目  录

1 IP信誉

1.1 IP信誉简介

1.2 IP信誉的报文处理流程

1.3 IP信誉的License要求

1.4 IP信誉配置任务简介

1.5 开启全局IP信誉功能

1.6 配置攻击分类执行的动作

1.7 配置例外IP地址

1.8 开启IP信誉云端查询功能

1.9 配置IP信誉特征库升级

1.9.1 配置限制和指导

1.9.2 配置定期自动在线升级IP信誉特征库

1.9.3 立即自动在线升级IP信誉特征库

1.9.4 手动离线升级IP信誉特征库

1.10 开启Top排名统计功能

1.11 删除IP信誉特征库

1.12 IP信誉显示和维护

1.13 IP信誉配置举例

1.13.1 IP信誉基础配置举例

1 IP信誉

1.1  IP信誉简介

1. IP信誉

IP信誉功能用于根据IP信誉特征库和云端服务器中记录的IP地址信息对网络流量进行过滤。

2. IP信誉特征库

IP信誉特征库主要是具有僵尸主机DDoS攻击、命令注入攻击、木马下载和端口扫描等风险的IP地址集合。特征库中包含每个IP地址的方向属性、所属攻击分类和攻击分类执行的动作等信息。

3. 云端服务器

云端服务器向设备提供IP信誉云端查询功能，用于扩充本地加载的IP信誉特征库。当IP信誉特征库无法匹配报文中的IP地址信息时，可通过IP信誉云端查询功能，将IP地址信息上送云端服务器进行查询。云端服务器完成检测后，会将检测结果发送给设备，设备会将检测结果保存到本地IP信誉缓存中，便于后续报文直接在本地进行IP信誉匹配，而不必再上送云端服务器查询。

4. 本地IP信誉

本地IP信誉包括设备加载的IP信誉特征库以及云端服务器的历史查询结果（即本地IP信誉缓存）。

1.2  IP信誉的报文处理流程

IP信誉对报文的处理流程如图1-1所示：

图1-1 IP信誉的报文处理流程图

IP信誉功能对报文的处理过程如下：

(1)     设备将报文的源IP地址和目的IP地址与例外IP地址进行匹配。任何一个IP地址与例外IP地址匹配成功，均放行报文。如果匹配失败，则进入下一步处理。

(2)     设备将报文的源IP地址和目的IP地址与本地IP信誉中的IP地址进行匹配。本地IP信誉中的IP地址具有方向属性，包含源、目的和双向（既可作为源地址也可作为目的地址）。仅当报文的IP地址与本地IP信誉的IP地址和方向属性均一致时，才认为匹配成功（如果本地IP信誉中IP地址的方向属性是双向，则报文的源IP地址和目的IP地址均可匹配成功）。设备将根据匹配结果执行如下操作：

¡     如果匹配成功，设备将执行本地IP信誉中IP地址所属攻击分类的动作，设备支持的攻击分类动作如下：

-     若动作为“允许”，则设备将允许此报文通过。

-     若动作为“丢弃”，则设备将丢弃此报文。

-     若动作为“日志”，则设备将记录IP信誉日志。

¡     如果匹配失败，设备将判断是否已开启IP信誉云端查询功能。如果已开启，则放行报文并将IP地址信息上送云端服务器进行查询，设备会将服务器返回的查询结果保存到本地IP信誉缓存中，便于后续报文在本地进行IP信誉匹配，而不必再上送云端服务器；如果未开启，则直接放行报文。

1.3  IP信誉的License要求

IP信誉功能需要购买并正确安装License后才能使用。License过期后，IP信誉功能可以使用设备中已有的特征库正常工作，但无法升级到license有效期之后发布的新版本的特征库。同时，云端查询功能也不可用。关于License的详细介绍请参见“基础配置指导”中的“License管理”。

1.4  IP信誉配置任务简介

IP信誉配置任务如下：

(3)     开启全局IP信誉功能

(4)     配置攻击分类执行的动作

(5)     （可选）配置例外IP地址

(6)     （可选）开启IP信誉云端查询功能

(7)     配置IP信誉特征库升级

(8)     （可选）开启Top排名统计功能

1.5  开启全局IP信誉功能

1. 功能简介

开启IP信誉功能后，设备对报文的源、目的IP地址进行匹配，如果命中IP信誉库，则执行此IP地址所属攻击分类的动作。

2. 配置步骤

(9)     进入系统视图。

system-view

(10)     进入IP信誉视图。

ip-reputation

(11)     开启全局IP信誉功能。

global enable

缺省情况下，全局IP信誉功能处于关闭状态。

1.6  配置攻击分类执行的动作

1. 功能简介

IP信誉特征库中，一个IP地址可属于多种攻击分类，每种攻击分类都有对应执行的动作。

当IP地址只属于一种攻击分类时，设备将对匹配上该IP地址的报文执行攻击分类对应的动作；当IP地址属于多种攻击分类时，设备将对匹配上该IP地址的报文执行多种攻击分类中优先级最高的动作。其中，动作的优先级从高到底依次为：丢弃>允许。

