h3c高端交换机安全插卡典型配置汇总s9500e oaa培训

1、H3C S9500E OAA培训 李秀军 03616 密级：内部公开杭州华三通信技术有限公司OAA构架基本概念OAA插卡类型OAA插卡实现方案FW转发原理与配置IPS/ACG原理与配置OAA问题定位指导目录OAA技术背景OAA: Open Application Architecture 开放应用架构OAA：能够让众多不同厂商生产的设备和软件集成在一起，象一台设备那样工作，为客户提供一体化的解决方案OAA体系结构OAA体系的三个组成部分：路由交换部件、独立业务部件和接口连接部件路由交换部件：路由器和交换机的主体部分，是用户管理控制的核心独立业务部件：是可以开放给第三方合作开发的主体，主要用来提

2、供各种独特的业务服务功能接口连接部件：是路由交换接部件和独立业务部件的接口连接体，通过这个部件将两个不同厂商的设备连接在一起，以形成一个统一的产品OAA工作方式OAA四种工作模式：主机模式、重定向模式、镜像模式、穿透模式主机模式：独立业务系统就象网络上的一台主机，拥有自己的IP地址，作为网络末梢存在。IP报文通过路由交换部件连接独立业务部件的高速以太网口转发。此模式下路由交换部件和独立业务部件耦合最松。镜像模式：路由交换部件根据要求，把特定的报文复制一份给独立业务系统，原始报文继续完成正常的转发。而独立业务系统收到这个报文以后进行分析和处理，然后将报文丢弃。重定向模式：路由交换部件根据要求，把

3、特定的报文重定向给独立的业务系统。独立的业务系统处理以后，或丢弃，或通过。如果通过，则报文被原封不动的还给路由器，路由器则继续从当初中断的地方继续处理，完成后续的转发工作。穿透模式：独立的业务系统没有配置IP地址，并且一定要有外在的以太网口，数据从这个接口流入，穿过独立业务系统，经过高速以太口到达路由交换部件，或者反方向转发。OAA信息交互及联动OAA信息交互包括两种协议：ACSEI协议和ACFP协议ACFP Application control forward protocol，应用控制转发协议，一种设备间的C/S（客户端/服务端）模式的联动框架ACFP Client ACFP联动框架的客

4、户端系统ACFP Server ACFP联动框架的服务端系统ACSEI a method for exchanging information between ACFP Client and ACFP Server，在ACFP Server与ACFP Client交互信息的一种方法。ACSEI协议：对ACFP联动提供很好的支撑，保障各种组网下ACFP Client与ACFP Server之间有效交互信息，确保业务协作运行。有专门的ACSEI协议报文格式。ACFP协议：提供联动策略，确保路由交换部件和独立业务部件的信息交互。通过SNMP协议进行协议报文交互，提供专门的H3C-ACFP-MIBOA

5、A管理通道交换路由部件和独立业务部件存在管理通道，由独立异步串口实现交换路由部件通过异步串口能够直接登录和管理独立业务部件管理通道支持的功能oap connect从交换路由部件连接到独立业务部件oap reboot重启独立业务部件oap management-ip配置独立业务部件管理IP地址IPS功能业务模块千兆性能规格领先推出插卡式IPS架构，安全与网络深度融合无线控制器业务模块业界容量最大，最大支持640个AP实现有线无线一体化网络部署Netstream模块支持V5、V8和V9多种日志格式，为客户提供完整的网络分析解决方案LB负载均衡模块支持NAT、DR模式以及各种负载均衡算法，满足各类用

6、户的不同需求，在服务器群前端形成有效均衡，极大提升服务器组的性能。防火墙功能业务模块万兆处理能力多CPU架构，突破安全处理瓶颈实现网络和安全的无缝融合支持虚拟防火墙，支持NATS9500E丰富的多业务插卡ACG应用控制网关模块首创UAAE技术，实现对各种P2P与VoIP协议模型的深层次分析和控制ACG能够精准识别各种宽带共享用户，提高运营网络收入S9500E支持OAA插卡介绍S9500E产品目前支持6种OAA插卡 LSR1FW2A1防火墙插卡，仅支持主机模式 LSR1NSM1A1Netstream插卡，支持镜像模式 LSR1LB1A1负载均衡（LoadBalance）插卡，仅支持主机模式 LS

