H3C SecPath AFC2000系列异常流量清洗系统典型配置案例集-5W104

04-串联部署单机单通道及多通道配置举例

1 特性简介

H3C流量清洗系统支持多种部署方式，以适应不同场景下的流量清洗需求，概括为串联部署模式和旁路部署模式。

本章主要介绍串联模式下单机部署及单机多路部署，针对旁路部署请查考对应文档。

串联部署是以透明模式进行组网，异常流量清洗设备（简称AFC）串联接入到受保护网络的出口，以便在攻击流量到达服务器之前将攻击流量过滤，放行正常流量。

2 特性使用

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解VLAN、链路聚合特性。

2.1 配置指南

H3C异常流量清洗系统部署包括AFC设备及交换机的基本配置，采用命令行配置。异常流量检测设备（AFC）的基本配置和业务相关配置，采用WEB界面配置。本配置以异常流量清洗设备单台部署流量清洗为例。

2.1.1 流量清洗业务配置指南

· 单通道设备

对于单通道设备，如AFC 2100，将AFC设备通道输入接口接入到上层网络设备，将AFC设备的通道输出口接入到下层网络设备上，实现AFC对进出网络的流量进行清洗过滤。

· 多通道设备

对于多路设备，如AFC 2020，需要在上下层交换机上做链路聚合配置后，将AFC多通道的输入接口插入上层交换机的聚合组，将AFC多通道的输出接口插入下层交换机的聚合组。

2.2 注意事项

· 进行AFC串联部署的上下层交换机需要满足支持端口聚合功能；

· 不同厂商不同型号的交换机或路由器，配置命令不同，请按照设备操作手册进行配置操作。

3 支持的设备和版本

3.1 支持的设备

H3C SecPath AFC

：

当前AFC 2100为10G单通道设备。其他型号均为多通道设备。

3.2 设备版本

3.2.1 H3C SecPath AFC

软件版本：H3C i-Ware Software, Version 1.10, ESS 6501

部署方式：串联防护

3.3 配置保存

通过在Web页面中【系统管理】-【系统备份恢复】-【备份项目】对页面操作进行保存。

4 相关资料

· H3C SecPath AFC2000系列安装指导手册

· H3C SecPath AFC2000系列配置指导手册

5 AFC串联部署单通道设备典型配置举例

5.1 简介

本章介绍AFC串联部署的设备为单通道时如何进行配置操作。

5.2 使用限制

串联模式应用的场景为客户需要实时对进出网络流量进行全链路检测清洗或者客户网络设备中无三层路由设备无法进行旁路部署。

5.3 串联单通道模式配置举例

5.3.1 适用产品和版本

本配置适用于H3C SecPath AFC串联设备。

软件版本：H3C i-Ware Software, Version 1.10, ESS 6501。

5.3.2 组网需求

为实现对攻击被保护IP 171.0.1.21的流量的清洗，将AFC设备串联到客户网络中，AFC通道输入口接上层交换机，AFC通道输出口接下层交换机，AFC对接收的混合流量进行检测过滤后转发到下层网络。组网如图1所示。

图5-1 AFC串联部署单通道设备配置组网图

具体实现如下：

· 接口连接：AFC通道输入口Slot0/0接上层交换机，AFC通道输出口Slot0/1接下层交换机。

· 主机流量清洗：AFC上配置防护范围及防护主机策略，通过策略对实时对主机流量进行过滤检测。

表5-1 VLAN分配列表

VLAN ID	作用描述	IP地址
1711	· 核心交换机与AFC通道输入口连接接口； · 下层网络的网关地址	171.0.1.1/24

VLAN ID

作用描述

IP地址

1711

· 核心交换机与AFC通道输入口连接接口；

· 下层网络的网关地址

171.0.1.1/24

表5-2 AFC接口IP分配列表

接口	作用描述	IP地址
Slot0/0	串联模式下，无需配置，如果配置，需要与网络地址无冲突
Slot0/1	串联模式下，无需配置，如果配置，需要与网络地址无冲突
Eth0	AFC管理口	183.1.0.24/24

