- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
11-IP信誉配置
本章节下载： 11-IP信誉配置 (210.52 KB)
目 录
IP信誉根据IP信誉特征库中的IP地址信息对网络流量进行过滤。
IP信誉特征库主要是具有僵尸主机DDoS攻击、命令注入攻击、木马下载和端口扫描等风险的IP地址集合。特征库中包含每个IP地址的方向属性、所属攻击分类、和攻击分类的动作等信息。
IP信誉对报文的处理流程如图1-1所示：
图1-1 IP信誉的报文处理流程图
IP信誉功能对报文的处理过程如下：
(1) 设备将报文的源IP地址和目的IP地址与例外IP地址进行匹配。任何一个IP地址与例外IP地址匹配成功，均放行报文。如果匹配失败，则进入下一步处理。
(2) 设备将报文的源IP地址和目的IP地址与特征库中的IP地址进行匹配。特征库中的IP地址具有方向属性，包含源、目的和双向（既可作为源地址也可作为目的地址）。仅当报文的IP地址与特征库中的IP地址和方向属性均一致时，才认为匹配成功（如果特征库中IP地址的方向属性是双向，则报文的源IP地址和目的IP地址均可匹配成功），并执行特征库中IP地址所属攻击分类的动作；如果匹配失败，则放行报文。设备支持的攻击分类动作如下：
¡ 若动作为“允许”，则设备将允许此报文通过。
¡ 若动作为“丢弃”，则设备将丢弃此报文。
¡ 若动作为“日志”，则设备将记录IP信誉日志。
本特性的支持情况与设备型号有关，请以设备的实际情况为准。
|
型号 |
说明 |
|
F1000-E-G5、F1000-H-G5 |
支持 |
|
F100-C-G5、F100-M-G5、F100-S-G5 |
支持 |
|
F1000-A-G3/F1000-C-G3/F1000-E-G3/F1000-S-G3 |
支持 |
|
F100-A-G3/F100-C-G3/F100-E-G3/F100-M-G3/F100-S-G3 |
支持 |
|
F1000-E-VG/F1000-S-VG |
支持 |
|
F1000-A-G2/F1000-C-G2/F1000-E-G2/F1000-S-G2 |
支持 |
|
F100-A-G2/F100-C-G2/F100-E-G2/F100-M-G2/F100-S-G2 |
支持 |
|
F1000-C-EI/F100-A-EI/F100-A-SI/F100-C-EI/F100-E-EI |
支持 |
|
F100-A80-WiNet/F100-C80-WiNet/F100-C60-WiNet/F100-C50-WiNet/F100-S80-WiNet |
支持 |
|
F1000-C8395 |
支持 |
|
F1000-C8180/F1000-C8170/F1000-C8160/F1000-C8150/F1000-C8130/F1000-C8120/F1000-C8110 |
支持 |
|
F100-C-A6/F100-C-A5/F100-C-A3 |
支持 |
|
F100-C-A6-WL/F100-C-A5-W/F100-C-A3-W |
不支持 |
|
F1000-C-HI/F100-A-HI/F100-C-HI/F100-S-HI |
支持 |
|
F1000-720-HI、F1000-710-HI |
支持 |
|
F100-C-XI、F100-S-XI |
支持 |
|
F1000-9390-AI、F1000-9385-AI |
支持 |
|
F1000-990-AI/F1000-980-AI/F1000-970-AI/F1000-960-AI/F1000-950-AI/F1000-930-AI/F1000-920-AI/F1000-910-AI/F1000-905-AI |
支持 |
|
LSPM6FWD8/LSQM2FWDSC8 |
支持 |
IP信誉功能需要购买并正确安装License后才能使用。License过期后，IP信誉功能可以采用设备中已有的IP信誉特征库正常工作7天。7天后，特征库会因无法升级而清空数据，IP信誉功能不可用。关于License的详细介绍请参见“基础配置指导”中的“License管理”。
IP信誉配置任务如下：
(1) 开启全局IP信誉功能
(2) 配置攻击分类执行的动作
(3) （可选）配置例外IP地址
(4) （可选）开启Top排名统计功能
开启IP信誉功能后，设备对报文的源、目的IP地址进行匹配，如果命中IP信誉库，则执行此IP地址所属攻击分类的动作。
(1) 进入系统视图。
system-view
(2) 进入IP信誉视图。
ip-reputation
(3) 开启全局IP信誉功能。
global enable
缺省情况下，全局IP信誉功能处于关闭状态。
IP信誉特征库中，一个IP地址可对应多种攻击分类，每种攻击分类都有对应执行的动作。
