WX1800H系列

WX1804H

EWP-WX1804H-PWR-CN

攻击检测与防范

支持

WX2500H系列

WX2510H

WX2510H-F

WX2540H

WX2540H-F

WX2560H

EWP-WX2510H-PWR

EWP-WX2510H-F-PWR

EWP-WX2540H

EWP-WX2540H-F

EWP-WX2560H

支持

WX3000H系列

WX3010H

WX3010H-X

WX3010H-L

WX3024H

WX3024H-L

WX3024H-F

EWP-WX3010H

EWP-WX3010H-X-PWR

EWP-WX3010H-L-PWR

EWP-WX3024H

EWP-WX3024H-L-PWR

EWP-WX3024H-F

不支持

WX3500H系列

WX3508H

WX3510H

WX3520H

WX3520H-F

WX3540H

EWP-WX3508H

EWP-WX3510H

EWP-WX3520H

EWP-WX3520H-F

EWP-WX3540H

支持

WX5500E系列

WX5510E

WX5540E

EWP-WX5510E

EWP-WX5540E

支持

WX5500H系列

WX5540H

WX5560H

WX5580H

EWP-WX5540H

EWP-WX5560H

EWP-WX5580H

支持

AC插卡系列

LSUM1WCME0

EWPXM1WCME0

LSQM1WCMX20

LSUM1WCMX20RT

LSQM1WCMX40

LSUM1WCMX40RT

EWPXM2WCMD0F

EWPXM1MAC0F

LSUM1WCME0

EWPXM1WCME0

LSQM1WCMX20

LSUM1WCMX20RT

LSQM1WCMX40

LSUM1WCMX40RT

EWPXM2WCMD0F

EWPXM1MAC0F

支持

ICMP redirect

攻击者向用户发送ICMP重定向报文，更改用户主机的路由表，干扰用户主机正常的IP报文转发。

ICMP unreachable

某些系统在收到不可达的ICMP报文后，对于后续发往此目的地的报文判断为不可达并切断对应的网络连接。攻击者通过发送ICMP不可达报文，达到切断目标主机网络连接的目的。

ICMP type

ICMP报文中，type值的表示不同含义的报文，接收者需要根据不同的类型进行响应，攻击者通过构造特定type类型的ICMP报文来达到影响系统正常处理报文等目的。

ICMPv6 type

ICMPv6报文中，type值的表示不同含义的报文，接收者需要根据不同的类型进行响应，攻击者通过构造特定type类型的ICMPv6报文来达到影响系统正常处理报文等目的。

Land

攻击者向目标主机发送大量源IP地址和目的IP地址都是目标主机自身的TCP SYN报文，使得目标主机的半连接资源耗尽，最终不能正常工作。

Large ICMP

某些主机或设备收到超大的报文，会引起内存分配错误而导致协议栈崩溃。攻击者通过发送超大ICMP报文，让目标主机崩溃，达到攻击目的。

Large ICMPv6

某些主机或设备收到超大的报文，会引起内存分配错误而导致协议栈崩溃。攻击者通过发送超大ICMPv6报文，让目标主机崩溃，达到攻击目的。

IP option

攻击者利用IP报文中的异常选项的设置，达到探测网络结构的目的，也可由于系统缺乏对错误报文的处理而造成系统崩溃。

Fragment

攻击者通过向目标主机发送分片偏移小于5的分片报文，导致主机对分片报文进行重组时发生错误而造成系统崩溃。

Impossible

攻击者通过向目标主机发送源IP地址和目的IP地址相同的报文，造成主机系统处理异常。

Tiny fragment

攻击者构造一种特殊的IP分片来进行微小分片的攻击，这种报文首片很小，未能包含完整的传输层信息，因此能够绕过某些包过滤防火墙的过滤规则，达到攻击目标网络的目的。

Smurf

攻击者向目标网络发送ICMP应答请求，该请求包的目的地址设置为目标网络的广播地址，这样该网络中的所有主机都会对此ICMP应答请求作出答复，导致网络阻塞，从而达到令目标网络中主机拒绝服务的攻击目的。

