• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C MSR系列开放多业务路由器 Web配置指导(V7)-R6749-6W100

07-网络安全

本章节下载 07-网络安全  (654.71 KB)

07-网络安全

1 网络安全

1.1  防火墙

1. 简介

防火墙功能是通过一系列的安全规则匹配网络中的报文,并执行相应的动作,从而达到阻断非法报文传输、正常转发合法报文的目的,为用户的网络提供一道安全屏障。

2. 注意事项

当报文匹配到一个防火墙安全规则后,则不会继续向下匹配,所以请合理安排安全规则的优先级,避免报文匹配错误的规则而导致执行相反动作。

3. 配置准备

·     请提前完成外网配置页面的相关配置,才可创建防火墙安全规则。

·     若需指定防火墙安全规则的生效时间,请提前在时间组页面创建相应的时间组。

4. 配置步骤

(1)     单击导航树中[网络安全/防火墙]菜单项,进入防火墙配置页面。

图1-1 防火墙安全规则

 

(2)     点击<添加>按钮,进入创建安全规则页面。

(3)     在“接口”配置项处,选择应用的接口,该规则将对指定接口接收到的报文进行匹配。

(4)     在“协议”配置项处,选择该规则所匹配报文的协议类型。若需匹配某传输层协议的报文,则选择“TCP”或“UDP”;若需匹配Ping、Tracert等ICMP协议报文,则选择“ICMP”;若需匹配所有协议报文,则选择“所有协议”。

(5)     在“源IP地址/掩码”配置项处,配置该规则所匹配报文发送端的IP地址及掩码,输入“any”则代表匹配所有源IP地址。

(6)     在“目的IP地址/掩码”配置项处,配置该规则所匹配报文接收端的IP地址及掩码,输入“any”则代表匹配所有目的IP地址。

(7)     在“目的端口”配置项处,配置该规则所匹配报文的目的端口号,例如HTTP协议报文的目的端口号为80。

(8)     在“规则生效时间”配置项处,选择该规则生效时间对应的时间组。

(9)     在“动作”配置项处,选择该规则所匹配报文的执行动作。

(10)     在“优先级”配置项处,选择该规则的优先级类型。

¡     自动:系统自动为该规则分配优先级,即根据规则的配置顺序以5为步长进行依次分配。

¡     自定义:用户自定义规则的优先级,数值越小则优先级越高。

(11)     在“描述”配置项处,配置该安全规则的描述信息。

(12)     点击<确定>按钮,完成创建安全规则。

图1-2 创建安全规则

 

1.2  DDoS攻击防御

1.2.1  简介

DDoS攻击是一类广泛存在于互联网中的攻击,能造成比传统DoS攻击(拒绝服务攻击)更大的危害。配置本功能能让您的设备和网络免受如下DDoS攻击的困扰:

·     单包攻击:攻击者利用畸形报文发起攻击,旨在瘫痪目标系统。例如Land攻击报文是源IP和目的IP均为攻击目标IP的TCP报文,此攻击将耗尽目标服务器的连接资源,使其无法处理正常业务。

·     异常流攻击

¡     扫描攻击:攻击者对主机地址和端口进行扫描,探测目标网络拓扑以及开放的服务端口,为进一步侵入目标系统做准备。

¡     泛洪攻击:攻击者向目标系统发送大量伪造请求,导致目标系统疲于应对无用信息,从而无法为合法用户提供正常服务。

设备可防御的DDoS攻击包括:

·     单包攻击:Fraggle攻击、Land攻击、WinNuke攻击、TCP Flag攻击、ICMP不可达报文攻击、ICMP重定向报文攻击、Smurf攻击、带源路由选项的IP报文攻击、带路由记录选项的IP报文攻击和超大ICMP报文攻击。

·     异常流攻击:扫描攻击、SYN flood攻击、UDP flood攻击和ICMP flood攻击。

1.2.2  攻击防御

1. 配置步骤

(1)     单击导航树中[网络安全/DDoS攻击防御]菜单项,进入DDoS攻击防御配置页面。

(2)     单击“攻击防御”页签,进入攻击防御配置页面。

图1-3 攻击防御

 

(3)     点击<添加>按钮,进入新建攻击防御页面。

¡     在“应用接口”配置项处,选择应用该DDoS攻击防御策略的接口。

¡     在“单包攻击防御”配置项处,选择需要开启防御的单包攻击类型。

建议您开启全部单包攻击防御。

¡     在“异常流攻击防御”配置项处,选择需要开启防御的异常流攻击类型。

-     启动扫描攻击防御后,可选择将源IP地址加入黑名单。在一定时间内,来自扫描攻击源的报文将被设备直接丢弃。被加入黑名单的IP地址可在黑名单管理页面查看。

-     建议您根据网络流量类型开启对应的泛洪攻击防御。

(4)     点击<确定>按钮,完成配置。

图1-4 新建攻击防御

 