7、R1WCM2A1无线插卡，仅支持主机模式 LSR1IPS1A1IPS插卡，支持镜像模式和重定向模式 LSR1ACG1A1ACG插卡，支持镜像模式和重定向模式注： LSR1SSL2A1（SSL VPN）和LSR1AFC2A1（异常流量清洗）插卡处于软/硬件Ready状态，市场有需要可以随时立项支持SecBlade FW插卡工作方式SecBlade插卡与交换机背板相连，有两种工作方式：Ethernet、Hig方式。FW、SSL VPN、LB都工作在Ethernet方式下，IPS和ACG工作在Hig方式下。Ethernet方式下的插卡，可以通过二、三层转发接收报文。Hig方式下的插卡只能通过重定向转

8、发接收报文。SecBlade 插卡通过内联口与交换机背板相连，在面板上只有管理口，没有业务口。大部分插卡通过1个10G口，与交换机背板相连，而防火墙板卡就是这种工作方式跨vlan二层转发组网需求：实现对同一网段主机间的报文进行安全过滤，就是由数据链路层来完成不同VLAN间的通信。/24 5354跨vlan二层转发配置方法：流量在交换机上的入接口和出接口分别属于不同的VLAN。交换机与防火墙插卡相连的链路两端的以太网口均配置为Trunk类型。防火墙插卡连接交换机的以太网口下配置多个子接口，每个子接口配置属于不同的VLAN，这些VLAN和交换机上的VLAN一一对应。将子接口加入不同的安全区域母体配

9、置#vlan 102 to 103/创建所需VLAN#interface Vlan-interface103/VLAN102的网关 ip address 54 #interface GigabitEthernet2/1/12 port link-mode bridge port access vlan 102#interface GigabitEthernet2/1/13 port link-mode bridge port access vlan 103#interface Ten-GigabitEthernet6/1/1 port link-mode bridge/10GE接口工作在桥模式

10、 port link-type trunk port trunk permit vlan 1 102 to 103/将所需VLAN上送到SecBlade#SecBladeII FW配置#vlan 102 to 103/创建所需VLAN#vlan 1000 /SecBlade内部转发所需VLAN#interface Ten-GigabitEthernet0/0 port link-mode bridge/10GE接口工作在桥模式 port link-type trunk port trunk permit vlan 102 to 103interface Ten-GigabitEthernet0

11、/0.102/用于接收VLAN102报文 port link-mode bridge port access vlan 1000/所属vlan为1000#interface Ten-GigabitEthernet0/0.103/用于接收VLAN103报文 port link-mode bridge port access vlan 1000/所属vlan为10000路由模式转发原理母体的10GE接口在Trunk类型下，可以与SecBlade II的10GE接口交互带vlan tag的报文。SecBlade II 10GE接口的三层子接口（物理接口为路由模式）或vlan虚接口（物理接口为桥模式，

12、且配置为Trunk类型）能够接收指定vlan tag的报文；在指定vlan内发送报文。母体将带vlan tag的报文发送给SecBlade后，相同vlan id的子接口或vlan虚接口将转发报文或发送应答报文（如arp，针对接口地址的访问）根据目的IP地址查找转发表或路由表，根据最长匹配原则找到出接口；找到出接口后，判断安全域，执行安全策略查找匹配目的IP的arp表项，同时根据出接口特性，封装以太帧发送报文。若没有目的IP对应的arp表项，向出接口发送arp查询。应用环境内部网络划分VLAN101、102、103，分配划分到Trust、DMZ和Untrust安全区域，交换机作为二层，要求各VL

13、AN网关终结在SecBlade上，SecBlade实现：VLAN间的访问控制；配置内部服务器；访问Internet。交换机的配置创建Vlanvlan 101 to 103 access接口配置interface GigabitEthernet2/1/11 port link-mode bridge port access vlan 101 10GE接口的配置interface Ten-GigabitEthernet6/1/1port link-mode bridgeport link-type trunk /10GE接口工作在Trunk模式port trunk permit vlan 1 10

14、1 to 103 /Trunk所需vlan到SecBlade三层子接口方式PC1、PC2、PC3分别属于VLAN101、VLAN102、VLAN103，在SecBlade上创建三个三层子接口ten-g0/0.101、ten-g0/0.102、ten-g0/0.103，配置IP地址作为S9500E上的VLAN101、VLAN102、VLAN103的网关。IPS的定义包头内部网络 IPS防火墙协议数据内容InternetIPS（Intrusion Prevention System，入侵防御系统），是一种基于应用层、主动防御的产品，它以在线方式部署于网络关键路径，通过对数据报文的深度检测，实时发现

15、威胁并主动进行处理。目前已成为应用层安全防护的主流设备。数据流重组协议识别分析并行处理支持近千种协议特征分析 并行处理包括攻击特征、病毒特征转发限流、整形阻断、重定向、隔离等IPS的基本原理 数据流重组：把数据流重组到连接会话中 协议识别分析：分析错误、识别流量、解析协议载荷 特征模式匹配：依靠已有数据库来进行攻击特征或模式的匹配 根据不同的预设条件对经过分析的数据执行不同策略定制策略ACG简介H3C SecPath ACG（Application Control Gateway）是业界识别最全面、控制手段最丰富的高性能应用控制网关，能对网络中的P2P/IM带宽滥用、网络游戏、炒股、多媒体应用

