目  录

1 安全防护

1.1 异常报文攻击防护配置命令

1.1.1 ip defend attack

1.2 扫描攻击防护配置命令

1.2.1 ip defend ip-sweep interface

1.2.2 ip defend port-scan interface

1.3 flood攻击配置命令

1.3.1 ip defend

1.3.2 ip defend { synflood | udpflood | icmpflood | dnsflood } interface

1.4 IPMAC绑定配置命令

1.4.1 ipmac

1.5 防arp攻击配置命令

1.5.1 anti-arp broadcast

1.5.2 anti-arp broadcast interface

1.5.3 anti-arp broadcast interval

1.5.4 anti-arp flood

1.5.5 anti-arp flood block-time

1.5.6 anti-arp flood threshold

1.5.7 anti-arp learning-arp

1.5.8 anti-arp spoof

1.6 黑名单配置命令

1.6.1 blist add

1.6.2 display blist

1 安全防护

1.1  异常报文攻击防护配置命令

1.1.1  ip defend attack

ip defend attack命令用来配置异常报文攻击防护。

no ip defend attack命令用来删除异常报文攻击防护。

【命令】

ip defend attack { winnuke | tear-drop | land-base | tcp-flag | smurf | ping-of-death | ip-option | ip_spoof | jolt2 }

no ip defend attack { winnuke | tear-drop | land-base | tcp-flag | smurf | ping-of-death | ip-option | ip_spoof | jolt2 }

【视图】

系统视图

【参数】

winnuke：winnuke攻击。

tear-drop：tear-drop攻击。

land-base：land攻击。

tcp-flag：tcp flag攻击 。

smurf：smurf攻击。

ping-of-death：死亡之ping攻击。

ip-option：IP选项攻击。

ip_spoof：ip地址欺骗。

jolt2：jolt2攻击。

【使用指导】

·     Ping-of-death： ping-of-death攻击是通过向目的主机发送长度超过65535的icmp报文，使目的主机发生处理异常而崩溃。配置了防ping-of-death攻击功能后，设备可以检测出ping-of-death攻击，丢弃攻击报文并根据配置输出告警日志信息。

·     Land-Base：land-base攻击通过向目的主机发送目的地址和源地址相同的报文，使目的主机消耗大量的系统资源，从而造成系统崩溃或死机。配置了防land-base攻击功能后，设备可以检测出land-base攻击，丢弃攻击报文并根据日志配置输出告警日志信息。

·     Tear-drop：tear-drop攻击通过向目的主机发送报文偏移重叠的分片报文，使目的主机发生处理异常而崩溃。配置了防tear-drop攻击功能后，设备可以检测出tear-drop攻击，并根据配置输出告警日志信息。因为正常报文传送也有可能出现报文重叠，因此设备不会丢弃该报文，而是采取裁减、重新组装报文的方式，发送出正常的报文。

·     Tcp flag：TCP 异常攻击防护功能开启后，默认情况下当安全网关发现受到TCP 异常攻击后，会丢弃攻击包，并根据配置输出告警日志。

·     winnuke：winnuke攻击通过向目的主机的139、138、137、113、53端口发送TCP紧急标识位URG为1的带外数据报文，使系统处理异常而崩溃。配置了防winnuke攻击功能后，可以检测出winnuke攻击报文，并根据配置输出告警日志信息。

·     Smurf：这种攻击方法结合使用了IP欺骗和ICMP回复方法使大量网络传输充斥目标系统，引起目标系统拒绝为正常系统进行服务。Smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求(PING)数据包，来淹没受害主机，最终导致该网络的所有主机都对此ICMP应答请求做出答复，导致网络阻塞。

·     Ip-spoof：防护IP地址欺骗攻击，暂时用反向路由检测来实现，如果反向路由不存在或者反向路由查询结果是存在，但是该IP 为目的地址的数据包离开设备的接口和收到报文的接口不一致，则认为是攻击。

·     jolt2：jolt2攻击通过向目的主机发送报文偏移加上报文长度超过65535的报文，使目的主机处理异常而崩溃。

【举例】

# 配置tcp-flag安全防护。

host# configure termina

host(config)# ip defend attack tcp-flag

1.2  扫描攻击防护配置命令

1.2.1  ip defend ip-sweep interface

ip defend ip-sweep interface命令用来配置IP扫描功能。

no ip defend ip-sweep interface命令用来删除IP扫描功能。

【命令】

ip defend ip-sweep interface interface-name threshold threshold [ block-time time-value ]

no ip defend ip-sweep interface interface-name

【视图】

系统视图

【参数】

interface-name：接口名称。

threshold：扫描阈值，单位(ms）。

time-value：阻断时长，单位（s）。

【使用指导】

IP地址扫描是指 一个源 IP 地址在规定的时间间隔 ( 缺省值为 10毫秒 ) 内将 10 个 ICMP报文发给不同的主机时，即进行了一次地址扫描。【举例】

# 在接口ge0上配置IP址扫描，阈值是10毫秒，且阻断200秒。

host# configure termina

host(config)# ip defend ip-sweep interface ge0 threshold 10 block-time 200

1.2.2  ip defend port-scan interface

ip defend port-scan interface命令用来配置端口扫描。

no ip defend port-scan interface命令用来删除端口扫描。

【命令】

ip defend  port-scan interface interface-name threshold threshold [ block-time time-value ]

