- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
07-TCP攻击防御命令
本章节下载： 07-TCP攻击防御命令 (113.91 KB)
1.1.2 tcp anti-syn-flood duration
1.1.3 tcp anti-syn-flood enable
1.1.4 tcp anti-syn-flood threshold
1.1.5 tcp check-state interval
tcp anti-naptha enable命令用来开启防止Naptha攻击功能。
undo tcp anti-naptha enable命令用来关闭防止Naptha攻击功能。
【命令】
tcp anti-naptha enable
undo tcp anti-naptha enable
【缺省情况】
防止Naptha攻击功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
开启防止Naptha攻击功能后，设备周期性地对各状态的TCP连接数进行检测（检测周期由tcp check-state interval命令配置），当某状态的最大TCP连接数超过指定的最大连接数后（最大连接数由tcp state命令配置），将加速该状态下TCP连接的老化。
【举例】
# 开启防止Naptha攻击功能。
<Sysname> system-view
[Sysname] tcp anti-naptha enable
【相关命令】
· tcp state
· tcp check-state interval
tcp anti-syn-flood duration命令用来配置TCP SYN Flood攻击防范的持续时间。
undo tcp anti-syn-flood duration命令用来恢复缺省情况。
【命令】
tcp anti-syn-flood duration minutes
undo tcp anti-syn-flood duration
【缺省情况】
TCP SYN Flood攻击防范的持续时间为5分钟。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
duration minutes：TCP SYN Flood攻击防范的持续时间，取值范围为1～3600，单位为分钟。
【使用指导】
开启TCP SYN Flood攻击防范功能后，设备处于攻击检测状态。当监测到存在SYN Flood攻击时，则进入攻击防范状态，限速或者丢弃后续收到的SYN报文。在攻击防范的持续时间到达后，设备由攻击防范状态恢复为攻击检测状态。
【举例】
# 配置TCP SYN Flood攻击防范的持续时间为10分钟。
<Sysname> system-view
[Sysname] tcp anti-syn-flood duration 10
【相关命令】
· tcp anti-syn-flood enable
· tcp anti-syn-flood threshold
tcp anti-syn-flood enable命令用来开启TCP SYN Flood攻击防范功能。
undo tcp anti-syn-flood enable命令用来关闭TCP SYN Flood攻击防范功能。
【命令】
tcp anti-syn-flood enable
undo tcp anti-syn-flood enable
【缺省情况】
TCP SYN Flood攻击防范功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
根据TCP协议，TCP连接的建立需要经过三次握手。利用TCP连接的建立过程，一些恶意的攻击者可以进行进行SYN Flood攻击。攻击者向设备发送大量请求建立TCP连接的SYN报文，而不回应设备的SYN ACK报文，导致设备上建立了大量的TCP半连接。从而达到耗费设备资源，使设备无法处理正常业务的目的。
开启TCP SYN Flood攻击防范功能后，设备收到请求端（要与其建立TCP连接的客户端）发送的SYN报文后，如果SYN报文的速率达到或超过触发阈值，即认为存在攻击，设备限速或者丢弃后续收到的SYN报文。
【举例】
# 开启TCP SYN Flood攻击防范功能。
<Sysname> system-view
[Sysname] tcp anti-syn-flood enable
【相关命令】
· tcp anti-syn-flood threshold
· tcp anti-syn-flood duration
tcp anti-syn-flood threshold命令用来配置TCP SYN Flood攻击防范的触发阈值。
undo tcp anti-syn-flood threshold命令用来恢复缺省情况。
【命令】
tcp anti-syn-flood threshold threshold-value
undo tcp anti-syn-flood threshold
【缺省情况】
TCP SYN Flood攻击防范的触发阈值为100。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
threshold threshold-value：TCP SYN Flood 攻击防范的触发阈值，即每秒钟收到SYN报文的最大数目，取值范围为1～1000000。
【使用指导】
开启TCP SYN Flood攻击防范功能后，设备收到请求端（要与其建立TCP连接的客户端）发送的SYN报文后，如果SYN报文的速率达到或超过触发阈值，即认为存在攻击，设备限速或者丢弃后续收到的SYN报文。
【举例】
# 配置TCP SYN Flood攻击防范的触发阈值为200。
<Sysname> system-view
[Sysname] tcp anti-syn-flood threshold 200
【相关命令】
· tcp anti-syn-flood enable
· tcp anti-syn-flood duration
tcp check-state interval命令用来配置TCP连接状态的检测周期。
undo tcp check-state interval命令用来恢复缺省情况。
【命令】
tcp check-state interval interval
undo tcp check-state interval
【缺省情况】
TCP连接状态的检测周期为30秒。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
interval：TCP连接状态的检测周期，取值范围为1～60，单位为秒。
【使用指导】
设备周期性地检测处于CLOSING、ESTABLISHED、 FIN_WAIT_1、 FIN_WAIT_2和LAST_ACK五种状态的TCP连接数，如果检测到某个状态的TCP连接数目超过设定的最大连接数时，将加速该状态下TCP连接的老化。
开启防止Naptha攻击功能后，设备才会周期性地对各状态的TCP连接数进行检测。
【举例】
# 配置TCP连接状态的检测周期为40秒。
<Sysname> system-view
[Sysname] tcp check-state interval 40
【相关命令】
· tcp anti-naptha enable
· tcp state
tcp state命令用来配置TCP连接的某一状态下的最大TCP连接数。
undo tcp state命令用来恢复为缺省情况。
【命令】
tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack } connection-limit number
undo tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack } connection-limit
【缺省情况】
CLOSING、ESTABLISHED、FIN_WAIT_1、FIN_WAIT_2和LAST_ACK五种状态最大TCP连接数均为50。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
closing：TCP连接的CLOSING状态。
established：TCP连接的ESTABLISHED状态。
fin-wait-1：TCP连接的FIN_WAIT_1状态。
fin-wait-2：TCP连接的FIN_WAIT_2状态。
last-ack：TCP连接的LAST_ACK状态。
connection-limit number：最大TCP连接数，取值范围为0～500，取值为0时，表示不会加速该状态下TCP连接的老化。
【使用指导】
开启防止Naptha攻击功能后，各状态的最大TCP连接数限制才能生效，连接数目超过最大连接数后，将加速该状态下TCP连接的老化。
【举例】
# 配置ESTABLISHED状态下的最大TCP连接数为100。
<Sysname> system-view
[Sysname] tcp state established connection-limit 100
【相关命令】
· tcp anti-naptha enable
· tcp check-state interval
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