TCP Flag

不同操作系统对于非常规的TCP标志位有不同的处理。攻击者通过发送带有非常规TCP标志的报文探测目标主机的操作系统类型，若操作系统对这类报文处理不当，攻击者便可达到使目标主机系统崩溃的目的。

Traceroute

攻击者连续发送TTL从1开始递增的目的端口号较大的UDP报文，报文每经过一个路由器，其TTL都会减1，当报文的TTL为0时，路由器会给报文的源IP设备发送一个TTL超时的ICMP报文，攻击者借此来探测网络的拓扑结构。

Winnuke

攻击者向安装（或使用）Windows系统的特定目标的NetBIOS端口（139）发送OOB（Out-Of-Band，带外）数据包，这些攻击报文的指针字段与实际的位置不符，从而引起一个NetBIOS片断重叠，致使已与其他主机建立连接的目标主机在处理这些数据的时候系统崩溃。

UDP Bomb

攻击者发送畸形的UDP报文，其IP首部中的报文总长度大于IP首部长度与UDP首部中标识的UDP报文长度之和，可能造成收到此报文的系统处理数据时越界访问非法内存，导致系统异常。

UDP Snork

攻击者向Windows系统发送目的端口为135（Windows定位服务）源端口为135、7或19（UDP Chargen服务）的报文，使被攻击系统不断应答报文，最终耗尽CPU资源。

UDP Fraggle

攻击者通过向目标网络发送源UDP端口为7且目的UDP端口为19的Chargen报文，令网络产生大量无用的应答报文，占满网络带宽，达到攻击目的。

Teardrop

攻击者通过发送大量分片重叠的报文，致使服务器对这些报文进行重组时造成重叠，因而丢失有效的数据。

Ping of death

攻击者构造标志位为最后一片且长度大于65535的ICMP报文发送给目标主机，可能导致系统处理数据时越界访问非法内存，造成系统错误甚至系统崩溃。

创建攻击防范策略

必选

1.4.1 

配置攻击防范策略

配置单包攻击防范策略

必选

各类型的攻击防范功能之间没有先后顺序，可根据实际组网需求，配置其中的一种或多种

1.4.2  1.

配置扫描攻击防范策略

1.4.2  2.

配置泛洪攻击防范策略

1.4.2  3.

配置攻击防范例外列表

可选

1.4.3 

在接口上应用攻击防范策略

二者至少选其一

应用在接口的策略仅对接口生效

应用在本机的策略对所有目的地址为本机的报文均有效

1.4.4 

在本机应用攻击防范策略

1.4.5 

配置单包攻击防范日志的非聚合输出功能

可选

1.4.6 

配置TCP分片攻击防范

可选

通常单独使用

1.5 

配置Login用户延时认证功能

可选

通常单独使用

1.6 

进入系统视图

system-view

-

创建一个攻击防范策略，并进入攻击防范策略视图

attack-defense policy policy-number

缺省情况下，不存在任何攻击防范策略

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-name

-

开启指定类型单包攻击报文的特征检测，并设置攻击防范的处理行为

signature detect { fraggle | fragment | impossible | land | large-icmp | large-icmpv6 | smurf | snork | tcp-all-flags | tcp-fin-only | tcp-invalid-flags | tcp-null-flag | tcp-syn-fin | tiny-fragment | traceroute | udp-bomb | winnuke } [ action { { drop | logging } * | none } ]

signature detect { ip-option-abnormal | ping-of-death | teardrop } action { drop | logging } *

signature detect icmp-type { icmp-type-value | address-mask-reply | address-mask-request | destination-unreachable | echo-reply | echo-request | information-reply | information-request | parameter-problem | redirect | source-quench | time-exceeded | timestamp-reply | timestamp-request } [ action { { drop | logging } * | none } ]

signature detect icmpv6-type { icmpv6-type-value | destination-unreachable | echo-reply | echo-request | group-query | group-reduction | group-report | packet-too-big | parameter-problem | time-exceeded } [ action { { drop | logging } * | none } ]

signature detect ip-option { option-code | internet-timestamp | loose-source-routing | record-route | route-alert | security | stream-id | strict-source-routing } [ action { { drop | logging } * | none } ]