no ip defend port-scan interface interface-name

【视图】

系统视图

【参数】

interface-name：接口名称。

threshold：扫描阈值，取值范围10～5000，单位(ms）。

time-value：阻断时长，取值范围1～600，单位（s）。

【使用指导】

端口扫描是指当一个源 IP 地址在规定的时间间隔内 (缺省值为 10毫秒 ) 将含有 TCP SYN 片段的 IP 报文或UDP报文发送给位于相同目标 IP 地址的 10 个不同端口时，即进行了一次端口扫描。

【举例】

# 在接口ge0上配置端口扫描，阈值是10毫秒，且阻断200秒。

host# configure termina

host(config)# ip defend port-scan interface ge0 threshold 10 block-time 200

1.3  flood攻击配置命令

1.3.1  ip defend

ip defend 命令用来配置基于目的地址的Flood攻击。

no ip defend 命令用来删除基于目的地址的Flood攻击。

【命令】

ip defend { synflood | udpflood | icmpflood | dnsflood } startip start-ip endip end-ip threshold threshold

no ip defend { synflood | udpflood | icmpflood | dnsflood } startip start-ip endip end-ip

【视图】

系统视图

【参数】

synflood：synflood攻击。

udpflood：udpflood攻击。

icmpflood：icmpflood攻击。

dnsflood：dnsflood攻击。

start-ip：开始IP地址。

end-ip：结束IP地址。

threshold：阈值，取值范围1～100000，单位(连接数/秒)。

【举例】

# 对开始IP地址192.168.10.1和结束IP地址192.68.10.230网段配置防synflood攻击，阈值是100个连接每秒。

host# configure termina

host(config)# ip defend synflood startip 192.168.10.1 end-ip 192.168.10.230 threshold 100

1.3.2  ip defend { synflood | udpflood | icmpflood | dnsflood } interface

ip defend { synflood | udpflood | icmpflood | dnsflood } interface命令用来配置基于接口的Flood攻击。

no ip defend { synflood | udpflood | icmpflood | dnsflood } interface命令用来删除基于接口的Flood攻击。

【命令】

ip defend { synflood | udpflood | icmpflood | dnsflood } interface interface-name { source | destination } threshold

no ip defend { synflood | udpflood | icmpflood | dnsflood } interface interface-name { source | destination }

【视图】

系统视图

【参数】

synflood：synflood攻击。

udpflood：udpflood攻击。

icmpflood：icmpflood攻击。

dnsflood：dnsflood攻击。

interface-name：接口名称。

source：基于源地址的flood攻击。

destination：基于目的地址的flood攻击。

threshold：阈值，取值范围1～100000，单位(连接数/秒)。

【举例】

# 在ge0口配置源地址的synflood攻击，阈值是100个连接每秒。

host# configure termina

host(config)# ip defend synflood interface ge0 source threshold 100

1.4  IPMAC绑定配置命令

1.4.1  ipmac

ipmac命令用来配置IPMAC邦定功能。

no ipmac命令用来删除IPMAC邦定功能。

【命令】

ipmac name ip-address mac-address { unique-ip | multi-ip }

no ipmac ip-address

【视图】

系统视图

【参数】

enable：开启防护日志功能。

disable：关闭防护日志功能。

name：对象名称。

ip-address：IP地址。

mac-address：MAC地址。

unique-ip：绑定类型，指一个mac和一个ip地址唯一对应。

multi-ip：绑定类型，指一个mac地址和多个ip地址对应。

【举例】

# 配置IP地址192.168.1.1与MAC地址00:00:00:11:11:11的唯一绑定名称为abc。

host# configure termina

host(config)# ipmac abc 192.168.1.1 00:00:00:11:11:11 unique-ip

1.5  防arp攻击配置命令

1.5.1  anti-arp broadcast

anti-arp broadcast命令用来开启或关闭ARP主动保护发包功能。

【命令】

anti-arp broadcast { enable | disable }

【缺省情况】

缺省情况下，关闭ARP主动保护发包功能。

【视图】

系统视图

【参数】

enable：开启ARP主动保护发包功能。

disable：关闭ARP主动保护发包功能。

【举例】

# 开启ARP主动保护发包功能。

host# configure termina

host(config)# anti-arp broadcast enable

1.5.2  anti-arp broadcast interface

anti-arp broadcast interface 命令用来来添加ARP主动列表。

no anti-arp broadcast interface命令用来删除ARP主动列表。

【命令】

anti-arp broadcast interface interface-name [ list ip-address mac-address ]

no anti-arp broadcast interface interface-nane [ list ip-address mac-address ]