1.2.3  攻击防御统计

1. 简介

攻击防御统计功能是用来查看设备受到DDoS攻击的详情,包括攻击类型、总次数、最后发生时间、被攻击的接口/安全域,以及发生的用户IP。

2. 配置步骤

(1)     单击导航树中[网络安全/DDoS攻击防御]菜单项,进入DDoS攻击防御配置页面。

(2)     单击“攻击防御统计”页签,进入攻击防御统计页面。

(3)     点击<单包攻击防御>按钮,查看单包攻击的相关统计信息。

(4)     点击<异常流量攻击防御>按钮,查看异常流量攻击的相关统计信息。

(5)     点击<导出Excel>按钮,可将相关统计信息以Excel文件的形式导出。

图1-5 攻击防御统计

 

1.2.4  黑名单管理

1. 简介

启动扫描攻击防御后,可选择将源IP地址加入黑名单。在一定时间内,来自扫描攻击源的报文将被设备直接丢弃。

被加入黑名单的用户可在黑名单管理页面查看,该页面用来记录黑名单相关信息,包括黑名单用户、MAC地址、类型和动作。

2. 配置步骤

(1)     单击导航树中[网络安全/DDoS攻击防御]菜单项,进入DDoS攻击防御配置页面。

(2)     单击“黑名单管理”页签,进入黑名单管理页面。

(3)     在列表中点击黑名单用户对应的动作列图标,可将用户从黑名单中删除。

图1-6 黑名单管理

 

1.3  连接限制

1.3.1  简介

连接限制功能是一种安全机制,通过限制每个IP地址主动发起连接的个数,达到合理分配设备处理资源、防范恶意连接的效果。

如果设备发现来自某IP地址的TCP或UDP连接数目超过指定的数目,将禁止该连接建立。直到该连接数低于限制数时,其才被允许新建连接。

设备支持配置如下两种连接限制:

·     网络连接限制:在指定IP地址范围内,配置每个IP地址发起连接的个数限制。此方式用于对设备上的所有接口收到的连接进行控制。

·     VLAN网络连接限制:在指定VLAN接口上,配置每个IP地址发起连接的个数限制。此方式用于对指定VLAN接口收到的连接进行控制。

1.3.2  配置网络连接限制数

(1)     单击导航树中[网络安全/连接限制]菜单项,进入连接限制配置页面。

(2)     单击“网络连接限制数”页签。

(3)     勾选“开启网络连接限制数”选项,进入网络连接限制数配置页面。

图1-7 网络连接限制数规则

 

(4)     点击<添加>按钮,进入新建网络连接限制数规则页面。

(5)     在“起始IP地址”配置项处,输入地址范围的起始IP地址。

(6)     在“结束IP地址”配置项处,输入地址范围的结束IP地址。

(7)     在“每IP总连接数上限”配置项处,输入每个IP地址所允许发起连接的总个数上限。

相同源IP,源端口、目的IP、目的端口或报文协议不完全相同的连接均属于不同的连接。

(8)     在“每IP TCP连接数上限”配置项处,输入每个IP地址所允许发起的TCP连接的个数上限。您可以在上面设置的总连接限制数下,对TCP连接数进行单独限制。

(9)     在“每IP UDP连接数上限”配置项处,输入每个IP地址所允许发起的UDP连接的个数上限。您可以在上面设置的总连接限制数下,对UDP连接数进行单独限制。

(10)     在“描述”配置项处,输入规则描述信息。

(11)     点击<确定>按钮,完成配置。

图1-8 新建网络连接限制数规则

 

1.3.3  配置VLAN网络连接限制数

(1)     单击导航树中[网络安全/连接限制]菜单项,进入连接限制配置页面。

(2)     单击“VLAN网络连接限制数”页签。

图1-9 VLAN网络连接限制数

 

(3)     点击<添加>按钮,进入新建VLAN网络连接限制数规则页面。

(4)     在“VLAN接口”下拉菜单处,选择应用此规则的VLAN接口。

(5)     选择“启动连接限制功能”选项。

(6)     在“每IP总连接数上限”配置项处,输入每个IP地址所允许发起连接的总个数上限。

相同源IP,源端口、目的IP、目的端口或报文协议不完全相同的连接均属于不同的连接。

(7)     在“每IP TCP连接数上限”配置项处,输入每个IP地址所允许发起的TCP连接的个数上限。您可以在上面设置的总连接限制数下,对TCP连接数进行单独限制。

(8)     在“每IP UDP连接数上限”配置项处,输入每个IP地址所允许发起的UDP连接的个数上限。您可以在上面设置的总连接限制数下,对UDP连接数进行单独限制。