16、、非法网站访问等行为进行精细化识别和控制；同时，根据对网络流量、用户行为进行深入分析，可以帮助用户全面了解网络应用模型和流量趋势，为开展各项业务提供数据支撑。H3C ACG系列包括SecPath ACG 2000-M、SecPath ACG8800-S3和应用于H3C S75E/S95E系列交换机的SecBlade ACG模块。对用户上网行为进行深入分析，识别出相关应用采取阻断、限流、干扰、过滤、警告等控制手段通过采集相关访问信息，实现事后行为审计行为识别行为控制行为审计ACG实现目标部署概念(1)安全区域和段安全区域是一个物理/网络上的概念（特定的物理端口 + VLAN ID）段可以看作是连

17、接两个安全的区域的一个透明网桥策略被应用在特定的段上。 段 + 策略 + 网络配置 (IP地址、方向)部署概念(2)特征、规则和策略特征定义了一组检测因子来决定如何对当前网络中的流量进行检测规则的范畴比特征要广。规则 = 特征 + 启用状态 + 动作集策略是一个包含了多条规则的集合动作和动作集安全区域、段和策略的关系WANDMZ - WWWINTERNALSegmentZone APolicyPolicyPolicyPORTPORTZone B部署概念(3)IPS/ACG插卡工作方式SecBlade插卡与交换机背板相连，有两种工作方式：Ethernet、Hig方式。 IPS和ACG插卡工作在H

18、ig方式下,Hig方式下的插卡只能通过重定向转发接收报文。重定向报文的两种方法：OAA和重定向。其中，OAA是我司自主开发的开放应用框架协议，S75E/S95E/S58都采用OAA的方式和母体互联；而重定向是S95E上板卡的工作方式，S95E通过重定向的方式将报文送到IPS/ACG插卡处理。LSR1IPS1A1插卡介绍 入侵防御系统插卡，能够深度检测并且防御DDoS攻击，支持流量精细控制，提供带宽保护功能 性能规格 转发性能：1G(256字节，1%攻击流量）LSR1ACG1A1插卡介绍 应用控制网关插卡，实现应用识别、应用控制和行为审计功能 性能规格 转发性能：1G 并发会话数：1M 应用识别

19、：智能应用感知、应用流量感知、用户行为感知、上网内容感知、即时升级的特征库 应用控制：细粒度应用流量控制、根据五元组精确控制、URL过滤、内容过滤、认证与计费管理、黑名单 行为审计：记录访问信息、用户应用使用分析、用户行为的纵深分析、应用流量的纵深分析基本功能点 单板识别及启动 串口通信功能 交换机登录OAA插卡：oap connect（IPS和ACG不支持该功能） 交换机重启OAA插卡：oap reboot ACSEI协议功能 OAA插卡名称切换 接口MAC地址学习功能OAA插卡名称切换说明 OAA插卡前插板硬件分为3种类型 FW、NSM、IPS、ACG、AFC前插板共用同一种硬件：基于RM

20、I处理器的防火墙应用单板 SSL前插板用一种硬件：基于Cavium Octeon处理器的SSL应用单板 WCM前插板用一种硬件：基于RMI处理器的无线控制器应用单板 基于同一种硬件的插卡间可以互相切换，仅需要更换软件和逻辑 查询当前OAA插卡类型：oaa-type get（诊断模式） 修改当前OAA插卡类型：oaa-type set（诊断模式）（修改后需要重启）OAA插卡引流说明 FW、LB、WCM插卡工作在主机模式，数据流经过二三层转发到前插板 NSM插卡工作在镜像模式，数据流经过手工配置镜像的方式送往前插板 IPS和ACG插卡工作在镜像模式/重定向模式，数据流可以通过手工配置方式送往前插板

21、，也可以通过ACFP协议自动引流IPS&ACG: ACFP引流方案（一）重定向方式：1）在入端口下发ACL规则，报文（以一定格式携带相关信息）重定向到IPS插卡2）IPS封装成相应的格式，送往入端口所在单板3）入端口所在单板进行正常转发，送往目的端口IPS&ACG: ACFP引流方案（二）镜像方式：1）在入端口下发ACL规则，报文（以一定格式携带相关信息）镜像到IPS插卡2）镜像报文送IPS插卡，另一份报文正常转发IPS&ACG: ACFP引流产品实现1）引流IPS下发策略，通过ACFP协议下发ACL规则到安全域（物理端口），待检测的流量重定向/镜像到内联口，转发到IPS（报文中添加DSA T