至少选其一

缺省情况下，所有类型的单包攻击的特征检测均处于关闭状态

（可选）配置启动Large ICMP攻击防范的ICMP报文长度的最大值

signature { large-icmp | large-icmpv6 } max-length length

缺省情况下，ICMP报文和ICMPv6报文长度的最大值均为4000字节

（可选）配置对不同级别的单包攻击报文的处理方式

signature level { high | info | low | medium } action { { drop | logging } * | none }

缺省情况下，对info和low级别的单包攻击的处理行为是发送日志；对medium和high级别的单包攻击的处理行为是发送日志并丢包

（可选）开启指定级别单包攻击报文的特征检测

signature level { high | info | low | medium } detect

缺省情况下，未开启任何级别的单包攻击报文的特征检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

开启指定级别的扫描攻击防范

scan detect level { high | low | medium } action { drop | logging } *

缺省情况下，扫描攻击防范处于关闭状态

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启SYN flood攻击防范检测

syn-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启SYN flood攻击防范检测

配置SYN flood攻击防范的全局触发阈值

syn-flood threshold threshold-value

缺省情况下，SYN flood攻击防范的全局触发阈值为1000

配置SYN flood攻击防范的全局处理行为

syn-flood action { drop | logging } *

缺省情况下，不对检测到的SYN flood攻击采取任何措施

开启对指定IP地址的SYN flood攻击防范检测，并配置触发阈值和处理行为

syn-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action  { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置SYN flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启ACK flood攻击防范检测

ack-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启ACK flood攻击防范检测

配置ACK flood攻击防范全局触发阈值

ack-flood threshold threshold-value

缺省情况下，ACK flood攻击防范的全局触发阈值为1000

配置ACK flood攻击防范的全局处理行为

ack-flood action { drop | logging } *

缺省情况下，不对检测到的ACK flood攻击采取任何措施

开启对指定IP地址的ACK flood攻击防范检测，并配置触发阈值和处理行为

ack-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置ACK flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启SYN-ACK flood攻击防范检测

syn-ack-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启SYN-ACK flood攻击防范检测

配置SYN-ACK flood攻击防范的全局触发阈值

syn-ack-flood threshold threshold-value

缺省情况下，SYN-ACK flood攻击防范的全局触发阈值为1000

配置SYN-ACK flood攻击防范的全局处理行为

syn-ack-flood action { drop | logging } *

缺省情况下，不对检测到的SYN-ACK flood攻击采取任何措施

开启对指定IP地址的SYN-ACK flood攻击防范检测，并配置触发阈值和处理行为

syn-ack-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置SYN-ACK flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启FIN flood攻击防范检测

fin-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启FIN flood攻击防范检测

配置FIN flood攻击防范的全局触发阈值

fin-flood threshold threshold-value

缺省情况下，FIN flood攻击防范的全局触发阈值为1000

配置FIN flood攻击防范的全局处理行为

fin-flood action { drop | logging } *

缺省情况下，不对检测到的FIN flood攻击采取任何措施

开启对指定IP地址的FIN flood攻击防范检测，并配置触发阈值和处理行为

fin-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置FIN flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启RST flood攻击防范检测

rst-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启RST flood攻击防范检测

配置RST flood攻击防范的全局触发阈值

rst-flood threshold threshold-value

缺省情况下，RST flood攻击防范的全局触发阈值为1000

配置全局的RST flood攻击防范的全局处理行为

rst-flood action { drop | logging } *

缺省情况下，不对检测到的RST flood攻击采取任何措施

开启对指定IP地址的RST flood攻击防范检测，并配置触发阈值和处理行为

rst-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置RST flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IPv4地址开启ICMP flood攻击防范检测