只要IP地址所属的任一攻击分类配置了日志动作，则对匹配上该IP地址的报文执行记录日志动作。

设备仅支持以快速日志的方式输出IP信誉日志，有关快速日志的详细介绍，请参见“网络管理和监控配置指导”中的“快速日志输出”。

2. 配置步骤

(12)     进入系统视图。

system-view

(13)     进入IP信誉视图。

ip-reputation

(14)     配置攻击分类执行的动作。

attack-category attack-id { action { deny | permit } | logging { disable | enable } } *

缺省情况下，未配置对指定攻击分类执行的动作，设备执行IP信誉特征库中的缺省动作。

1.7  配置例外IP地址

1. 功能简介

若报文的源或目的IP地址与例外IP地址匹配成功，则设备直接放行该报文。

2. 配置步骤

(15)     进入系统视图。

system-view

(16)     进入IP信誉视图。

ip-reputation

(17)     配置例外IP地址。

exception ipv4 ipv4-address

缺省情况下，未配置例外IP地址。

1.8  开启IP信誉云端查询功能

1. 功能简介

IP信誉云端查询功能用于提升设备对僵尸主机DDoS攻击、木马下载和端口扫描等风险的检测能力，当设备加载的IP信誉特征库不足以满足用户的需求或者设备未加载IP信誉特征库时，可通过开启IP信誉云端查询功能，提升设备的IP信誉业务检测能力。

开启IP信誉云端查询功能后，设备会将与本地IP信誉特征库匹配失败的报文的源、目的IP地址封装到查询报文中，发往云端服务器进行查询，云端服务器完成查询后，会将查询结果返回给设备。查询结果中包含如下信息：

·     IP地址是否存在僵尸主机DDoS攻击、木马下载和端口扫描等攻击风险的标识。

·     检测到的风险所属的攻击分类。

2. 配置限制和指导

配置本功能前，请确保信誉业务云端服务器处于已连接状态。可通过Web界面的“云端服务器”页面查看信誉云端服务器的连接状态。有关信誉业务云端服务器配置的相关介绍，请参见“DPI深度安全配置指导”中的“应用层检测引擎”。

3. 配置步骤

(18)     进入系统视图。

system-view

(19)     进入IP信誉视图。

ip-reputation

(20)     开启IP信誉云端查询功能。

cloud-query enable

缺省情况下，IP信誉云端查询功能处于关闭状态。

1.9  配置IP信誉特征库升级

1.9.1  配置限制和指导

·     请勿删除设备存储介质根目录下的/dpi/文件夹，否则设备升级特征库会失败。

·     当系统内存使用状态处于告警门限状态时，请勿进行特征库升级，否则易造成设备特征库升级失败，进而影响IP信誉功能的正常运行。有关内存告警门限状态的详细介绍请参见“基础配置指导”中的“设备管理”。

·     自动在线升级（包括定期自动在线升级和立即自动在线升级）IP信誉特征库时，需要确保设备能通过静态或动态域名解析方式获得官方网站的IP地址，并与之路由可达，否则设备升级IP信誉特征库会失败。有关域名解析功能的配置请参见“三层技术-IP业务配置指导”中的“域名解析”。

·     同一时刻只能对一个特征库进行升级，如果当前已有其他特征库正在升级，请稍后再试。

1.9.2  配置定期自动在线升级IP信誉特征库

1. 功能简介

如果设备可以访问官方网站上的特征库服务专区，管理员可以采用定期自动在线升级方式来对设备上的IP信誉特征库进行升级。

2. 配置步骤

(21)     进入系统视图。

system-view

(22)     开启定期自动在线升级IP信誉特征库功能，并进入自动在线升级配置视图。

ip-reputation signature auto-update

缺省情况下，定期自动在线升级IP信誉特征库功能处于关闭状态。

(23)     配置定期自动在线升级IP信誉特征库的时间。

update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes

缺省情况下，设备在每天01:00:00至03:00:00之间开始自动升级IP信誉特征库。

1.9.3  立即自动在线升级IP信誉特征库

1. 功能简介

当管理员发现官方网站上的特征库服务专区中的IP信誉特征库有更新时，可以选择立即自动在线升级方式来及时升级IP信誉特征库版本。

执行此命令后，设备将立即自动升级IP信誉特征库，且会备份当前的IP信誉特征库文件到设备存储介质下名为“ipreputation_sigpack_curr.dat”的文件中。

