交换机攻防见招拆招

S系列交换机攻击处理1.1如何确定攻击类型当设备遭受攻击时，通常伴随着如下现象：l用户无法获取ARP。l用户上线成功率较低。l用户无法访问网络。当大量用户或固定某个端口下的所有用户出现上述现象时，可以先通过如下定位手段分析是否为攻击问题。步骤1执行命令displaycpu-usage查看设备CPU占用率的统计信息,CPUUsage表示的是CPU占用率，TaskName表示的是设备当前正在运行的任务名称。<->displaycpu-us-ageCTUUsageStat.2ycle:3（SeconlJCPUUsage:11%七日露二94名CEUJsageStat-.lime;2017-OG-L31-5;1S:54CPUutilizaticrnforzivestGonda:二二若:oneminute;二二若:ziveminutes;二二告Kaa2PUUsageStat,lime;2QL^-06-0<14:5":05.TastWaoneCPURuntime<CEUTictfii5h/TickLow)laskEjcplanatiori7ZDL方9番e/eb"733feDDFRAIDLE：333%1/57529™CperatiozzSystemtocmRX20%0/17aL4cbcinKXFTS2口告0/zf737FTSSOCK2口告0/2£acS9SC2KPackEtadiedulearid^r&c.essVPR口10/l££3630VPRVPRec：&ive如果CPU利用率持续较高，并且bcmRX、FTS、SOCK或者VPR任务过高（通常协议报文攻击会导致这些任务过高），则较大可能是收到的报文过多，接下来需要执行步骤2继续判断设备收到的报文类型。印说岬一般情况下，交换机长时间运行时CPU占用率不超过80%，短时间内CPU占用率不超过95%，可认为交换机状态是正常的。步骤2执行命令displaycpu-defendstatisticsall查看相关协议是否有CPCAR丢包、丢包是否多，并确认现网设备是否放大相关协议的CPCAR值。如果CPCAR存在大量丢包，就基本可以确认现网存在攻击，根据丢包的协议，采用相关防攻击措施。具体有哪些常见的丢包协议，请参见表1-1。displaycpu-defendstatisticsallStatisticacnmainijoard!PacietTypePass(P^cket/S7te)Drop(Padet/Byte)Last-lrc^pirig-timeTOC\o"1-5"\h\zarp-infz00-00arp-missC0-C0a^p-reply00-CQa^p-request242=3L2S42017-05-10:23:10表1-1丢包协议以及相应的防攻击部署手段PacketType可以参考的攻击类型arp-reply、arp-requestARP攻击、1.2.8TC攻击arp-missARP-Miss攻击dhcp-client、dhcp-server、dhcpv6-reply、dhcpv6-requestDHCP攻击icmpICMP攻击ttl-expiredTTL攻击tcpTCP攻击ospfOSPF攻击ssh、telnetSSH/Telnet攻击vrrpVRRP攻击igmpIGMP攻击

pimPIM攻击V200R003版本以及之后版本支持端口防攻击功能，对于V200R003版本以及之后版本，有可能存在这样的情况：即使Drop计数不再增长，也是有可能存在攻击的。所以对于V200R003版本以及之后版本，还需要继续执行步骤3进一步确认丢包协议。步骤3可以通过如下两种方式确认。方法一：在诊断视图中执行命令displayauto-port-defendstatistics[slotslot-id]查看是否有对应协议的丢包。具体有哪些常见的丢包协议，请参见表1-2。system-view[HUAWEI]diiagnose[H.TTAKEI-diagnose]displayauto-port-defen-dstat1sticsStatisticsonHEU：iProtocolVian^iieuetit(KbpsJPass(Facket/Byte)Drop(Packet/BYte)曜2256□口瞄曜2256□口瞄dticf曜21024□口NANAMA27630口NANAic-mpMA2256230953NANA表1-2丢包协议以及相应的防攻击部署手段Protocol可以参考的攻击类型arp-reply、arp-requestARP攻击、1.3.8TC攻击arp-missARP-Miss攻击dhcp-client、dhcp-server、dhcpv6-reply、dhcpv6-requestDHCP攻击icmpICMP攻击ttl-expiredTTL攻击

