老化，来降低设备遭受Naptha攻击的风险。开启防止Naptha攻击功能后，设备周期性地对各状态的TCP连接数进行检测。当某状态的最大TCP连接数超过指定的最大连接数后，将加速该状态下TCP连接的老化。
(1) 进入系统视图。
system-view
(2) 开启防止Naptha攻击功能。
tcp anti-naptha enable
缺省情况下，防止Naptha攻击功能处于关闭状态。
(3) （可选）配置TCP连接的某一状态下的最大TCP连接数。
tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack } connection-limit number
缺省情况下，CLOSING、ESTABLISHED、 FIN_WAIT_1、 FIN_WAIT_2和LAST_ACK五种状态最大TCP连接数均为50。
如果最大TCP连接数为0，则表示不会加速该状态下TCP连接的老化。
(4) （可选）配置TCP连接状态的检测周期。
tcp check-state interval interval
缺省情况下，TCP连接状态的检测周期为30秒。
根据TCP协议，TCP连接的建立需要经过三次握手。利用TCP连接的建立过程，一些恶意的攻击者可以进行SYN Flood攻击。攻击者向设备发送大量请求建立TCP连接的SYN报文，而不回应设备的SYN ACK报文，导致设备上建立了大量的无效TCP半连接，从而达到耗尽系统资源，使设备无法处理正常业务的目的。
开启防止SYN Flood攻击功能后，设备处于攻击检测状态，当设备收到请求端（要与其建立TCP连接的客户端）发送的SYN报文时，如果SYN报文的速率达到或超过触发阈值，即认为存在攻击，则进入攻击防范状态，限速或者丢弃后续收到的SYN报文。在攻击防范的持续时间到达后，设备由攻击防范状态恢复为攻击检测状态。
(1) 进入系统视图。
system-view
(2) 开启TCP SYN Flood攻击防范功能。
tcp anti-syn-flood enable
缺省情况下，TCP SYN Flood攻击防范功能处于关闭状态。
(3) （可选）配置TCP SYN Flood 攻击防范的触发阈值。
tcp anti-syn-flood threshold threshold-value
缺省情况下，TCP SYN Flood攻击防范的触发阈值为100。
(4) （可选）配置TCP SYN Flood攻击防范的持续时间。
tcp anti-syn-flood duration minutes
缺省情况下，TCP SYN Flood攻击防范的持续时间为5分钟。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