2. 配置限制和指导

本功能生效与否，与是否开启了定期自动升级IP信誉特征库功能无关。

3. 配置步骤

(24)     进入系统视图。

system-view

(25)     立即自动在线升级IP信誉特征库。

ip-reputation signature auto-update-now

1.9.4  手动离线升级IP信誉特征库

1. 功能简介

如果设备不能访问官方网站上的特征库服务专区，管理员可以采用如下方式手动离线升级IP信誉特征库版本：

·     本地升级：使用设备本地保存的特征库文件升级系统中的IP信誉特征库版本。

·     FTP/TFTP升级：设备通过FTP或TFTP方式自动下载远程服务器上保存的特征库文件到本地，再使用本地保存的特征库文件升级系统中的IP信誉特征库版本。

使用本地升级方式离线升级特征库版本时，特征库文件只能存储在当前主用设备上，否则设备升级特征库会失败。‌

如果管理员希望手动离线升级特征库时发送给TFTP、FTP服务器的请求报文的源IP地址是一个特定的地址时，可配置source参数。例如，当组网环境中设备发出的报文需要经过NAT地址转换后才能访问TFTP、FTP服务器时，则需要管理员通过source参数指定一个符合NAT地址转换规则的源IP地址（其中，如果设备需要经过一台独立的NAT设备进行地址转换时，本命令指定的IP地址必须可以与NAT设备三层路由可达），使设备发出的报文可以进行NAT地址转换等处理，正常访问TFTP、FTP服务器。

2. 配置限制和指导

当同时配置了source和vpn-instance参数时，需要保证source中指定的源IP地址或接口所属VPN实例与vpn-instance中配置的VPN实例相同。

3. 配置准备

本地升级：使用此方式前，请管理员先从官方网站获取特征库文件并保存到设备中。

FTP/TFTP升级：使用此方式前，需要确保设备与远程服务器网络互通。

4. 配置步骤

(26)     进入系统视图。

system-view

(27)     手动离线升级IP信誉特征库。

ip-reputation signature update file-path [ vpn-instance vpn-instance-name ] [ source { ip | ipv6 } { ip-address | interface interface-type interface-number } ]

1.10  开启Top排名统计功能

1. 功能简介

开启本功能后，设备将对命中IP信誉特征库的IP地址进行统计排名。

关闭本功能后，统计信息将自动清空。

2. 配置步骤

(28)     进入系统视图。

system-view

(29)     进入IP信誉视图。

ip-reputation

(30)     开启Top排名统计功能。

top-hit-statistics enable

缺省情况下，Top排名统计功能处于关闭状态。

1.11  删除IP信誉特征库

1. 功能简介

当管理员发现设备当前内存不足或不需要当前IP信誉特征库时，可以执行本命令对当前IP信誉特征库版本进行删除，以释放内存空间。

2. 配置步骤

(31)     进入系统视图。

system-view

(32)     删除IP信誉特征库。

ip-reputation signature rollback factory

1.12  IP信誉显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示IP信誉的配置信息和Top排名统计信息等，通过查看显示信息验证配置的效果。

表1-1 IP信誉显示和维护

1.13  IP信誉配置举例

1.13.1  IP信誉基础配置举例

1. 组网需求

如图1-2所示Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。现在需要通过使能IP信誉功能，对所有进出Device的流量进行控制，并需要开启Top统计功能，方便管理员查看攻击统计信息。

2. 组网图

图1-2 IP信誉基础配置组网图

‌

3. 配置步骤

(33)     配置接口IP地址

# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

请参考以上步骤配置其他接口的IP地址，具体配置步骤略。

(34)     配置静态路由

本举例仅以静态路由方式配置路由信息。实际组网中，请根据具体情况选择相应的路由配置方式。

# 请根据组网图中规划的信息，配置静态路由，本举例假设到达外网Web Server的下一跳IP地址为2.2.2.2，实际使用中请以具体组网情况为准，具体配置步骤如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(35)     配置接口加入安全域

# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(36)     配置安全策略

# 配置名称为trust-untrust的安全策略规则，使内网用户可以访问外网。具体配置步骤如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(37)     配置IP信誉功能

# 开启IP信誉功能。

[Device] ip-reputation

[Device-ip-reputation] global enable

# 开启Top排名统计功能。

[Device-ip-reputation] top-hit-statistics enable

# 配置IP信誉库中编号为1的攻击分类对应的动作为丢弃和记录日志。

[Device-ip-reputation] attack-category 1 action deny logging enable

[Device-ip-reputation] quit

4. 验证配置

配置完成后，当攻击报文匹配到编号为1的攻击分类时，设备将对报文执行丢弃动作，并会记录IP信誉日志。管理员可到Web界面侧查看IP信誉Top排名统计信息。