tcpTCP攻击ospfOSPF攻击ssh、telnetSSH/Telnet攻击vrrpVRRP攻击igmpIGMP攻击pimPIM攻击方法二：对于历史上曾经触发过端口防攻击也可以通过日志来确定。日志格式如下，其中AttackProtocol表示的是攻击报文的协议类型。SECE/4/PORT_ATTACK_OCCUR:Autoport-defendstarted.(SourceAttackInterface=[STRING],AttackProtocol=[STRING])SECE/6/PORT_ATTACK_END:Autoport-defendstop.(SourceAttackInterface=[STRING],AttackProtocol=[STRING])结束1.2根据攻击类型部署防攻击手段1.2.1ARP攻击1.2.1.1ARP泛洪攻击攻击简介如下图所示，局域网中用户通过SwitchA和SwitchB接入连接到Gateway访问Internet。当网络中出现过多的ARP报文时，会导致网关设备CPU负载加重，影响设备正常处理用户的其它业务。另一方面，网络中过多的ARP报文会占用大量的网络带宽，引起网络堵塞，从而影响整个网络通信的正常运行。InternetUserAUserCUserDAttackerSwitchBSwiichAInternetUserAUserCUserDAttackerSwitchBSwiichA现象描述l网络设备CPU占有率较高，正常用户不能学习ARP甚至无法上网。lPing不通。l网络设备不能管理。定位思路定位手段命令行适用版本形态查看ARP临时表项displayarpV100R006C05版本以及之后版本查看arp-request的CPCAR计数displaycpu-defendstatisticspacket-typearp-requestallV100R006C05版本以及之后版本查看攻击溯源结果displayauto-defendattack-source[slotslot-id]V200R003版本以及之后版本步骤1执行命令displayarp查看受影响用户的ARP是否学习不至限如果MACADDRESS字段显示为Incomplete,表示有ARP学习不到，有可能设备遭受ARP攻击。

<HUAWEI><iisplayarp二FADISESSMACADDRESSEXEIRE(M)TYPEINTERFACEVPN-ZNSIANCEVLSH/而？L且N10-137-222-139OOeO-fcOl-4422I-EthO/0/050-1..1..3In.c.cirp'lete1D-0GE5/0/0500/-50..1.1.2Inc-cnp'lete1D-0GE5/0/0500/-€.1-1-2OOeO-fcOl-4422I-Vla.ni.f610„0„0„139O0eO-fc01-4422I-VlanizlO步骤2由于有未学习到的ARP表项，执行命令displaycpu-defendstatisticspacket-typearp-requestall查看上送CPU的ARP-Request报文统计信息，判断设备是否遭受攻击，下述回显发现4号单板上存在大量ARP-Request报文丢包。<HUAWEI>displaycpundefendstatisticspacket-typearp-requestallStatisticson.maint-card：PacketTypePass(Facket./Byt;e)Drop(Facket/Byte)Last-drcppinj-1imearp-request1S265041C43300Statisticsonslot4Packet工ypmPass(Facket./Byt:e)Drop(Packet/BYte)Last-drcppinj-1imearp-request213237432016-01-1705:13:25272S96479744CQ说明该命令可以查看多次，比如1秒执行一次，查看多次执行的结果。如上显示，如果Drop(Packets)计数增加很快，比如1秒钟Drop上百个，这说明设备正在遭受ARP攻击，上送的ARP报文已经超过了设备配置的CPCAR范围，攻击ARP报文可能已经挤掉了正常ARP报文，则部分ARP可能学习不到。步骤3确认攻击源，通过攻击溯源功能识别攻击源。首先在系统视图下配置防攻击策略：[HUAWEI]cpu-defendpolicypolicy1[HUAWEI-cpu-defend-policy-policy1]auto-defendenable[HUAWEI-cpu-defend-policy-policy1]auto-defendattack-packetsample5[HUAWEI-cpu-defend-policy-policy1]auto-defendthreshold30[HUAWEI-cpu-defend-policy-policy1]undoauto-defendtrace-typesource-portvlan[HUAWEI-cpu-defend-policy-policy1]undoauto-defendprotocoldhcpicmpigmptcptelnetttl-expiredudp接下来应用防攻击策略policyL关于防攻击策略的应用，请参见3.1应用防攻击策略。最后通过命令displayauto-defendattack-sourceslot4查看攻击源的MAC地址。