icmp-flood detect non-specific

缺省情况下，未对任何非受保护IPv4地址开启ICMP flood攻击防范检测

配置ICMP flood攻击防范的全局触发阈值

icmp-flood threshold threshold-value

缺省情况下，ICMP flood攻击防范的全局触发阈值为1000

配置ICMP flood攻击防范的全局处理动作

icmp-flood action { drop | logging } *

缺省情况下，不对检测到的ICMP flood攻击采取任何措施

开启对指定IPv4地址的ICMP flood攻击防范检测，并配置触发阈值和处理行为

icmp-flood detect ip ip-address [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IPv4地址配置ICMP flood 攻击防范触发阈值

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IPv6地址开启ICMPv6 flood攻击防范检测

icmpv6-flood detect non-specific

缺省情况下，未对任何非受保护IPv6地址开启ICMPv6 flood攻击防范检测

配置ICMPv6 flood攻击防范的全局触发阈值

icmpv6-flood threshold threshold-value

缺省情况下，ICMPv6 flood攻击防范的全局触发阈值为1000

配置ICMPv6 flood攻击防范的全局处理行为

icmpv6-flood action { drop | logging } *

缺省情况下，不对检测到的ICMPv6 flood攻击采取任何防范措施

开启对指定IPv6地址的ICMPv6 flood攻击防范检测，并配置触发阈值和处理行为

icmpv6-flood detect ipv6 ipv6-address [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IPv6地址配置ICMPv6 flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启UDP flood攻击防范检测

udp-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启UDP flood攻击防范检测

配置UDP flood攻击防范的全局触发阈值

udp-flood threshold threshold-value

缺省情况下，UDP flood攻击防范的全局触发阈值为1000

配置UDP flood攻击防范检测的全局处理行为

udp-flood action { drop | logging } *

缺省情况下，不对检测到的UDP flood攻击进行任何处理

开启对指定IP地址的UDP flood攻击防范检测，并配置触发阈值和处理行为

udp-flood detect { ip ip-address | ipv6 ipv6-address } [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置UDP flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启DNS flood攻击防范检测

dns-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启DNS flood攻击防范检测

配置DNS flood攻击防范的全局触发阈值

dns-flood threshold threshold-value

缺省情况下，DNS flood攻击防范的全局触发阈值为1000

（可选）配置DNS flood攻击防范的全局检测端口号

dns-flood port port-list

缺省情况下，DNS flood攻击防范的全局检测端口号为53

配置对DNS flood攻击防范的全局处理行为

dns-flood action { drop | logging } *

缺省情况下，不对检测到的DNS flood攻击采取任何措施

开启对指定IP地址的DNS flood攻击防范检测，并配置触发阈值和处理行为

dns-flood detect { ip ip-address | ipv6 ipv6-address } [ port port-list ] [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置DNS flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

对所有非受保护IP地址开启HTTP flood攻击防范检测

http-flood detect non-specific

缺省情况下，未对所有非受保护IP地址开启HTTP flood攻击防范检测

配置HTTP flood攻击防范的全局触发阈值

http-flood threshold threshold-value

缺省情况下，HTTP flood攻击防范的全局触发阈值为1000

（可选）配置HTTP flood攻击防范的全局检测端口号

http-flood port port-list

缺省情况下，HTTP flood攻击防范的全局检测端口号为80

配置对HTTP flood攻击防范的全局处理行为

http-flood action { drop | logging } *

缺省情况下，不对检测到的HTTP flood攻击采取任何措施

开启对指定IP地址的HTTP flood攻击防范检测，并配置触发阈值和处理行为

http-flood detect { ip ip-address | ipv6 ipv6-address } [ port port-list ] [ threshold threshold-value ] [ action { { drop | logging } * | none } ]