当IP地址只属于一种攻击分类时，设备将对匹配上该IP地址的报文执行攻击分类对应的动作；当IP地址属于多种攻击分类时，设备将对匹配上该IP地址的报文执行多种攻击分类中优先级最高的动作。其中，动作的优先级从高到底依次为：丢弃>允许。
只要IP地址所属的任一攻击分类配置了日志动作，则对匹配上该IP地址的报文执行记录日志动作。
设备仅支持以快速日志的方式输出IP信誉日志，有关快速日志的详细介绍，请参见“网络管理和监控配置指导”中的“快速日志输出”。
(1) 进入系统视图。
system-view
(2) 进入IP信誉视图。
ip-reputation
(3) 配置攻击分类执行的动作。
attack-category attack-id { action { deny | permit } | logging { disable | enable } } *
缺省情况下，未配置对指定攻击分类执行的动作，设备执行IP信誉特征库中的缺省动作。
若报文的源或目的IP地址与例外IP地址匹配成功，则设备直接放行该报文。
(1) 进入系统视图。
system-view
(2) 进入IP信誉视图。
ip-reputation
(3) 配置例外IP地址。
exception ipv4 ipv4-address
缺省情况下，未配置例外IP地址。
开启本功能后，设备将对命中IP信誉特征库的IP地址进行统计排名。
关闭本功能后，统计信息将自动清空。
(1) 进入系统视图。
system-view
(2) 进入IP信誉视图。
ip-reputation
(3) 开启Top排名统计功能。
top-hit-statistics enable
缺省情况下，Top排名统计功能处于关闭状态。
在完成上述配置后，在任意视图下执行display命令可以显示IP信誉的配置信息和Top排名统计信息等，通过查看显示信息验证配置的效果。
表1-1 IP信誉显示和维护
|
操作 |
命令 |
|
显示IP信誉特征库中的攻击分类信息 |
display ip-reputation attack-category |
|
显示例外IP地址信息 |
display ip-reputation exception |
|
显示Top排名统计信息 |
display ip-reputation top-hit-statistics [ top-number ] [ slot slot-number ] |
|
显示IP信誉特征库中的IP地址信息 |
display ip-reputation ipv4 ipv4-address |
如图1-2所示Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现在需要通过使能IP信誉功能，对所有进出Device的流量进行控制，并需要开启Top统计功能，方便管理员查看攻击统计信息。
图1-2 IP信誉基础配置组网图
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<Device> system-view
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 配置静态路由
本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。
# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/0/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2
[Device-security-zone-Untrust] quit
(4) 配置安全策略
# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网。具体配置步骤如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(5) 配置IP信誉功能
# 开启Top排名统计功能。
[Device] ip-reputation
[Device-ip-reputation] global enable
[Device-ip-reputation] top-hit-statistics enable
# 配置IP信誉库中编号为1的攻击分类对应的动作为丢弃和记录日志。
[Device-ip-reputation] attack-category 1 action deny logging enable
[Device-ip-reputation] quit
配置完成后，当攻击报文匹配到编号为1的攻击分类时，设备将对报文执行丢弃动作，并会记录IP信誉日志。管理员可到Web界面侧查看IP信誉Top排名统计信息。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