【AFC】接口名称，由具体设备型号而定，此处只做指导参考。接口功能，请参考具体设备型号，依据设备默认接口功能进行使用配置，请勿自行修改。

5.3.3 配置思路

要实现AFC串联部署单通道模式配置，可按照如下思路进行配置：

· 上下层交换机配置：配置上下层交换机与AFC相连的接口二层属性一致，比如同为VLAN 1711，或者同为Trunk模式，且允许VLAN 1711通过；

· AFC配置：修改AFC为串联模式，设置防护范围及防护主机，启用防护策略。

5.3.4 配置注意事项

要进行串联组网部署，首先要确保AFC设备部署方式已经切换为串联模式。

通过SSH配置视图，切换AFC部署模式：

# 切换【AFC】工作模式为：inline

> systools bootrom inline

NOTE: the switching may need some time, do not interrupt to avoid severe damage

type 'SURE' to confirm switching the bootrom ... sure

switching bootrom, do not reboot or poweroff ... done

reboot is needed

当前【AFC】支持旁路与串联切换，切换命令为:systool boot bypass|inline，其中bypass表示切换为旁路，inline表示切换为串联。

5.3.5 配置步骤

1. 配置AFC

使用SSH方式登录AFC CLI配置视图：

# 修改【AFC】通道

> config startup-script channel_device 0 Slot0/0 Slot0/1

modified the startup script with channel 0 devices

#应用通道配置

> config startup-script channel_device apply

apply the channel device settings ? yes

applying ... succeed

applied the channel device settings

# 配置【AFC】接口

图5-2 查看AFC通道口

默认串联版本，通道口有默认IP，在不与网络IP冲突的情况下不需要修改。

# 添加防护范围及回注方式

防护范围及回注方式，回注方式选择“默认”，回注参数留空

图5-3 配置AFC防护范围

图5-4 配置AF保护主机IP

2. 配置核心交换机

创建1711，VLAN 1711对应171.0.1.0/24网段，作用为与下层终端设备在同一网段，并作为终端设备网关。

# 创建VLAN

[L3SW1]vlan 1711

[L3SW1]quit

# 配置VLAN IP

[L3SW1]interface Vlan-interface1711

[L3SW1-Vlan-interface1711]ip address 171.0.1.1 255.255.255.0

[L3SW1-Vlan-interface1711]quit

3. 配置下层交换机

创建VLAN 1711,作用为连接上层网络的上联口。

# 创建VLAN

[L2SW1]vlan 1711

# 将交换机连接主机的接口加入VLAN

[L2SW1]interface GigabitEthernet1/0/13

# 连接被保护主机

[L2SW1-GigabitEthernet1/0/13]port link-mode bridge

[L2SW1-GigabitEthernet1/0/13]port access vlan 1711

[L2SW1-GigabitEthernet1/0/13]quit

# 配置下层交换机与核心交换机相连接口VLAN

[L2SW1]interface GigabitEthernet1/0/17

# 连接上层三层交换机

[L2SW1-GigabitEthernet1/0/17]port link-mode bridge

[L2SW1-GigabitEthernet1/0/17]port access vlan 1711

[L2SW1-GigabitEthernet1/0/17]quit

如果上下层交换机为不可管理交换机，则无需配置VLAN，确保没有环路即可。

5.3.6 验证配置

(1) 验证客户端与服务端通信是否经过【AFC】

在客户端ping保护主机，查看【AFC】上主机状态，有ICMP报文过来

图5-5 客户端ping服务器

在【AFC】上抓取客户端到服务器的ping包。

抓包分析，在【AFC】通道的输入口Slot0/0即eth12，可以看到客户端184.0.0.75到服务器171.0.1.21的echo包。

图5-6 在AFC上抓包，查看输入口报文

抓包分析，在【AFC】通道的输出口Slot0/1即eth13，可以看到客户端184.0.0.75到服务器171.0.1.21的echo包。

图5-7 在AFC上抓包，查看输出口报文

6 AFC串联部署多通道设备典型配置举例

6.1 简介

本章介绍AFC串联部署的设备为多通道时如何进行配置操作。

6.2 使用限制

串联模式应用的场景为客户需要实时对进出网络流量进行全链路检测清洗或者客户网络设备中无三层路由设备无法进行旁路部署。

6.3 串联多通道模式配置举例

6.3.1 适用产品和版本

本配置适用于H3C SecPath AFC串联设备。

软件版本：H3C i-Ware Software, Version 1.10, ESS 6501。

6.3.2 组网需求

为实现对攻击被保护IP 171.0.1.21的流量的清洗，将AFC设备串联到客户网络中，AFC所有通道输入口接上层交换机端口聚合组，AFC所有通道输出口接下层交换机端口聚合组，AFC对接收的混合流量进行检测过滤后转发到下层网络。组网如图8所示。

图6-1 AFC串联部署多通道设备配置组网图

具体实现如下：

· 接口连接：AFC所有通道输入口接上层交换机端口聚合组aggregation 8，AFC所有通道输出口接下层交换机端口聚合组aggregation 8。

· 主机流量清洗：AFC上配置防护范围及防护主机策略，通过策略对实时对主机流量进行过滤检测。

表6-1 VLAN分配列表

VLAN ID	作用描述	IP地址
1711	· 核心交换机与AFC通道输入口连接接口； · 上下层交换机聚合组所属VLAN · 下层网络网关	171.0.1.1/24

VLAN ID

作用描述

IP地址

1711

· 核心交换机与AFC通道输入口连接接口；

· 上下层交换机聚合组所属VLAN

· 下层网络网关

171.0.1.1/24

表6-2 AFC接口IP分配列表

接口	作用描述	IP地址
Slot0/0	· 串联模式下，无需配置，如果配置，需要与网络地址无冲突
Slot0/1	· 串联模式下，无需配置，如果配置，需要与网络地址无冲突
Slot0/2	· 串联模式下，无需配置，如果配置，需要与网络地址无冲突
Slot0/3	· 串联模式下，无需配置，如果配置，需要与网络地址无冲突
Eth0	· AFC管理口	183.1.0.24/24

【AFC】接口名称，由具体设备型号而定，此处只做指导参考。

6.3.3 配置思路

要实现AFC串联部署多通道模式配置，可按照如下思路进行配置：

· 上下层交换机配置：上下交换机分别建立端口聚合组，且聚合组配置属性相同，如VLAN信息均属于VLAN 1711；

· AFC配置：修改AFC为串联模式，设置防护范围及防护主机，启用防护策略。将AFC所有通道输入口接入到上层交换机的聚合组，将AFC所有通道的输出口接入下层交换机的聚合组。

6.3.4 配置注意事项