(9)     在“描述”配置项处,输入规则描述信息。

(10)     点击<确定>按钮,完成配置。

图1-10 新建VLAN网络连接限制数规则

 

1.4  MAC地址过滤

1.4.1  简介

如果您希望对某些设备发送过来的报文进行限制(允许或禁止其通过),则可以在三层接口上配置MAC地址过滤功能,本功能将根据接收报文的源MAC地址对其过滤。

配置方式有如下两种:

·     白名单:允许源MAC地址在白名单内的报文通过,其余禁止通过。

·     黑名单:禁止源MAC地址在黑名单内的报文通过,其余允许通过。

1.4.2  MAC过滤设置

1. 注意事项

如果您想在管理员终端连接的接口上开启MAC地址过滤功能,请先确保管理员的终端MAC地址已添加到白名单中或未添加到黑名单。

2. 配置步骤

(1)     单击导航树中[网络安全/MAC地址过滤]菜单项,进入MAC地址过滤配置页面。

(2)     单击“MAC过滤设置”页签,进入MAC过滤设置页面。

(3)     在指定接口的“过滤方式”区段上,选择“白名单”或“黑名单”,并在“开启和关闭”区段上勾选“开启”选项。

(4)     点击<应用>按钮,开启MAC地址过滤。

图1-11 MAC过滤设置

 

1.4.3  单个添加黑白名单

1. 注意事项

单个添加黑白名单的方法相同,下面以白名单为例介绍配置步骤。

2. 配置步骤

(1)     单击导航树中[网络安全/MAC地址过滤]菜单项,进入MAC地址过滤配置页面。

(2)     单击“MAC黑白名单管理”页签,进入MAC黑白名单管理设置页面。

(3)     单击“白名单”页签,进入白名单设置页面。

图1-12 MAC黑白名单管理

 

(4)     点击<添加>按钮,进入添加源MAC地址页面。

(5)     输入待过滤的源MAC地址。

(6)     点击<确定>按钮,完成对白名单添加单个MAC地址的操作。

图1-13 添加源MAC地址

 

1.4.4  批量添加黑白名单

1. 注意事项

批量添加黑白名单的方法相同,下面以白名单为例介绍配置步骤。

2. 配置步骤

(1)     单击导航树中[网络安全/MAC地址过滤]菜单项,进入MAC地址过滤配置页面。

(2)     单击“MAC黑白名单管理”页签,进入MAC黑白名单管理设置页面。

(3)     单击“白名单”页签,进入白名单设置页面。

(4)     点击<导出>按钮,选择“导出模板”。

(5)     打开下载好的模板,添加待过滤的源MAC地址并在本地保存。

(6)     点击<导入>按钮,进入导入源MAC地址页面。

(7)     点击<选择文件>按钮,选择已编辑好的模板。

(8)     点击<确定>按钮,完成对白名单批量添加MAC地址的操作。

1.4.5  修改黑白名单

1. 注意事项

修改黑白名单的方法相同,下面以白名单为例介绍配置步骤。

2. 配置步骤

(1)     单击导航树中[网络安全/MAC地址过滤]菜单项,进入MAC地址过滤配置页面。

(2)     单击“MAC黑白名单管理”页签,进入MAC黑白名单管理设置页面。

(3)     单击“白名单”页签,进入白名单设置页面。

(4)     点击MAC地址项的<编辑>图标,进入修改源MAC地址页面。

(5)     添加新的MAC地址,并点击<确定>按钮,完成编辑修改。

图1-14 修改源MAC地址

 

1.5  ARP攻击防御

1.5.1  简介

ARP协议本身存在缺陷,攻击者可以轻易地利用ARP协议的缺陷对其进行攻击。ARP攻击防御技术提供了多种ARP攻击防御技术对局域网中的ARP攻击和ARP病毒进行防范、检测和解决。

ARP攻击防御功能包括:

·     动态ARP表项学习:本功能支持开启和关闭接口的动态ARP表项学习功能,当执行关闭接口的动态ARP表项学习功能后,该接口无法再学习新的动态ARP表项,提高了安全性。当设备的某个接口已经学到了该接口下所有合法用户的ARP表项时,建议关闭动态ARP表项学习功能。

·     动态ARP管理:包括动态ARP表项管理功能和ARP扫描、固化功能。ARP扫描、固化功能即对局域网内的用户进行自动扫描,并将生成的动态ARP表项固化为静态ARP表项。建议环境稳定的小型网络(如网吧)中配置本功能。先配置ARP扫描、固化功能,再关闭动态ARP表项学习功能,可以防止设备学习到错误的ARP表项。

·     攻击防御管理:包括静态ARP表项管理功能和仅允许ARP静态表项对应的用户访问外网功能。先配置ARP扫描、固化功能,再配置仅允许ARP静态表项对应的用户访问外网功能,可以防止攻击用户访问外网。