22、ag，携带Context ID和入端口信息）2）返回IPS收到报文后，根据一定的约定封装报文内容（携带两层DSA Tag，用于S9500E侧正常转发）3）报文送到S9500E的环回口，按照原始报文格式进行正常转发IPS前插板VLAN 20 G1/1/1上行端口接核心路由器流量重定向到IPS单板（由CPU Code指定出设备和出端口）流量由IPS返回，直接转发到报文入端口所在芯片环回口内部业务端口环回口下行端口，接负载均衡器（LB）1234 InternetIP:G2/1/1G3/1/1 VLAN 20IPS&ACG: ACFP引流产品实现重定向报文到CPU，且分配相应的CPU Code，用于控

23、制符合规则的流转发到IPS单板； 即在下发重定向规则时，为了满足报文携带Context ID和自身转发的要求，需要把报文先重定向到CPU，分配一个CPU Code，再由CPU Code指定目的设备号和目的端口号G2/1/1，由G2/1/1转发到IPS模块。 同时，G2/1/1端口必须在初始化时设置成SP，保证从该端口出去的报文都能够携带DSA Tag头。此时的报文格式比较特殊，携带Marvell的TO_CPU的DSA Tag。IPS&ACG: ACFP引流产品实现 Context ID分配由S9500E产品完成，根据DEV+PORT组合成一个Context ID，携带在TO_CPU的DSA T

24、ag中（DEV占用7个bit，PORT占用6个bit），合在一起组成一个13bit的Context ID值；由于平台认为0是非法的Context ID，当DEV为0且PORT为0时，Context赋值成0 x1FFF（8191），需要9011产品侧进行特殊处理。IPS&ACG: ACFP引流产品实现转发从S9500E过来的报文，需要打上两层DSA Tag，外层DSA Tag为FROM_CPU的DSA Tag，DSA Tag的封装格式见表2，用于指定报文去往源端口所在芯片的LBP（固定为48），供LBP进行特殊处理；内层DSA_Tag为FORWARD的DSA Tag，DSA Tag的封装格式见表

25、3，用于携带报文的源设备和源端口信息，保证报文在Ingress方向进行正常的转发处理。IPS&ACG: ACFP引流产品实现 Context ID分配由S9500E产品完成，根据DEV+PORT组合成一个Context ID，携带在TO_CPU的DSA Tag中（DEV占用7个bit，PORT占用6个bit），合在一起组成一个13bit的Context ID值；由于平台认为0是非法的Context ID，当DEV为0且PORT为0时，Context赋值成0 x1FFF（8191），需要9011产品侧进行特殊处理。IPS&ACG各步骤报文格式S9500E重定向/镜像送往IPS的报文格式（含主动发

26、送的协议报文）IPS检测完毕后返回给S9500E的报文格式IPS发送的协议报文格式IPS主动发送的控制报文格式（发送到攻击源端和攻击目的端的报文格式）OAA方式配置步骤1）使能ACSEI和ACFP Server功能2）配置SNMP版本及用户名3）配置管理VLAN及接口地址（ACFP互通IP地址）4）配置内联口类型及工作模式（TRUNK，工作在扩展模式）参考配置：ACFP方式配置注意事项及使用限制1）内联口必须配置为TRUNK端口，且PVID不能设置成管理VLAN的VLAN ID2）内联口工作模式必须是在扩展模式（port connection-mode extend）3）ACFP动态引流模式和

27、手工配置模式的切换，仅需要在内联口修改工作模式4）经过ACFP协议引流到IPS插卡后返回的报文，在LBP口可以匹配MQC规则5）ACFP动态引流模式IPS+ACG混插组网时，同一条流不能既经过IPS又经过ACG处理，如果有这种混合应用，目前只能支持手工配置模式（非ACFP模式）解决方案：利用FW把IPS和ACG隔离，IPS工作在FW之外，ACG工作在FW之内，实现ACFP动态引流6）安全区域配置不支持聚合接口，只支持普通的物理端口（ACL无法在聚合组配置，和产品MQC实现保持一致）7）由于报文会从内联口重新进入交换机一次，会导致MAC地址在不同的端口上来回学习，引起混乱，因此需要在内联口上禁止MAC地址学习（ mac-address max-mac-count 0 ）OAA方式常见问题分析（一）1）IPS/ACG单板插入后打印forwarding故障，确认单板的逻辑CPLD是否最新的003。LSR1IPS1 1/6: uptime is 0 weeks, 0 days, 17 hour