【视图】

系统视图

【参数】

interface-name：接口名称。

ip-address：IP地址。

mac-address：MAC地址。

【使用指导】

开启接口保护后，会根据主动保护开关和主动保护发包间隔发送接口对应的IP和MAC地址的免费ARP。

【举例】

# 在ge0端口上添加IP1.1.1.1和MAC地址00:0a:0b:ac:01:11的主动保护功能。

host# configure termina

host(config)# anti-arp broadcast interface ge0 list 1.1.1.1 00:0a:0b:ac:01:11

1.5.3  anti-arp broadcast interval

anti-arp broadcast interval 命令用来设置主动保护发包间隔。

【命令】

anti-arp broadcast interval threshold

【视图】

系统视图

【参数】

threshold：发包间隔，取值范围1～10，单位(s)。

【举例】

# 设置ARP主动保护的发包间隔为5s。

host# configure termina

host(config)# anti-arp broadcast interval 5

1.5.4  anti-arp flood

anti-arp flood命令用来开启或关闭ARP flood功能。

【命令】

anti-arp flood { enable | disable }

【缺省情况】

缺省情况下，关闭ARP flood功能。

【视图】

系统视图

【参数】

enable：开启ARP flood功能。

disable：关闭ARP flood学习功能。

【举例】

# 开启ARP  flood功能。

host# configure termina

host(config)# anti-arp flood enable

1.5.5  anti-arp flood block-time

anti-arp flood block-time命令用来设置ARP Flood的阻断时长。

no anti-arp flood block-time命令用来取消ARP Flood的阻断时长。

【命令】

anti-arp flood block-time threshold

no anti-arp flood block-time

【缺省情况】

缺省情况下，ARP Flood阻断时长为60s。

【视图】

系统视图

【参数】

threshold：阻断时长，取值范围1～65535，单位（s）。

【举例】

# 设置ARP Flood阻断时长500s。

host# configure termina

host(config)# anti-arp flood block-time 500

1.5.6  anti-arp flood threshold

anti-arp flood threshold命令用来设置ARP Flood的阈值。

no anti-arp flood threshold命令用来取消ARP Flood的阈值。

【命令】

anti-arp flood threshold threshold

no anti-arp flood threshold

【视图】

系统视图

【参数】

threshold：1秒钟内接受到的ARP数据包数量，默认值是300。

【举例】

# 设置ARP Flood阈值为500。

host# configure termina

host(config)# anti-arp flood threshold 500

1.5.7  anti-arp learning-arp

anti-arp learning-arp命令用来开启或关闭ARP学习功能。

【命令】

anti-arp learning-arp { enable | disable }

【缺省情况】

缺省情况下，关闭ARP学习功能。

【视图】

系统视图

【参数】

enable：开启ARP学习功能。

disable：关闭ARP学习功能。

【使用指导】

关闭了ARP学习后，任何报文只要不匹配IP-MAC绑定表，都将被丢弃，因此强烈建议在关闭此功能前一定要先绑定需要使用的IP-MAC。

【举例】

# 开启ARP主动学习功能。

host# configure termina

host(config)# anti-arp learning-arp enable

1.5.8  anti-arp spoof

anti-arp spoof命令用来开启或关闭 ARP攻击防御功能。

【命令】

anti-arp spoof { enable | disable }

【缺省情况】

缺省情况下，关闭 ARP攻击防御功能。

【视图】

系统视图

【参数】

enable：开启ARP攻击防御功能。

disable：关闭ARP攻击防御功能。

【使用指导】

只有选择启用ARP防欺骗攻击后才能启用主动保护和ARP学习功能。

【举例】

# 开启ARP攻击防御功能。

host# configure termina

host(config)# anti-arp spoof enable

1.6  黑名单配置命令

1.6.1  blist add

blist add命令用来黑名单配置。

【命令】

blist add ip-address age { 300 | 600 | 900 | 1800 | 3600 | 7200 | 14400 | 28800 | 86400 | forever }

【视图】

系统视图

【参数】

ip-address：主机IP地址。

300：老化时间为300秒。

600：老化时间为600秒。

900：老化时间为900秒。

1800：老化时间为1800秒。

3600：老化时间为3600秒。

7200：老化时间为7200秒。

14400：老化时间为14400秒。

28800：老化时间为28800秒。

86400：老化时间为86400秒。

forever：永久不老化。

【使用指导】

通过配置黑名单功能可以对来自指定IP地址的报文进行过滤，黑名单表项除了可以手工添加之外，还可以通过扫描攻击自动添加。

【举例】

# 将IP址1.1.1.1加入黑名单，加入时长设置为永久。

host# configure termina

host(config)# blist add  A.B.C.D age forever

1.6.2  display blist

display blist命令用来显示黑名单信息。

【命令】

display blist

【视图】

任意视图

【举例】

# 显示系统的黑名单信息。

host# display blist

IP address         age        leftTime      reason

1.1.1.1            forever     forever       manual

表1-1 display blist命令显示信息描述表