·     ARP检测:可以探测到当前接口下所有在线设备,同时还能检查这些设备的信息是否和已存在ARP表项冲突。 黑色条目信息表示静态表项, 蓝色条目信息表示动态表项, 红色条目表示错误表项。

1.5.2  动态ARP表项学习

(1)     单击导航树中[网络安全/ARP攻击防御]菜单项,进入ARP攻击防御配置页面。

(2)     单击“动态ARP表项学习”页签,进入动态ARP表项学习配置页面。

(3)     在接口的“ARP学习”项,设置是否允许学习动态ARP表项:

¡     点击<开启>按钮,则该接口允许学习动态ARP表项;

¡     点击<关闭>按钮,则该接口不允许学习动态ARP表项。

图1-15 动态ARP表项学习

 

1.5.3  动态ARP管理

(1)     单击导航树中[网络安全/ARP攻击防御]菜单项,进入ARP攻击防御配置页面。

(2)     单击“动态ARP管理”页签,进入动态ARP表项管理配置页面。

(3)     可对已有的动态ARP表项执行以下管理操作:

¡     点击<刷新>按钮,则可以刷新当前动态ARP表项的显示信息。

¡     点击<清除>按钮,则可以清除当前显示的所有动态ARP表项。

¡     选择指定的动态ARP表项,点击<删除>按钮,再点击<确定>按钮后,可以删除对应的动态ARP表项。

图1-16 动态ARP管理

 

(4)     可对已有的动态ARP表项执行以下管理操作:

a.     点击<扫描>按钮,进入扫描配置页面。

b.     在“接口”配置项处,选择需要执行ARP扫描操作的接口。

c.     在“开始IP地址”和“结束IP地址”配置项处,设置ARP扫描操作的起止IP地址。此处指定起止IP地址需要和接口的IP地址处于同一网段。

d.     选择“对已存在ARP表项的IP地址也进行扫描”后,ARP扫描功能会对开始IP地址和结束IP地址中的所有IP地址进行扫描,不会区分是否已存在ARP表项。

e.     选择指定的动态ARP表项,再点击<固化>按钮,则可以将这些动态ARP表项固化为静态ARP表项。

图1-17 扫描

 

1.5.4  攻击防御管理

1. 配置限制和指导

需要保证管理客户端的ARP表项是静态ARP表项,否则管理客户端可能无法工作。

2. 配置准备

如果需要执行批量添加静态ARP表项操作,还需要提前将记录静态ARP表项的文件保存在本地,然后再执行静态ARP表项的导入操作。建议通过Web页面导出一个ARP表项文件,在该文件中批量添加静态ARP表项后,再使用它进行导入操作。

3. 配置步骤

(1)     单击导航树中[网络安全/ARP攻击防御]菜单项,进入ARP攻击防御配置页面。

(2)     单击“攻击防御管理”页签,进入攻击防御管理配置页面。

(3)     选择“仅允许ARP静态绑定的客户访问外网”时,设备禁止学习动态ARP表项并删除已有的动态ARP表项(WAN接口的动态ARP表项不会被删除),动态ARP表项对应的用户无法访问设备和外网,只有静态ARP表项对应的客户可以访问设备和外网。选择“不限制”,则静态ARP表项和动态ARP表项对应的客户都能访问设备和外网。

(4)     可对静态ARP表项执行以下管理操作:

¡     点击<刷新>按钮,则可以刷新当前静态ARP表项的显示信息。

¡     点击<导入>按钮,则可以批量导入静态ARP表项。

¡     点击<导出>按钮,则可以批量导出静态ARP表项到文件中。

图1-18 攻击防御管理

 

¡     点击<添加>按钮,进入“添加ARP表项”页面。在“添加ARP表项”页面,输入静态ARP表项的IP地址和MAC地址,点击“确定”按钮,静态ARP表项添加成功。

¡     选择指定的静态ARP表项,点击<删除>按钮,再点击<确定>按钮后,可以删除对应的静态ARP表项。

图1-19 添加ARP表项

 

1.5.5  ARP检测

1. 配置步骤

(1)     单击导航树中[网络安全/ARP攻击防御]菜单项,进入ARP攻击防御配置页面。

(2)     单击ARP检测页签,进入ARP检测页面

(3)     设置要扫描到的IP地址范围:

a.     如果要扫描某接口的所有IP地址,请从扫描的接口列表中选择对应的接口,系统会自动填充扫描范围。

b.     如果要扫描特定范围内的IP地址,请在<扫描网段>中指定起始IP地址和结束IP地址。

(4)     点击<扫描>按钮,则可以检测到扫描范围内的ARP表项。

(5)     (可选)点击<清除>按钮,则可以清除所有的动态ARP表项。

图1-20 ARP检测

 

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们