<HUAWEI>displayauto-defendattack-sourceslot4AttackSourceUserTab-le(slot4):Maor-ddressInteriaceNameVIan:Outer/1nnerIOZALTOC\o"1-5"\h\zuuuu-uuuu-uudDGijat-ittitnerne14/u/z41bAttackSourceIPIable(slot4):IPAddresslOIILLFackets19S-19.1-224550.1.1.2125Total:2QJ说明识别的MAC中可能包含网关的MAC地址或互连网络设备的MAC,需要注意剔除。结束问题根因由于终端中毒频繁发送大量ARP报文。下挂网络成环产生大量的ARP报文。处理步骤步骤1在接口下配置ARP表项限制。设备支持接口下的ARP表项限制，如果接口已经学习到的ARP表项数目超过限制值，系统不再学习新的ARP表项，但不会清除已经学习到的ARP表项，会提示用户删除超出的ARP表项。配置命令如下：<HUAWEI>system-view[HUAWEI]interfacegigabitethernet1/0/1[HUAWEI-GigabitEthernet1/0/1]arp-limitvlan10maximum20步骤2配置针对源IP地址的ARP报文速率抑制的功能。在一段时间内，如果设备收到某一源IP地址的ARP报文数目超过设定阈值，则不处理超出阈值部分的ARP请求报文。<HUAWEI>system-view[HUAWEI]arpspeed-limitsource-ip10.0.0.1maximum50缺省情况下，对ARP报文进行时间戳抑制的抑制速率为5pps，即每秒处理5个ARP报文。步骤3根据排查出的攻击源MAC配置黑名单过滤掉攻击源发出的ARP报文。[HUAWEI]acl4444[HUAWEI-acl-L2-4444]rulepermitl2-protocolarpsource-mac0-0-1vlan-id3[HUAWEI-acl-L2-4444]quit[HUAWEI]cpu-defendpolicypolicy1[HUAWEI-cpu-defend-policy-policy1]blacklist1acl4444[HUAWEI-cpu-defend-policy-policy1]quit