缺省情况下，未对任何指定IP地址配置HTTP flood攻击防范检测

进入系统视图

system-view

-

进入攻击防范策略视图

attack-defense policy policy-number

-

配置攻击防范例外列表

exempt acl [ ipv6 ] { acl-number | name acl-name }

缺省情况下，应用了攻击防范策略的接口收到的所有报文都需要进行攻击防范检测

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

配置在接口上应用攻击防范策略

attack-defense apply policy policy-name

缺省情况下，接口上未应用任何攻击防范策略

进入系统视图

system-view

-

配置在本机应用攻击防范策略

attack-defense local apply policy policy-name

缺省情况下，本机未应用任何攻击防范策略

进入系统视图

system-view

-

开启对单包攻击防范日志的非聚合输出功能

attack-defense signature log non-aggregate

缺省情况下，单包攻击防范的日志信息经系统聚合后再输出

进入系统视图

system-view

-

开启TCP分片攻击防范功能

attack-defense tcp fragment enable

缺省情况下，TCP分片攻击防范功能处于开启状态

进入系统视图

system-view

-

配置Login用户登录失败后重新进行认证的等待时长

attack-defense login reauthentication-delay seconds

缺省情况下，Login用户登录失败后重新进行认证不需要等待

显示接口上的攻击防范统计信息

display attack-defense statistics interface interface-type interface-number [ slot slot-number ]

显示本机攻击防范统计信息

display attack-defense statistics local [ slot slot-number ]

显示攻击防范策略的配置信息

display attack-defense policy [ policy-name ]

显示扫描攻击者的IPv4地址表项

display attack-defense scan attacker ip [ interface interface-type interface-number [ slot slot-number  ] | local ] [ count ]

显示扫描攻击者的IPv6地址表项

display attack-defense scan attacker ipv6 [ interface interface-type interface-number [ slot slot-number ] | local ] [ count ]

显示扫描攻击被攻击者的IPv4地址表项

display attack-defense scan victim ip [ interface interface-type interface-number [ slot slot-number ] | local ] [ count ]

显示扫描攻击被攻击者的IPv6地址表项

display attack-defense scan victim ipv6 [ interface interface-type interface-number [ slot slot-number ] | local ] [ count ]

显示IPv4 flood攻击防范统计信息

display attack-defense { ack-flood | dns-flood | fin-flood | flood | http-flood |  icmp-flood | rst-flood | syn-ack-flood | syn-flood | udp-flood } statistics ip [ ip-address ] [ interface interface-type interface-number [ slot slot-number ] | local [ slot slot-number ] ] [ count ]

显示IPv6 flood攻击防范统计信息

display attack-defense { ack-flood | dns-flood | fin-flood | flood | http-flood | icmpv6-flood | rst-flood | syn-ack-flood | syn-flood | udp-flood } statistics ipv6 [ ipv6-address ] [ interface interface-type interface-number  [ slot slot-number ] | local [ slot slot-number ] ] [ count ]

显示flood攻击防范的IPv4类型的受保护IP表项

display attack-defense policy policy-name { ack-flood | dns-flood | fin-flood | flood | http-flood | icmp-flood | rst-flood | syn-ack-flood | syn-flood | udp-flood } ip [ ip-address ] [ slot slot-number ] [ count ]

显示flood攻击防范的IPv6类型的受保护IP表项

display attack-defense policy policy-name { ack-flood | dns-flood | fin-flood | flood | http-flood | icmpv6-flood | rst-flood | syn-ack-flood | syn-flood | udp-flood } ipv6 [ ipv6-address ] [ slot slot-number ] [ count ]

清除接口上的攻击防范统计信息

reset attack-defense statistics interface interface-type interface-number

清除本机攻击防范的统计信息

reset attack-defense statistics local

清除flood攻击防范受保护IP表项的统计信息

reset attack-defense policy policy-name flood protected { ip | ipv6 } statistics