接下来应用防攻击策略policyl,关于防攻击策略的应用，请参见3.1应用防攻击策略。步骤4如果上述配置无法解决，比如源MAC变化或源IP变化的ARP攻击源来自某台接入设备下挂用户，在接入侧交换机上配置流策略限速，不让该接入侧设备下的用户影响整个网络。[HUAWEI]acl4445[HUAWEI-acl-L2-4445]rulepermitl2-protocolarp[HUAWEI-acl-L2-4445]quit[HUAWEI]trafficclassifierpolicy1[HUAWEI-classifier-policy1]if-matchacl4445[HUAWEI-classifier-policy1]quit[HUAWEI]trafficbehaviorpolicy1[HUAWEI-behavior-policy1]carcir32[HUAWEI]trafficpolicypolicy1[HUAWEI-trafficpolicy-policy1]classifierpolicy1behaviorpolicy1[HUAWEI]interfaceGigabitEthernet1/0/1[HUAWEI-GigabitEthernet1/0/1]traffic-policypolicy1inbound结束1.2.1.2ARP欺骗攻击攻击简介如图1-2所示，局域网中UserA、UserB、UserC等用户通过Switch接入连接到Gateway访问Internet。图1-1ARP欺骗攻击组网正常情况下，UserA、UserB、UserC上线之后，通过相互之间交互ARP报文，UserA、UserB、UserC和Gateway上都会创建相应的ARP表项。此时，如果有攻击者Attacker通过在广播域内发送伪造的ARP报文，篡改Gateway或者UserA、UserB、UserC上的ARP表项，Attacker可以轻而易举地窃取UserA、UserB、UserC的信息或者阻碍UserA、UserB、UserC正常访问网络。现象描述局域网内用户时通时断，无法正常上网。网络设备会经常脱管，网关设备会打印大量地址冲突的告警。定位思路定位手段命令行适用版本形态查看日志信息displaylogbufferV100R006C05版本以及之后版本l交换机做网关，如果攻击源发送假冒网关的ARP报文经过网关交换机时，报文会上送交换机的CPU处理，交换机在检测到网关冲突的同时记录日志。执行命令displaylogbuffer查看日志信息。日志信息如下所示，其中MacAddress代表攻击者的MAC地址。ARP/4/ARP_DUPLICATE_IPADDR:ReceivedanARPpacketwithaduplicateIPaddressfromtheinterface.(IpAddress=[IPADDR],InterfaceName=[STRING],MacAddress=[STRING])根据日志信息记录的攻击者的MAC地址查找MAC地址表，从而获取到攻击源所在的端口，通过网络进一步排查，进一步定位出攻击源，查看是否中毒所致。l交换机做网关，如果攻击源发送假冒网关的ARP报文不经过网关交换机，直接在交换机的下游转发到用户，则需要在下层网络排查。例如，可以在终端上使用报文解析工具(比如wireshark)解析网关回应的ARP报文，如果解析出来的MAC地址不是网关的MAC地址，则代表终端遭遇攻击，其中解析出来的MAC地址即为攻击者MAC地址。问题根因终端中毒。攻击者将主机地址设为网关地址。处理步骤方法优点缺点配置黑名单基于黑名单丢弃上送CPU的报文需先查到攻击源配置黑洞MAC丢弃该攻击源发的所有报文，包括转发的报文需先查到攻击源配置防网关冲突攻击功能收到具有相同源MAC地址的报文直接丢弃需本设备做网关l方法一：可以在用户允许的情况下，直接在交换机上配置黑名单过滤攻击源的源MAC地址。[HUAWEI]acl4444[HUAWEI-acl-L2-4444]rulepermitl2-protocolarpsource-mac1-1-1[HUAWEI-acl-L2-4444]quit[HUAWEI]cpu-defendpolicypolicy1[HUAWEI-cpu-defend-policy-policy1]blacklist1acl4444接下来应用防攻击策略policyl,关于防攻击策略的应用，请参见3.1应用防攻击策略。l方法二：更严厉的惩罚措施可以将攻击者的MAC配置成黑洞MAC，彻底不让该攻击者上网。[HUAWEI]mac-addressblackhole1-1-1vlan3l方法三：可以在交换机上配置防网关冲突功能（该功能要求交换机必须做网关），ARP网关冲突防攻击功能使能后，系统生成ARP防攻击表项，在后续一段时间内对收到具有相同源MAC地址的报文直接丢弃，这样可以防止与网关地址冲突的ARP报文在VLAN内广播。[HUAWEI]arpanti-attackgateway-duplicateenable1.2.2ARP-Miss攻击1.2.2.1网段扫描攻击攻击简介当交换机需要转发三层报文时，如果目的地址是和其直连的，且在设备上没有目的地址的ARP表项，就会触发一个ARPMiss消息，由设备发送ARP请求到目的地址，以便学习ARP，当学习到ARP后，报文便可以直接转发到目的地址。大量的网段扫描报文会产生大量的ARPMiss消息，导致交换机的资源浪费在处理ARPMiss消息上，影响交换机对其他业务的处理，形成扫描攻击。现象描述当设备遭受ARPMiss消息攻击时，出现设备CPU占有率较高，有大量的临时ARP表项，CPCAR存在ARPMiss丢包，Ping有时延或Ping不通的现象，业务方面会发生用户掉线、用户上网慢、设备脱管、甚至业务中断等现象。定位思路定位手段命令行适用版本形态查看CPU-Defend丢包计数displaycpu-defendstatisticspacket-typearp-miss{slotslot-id}V100R006C05版本以及之后版本查看ARP临时表项displayarpV100R006C05版本以及之后版本清除上送CPU的ARPMiss报文统计计数。<HUAWEI>resetcpu-defendstatisticspacket-typearp-missall等待1分钟后，查看这段时间内上送CPU的ARPMiss数量。displayGpu--l&fendstatistiG-spactst-typearp-missslot2Statisticson.slot2:PacfcetTypePass(Packet/Byte)Drop(Pacfcet/B/te)Last-droppiri'g--time5r?-ir.izz:口三口03c-5302QL--0c-lc12;2c;10查看通过和丢弃的报文数量，如果丢弃的消息数量大于通过的，则可认为是ARPMiss攻击。查看设备上是否有大量的ARP临时表项,如果存在大量（大概15个或者15个以上）的MACADDRESS字段为Incomplete的临时表项，也可以认为是ARPMiss攻击。问题根因设备收到大量的ARPMiss消息常见的原因有两种：存在网段扫描攻击，可以通过获取报文或者通过displayarpanti-attackarpmiss-record-info命令来查看攻击源。设备收到TC消息，导致ARP表项老化，设备出现大量的ARPMiss消息。对于TC消息导致的ARPMiss攻击，防范手段参考1.3.8TC攻击。处理步骤方法优点缺点降低ARPMiss消息的CPCAR值可以快速降低报文上送可能正常的ARPMiss消息被误丢弃。设置ARP假表老化时间针对具体目的地址进行抑制，在老化时间内不触发ARPMiss消息要选择合适的老化时间。配置ARPMiss源抑制针对具体源地址进行抑制，在block时间内不上送ARPMiss消息需要配置白名单，防止网络侧的设备被惩罚。

配置黑名单丢弃指定攻击源可以基于全局、单板应用，丢弃攻击报文黑名单无法有效降低CPU占用率。攻击消除后也无法访问设备。l可以通过调整ARPMiss的CPCAR值来缓解CPU过高问题。<HUAWEI>system-view[HUAWEI]cpu-defendpolicypolicy1[HUAWEI-cpu-defend-policy-policy1]carpacket-typearp-misscir64[HUAWEI-cpu-defend-policy-policy1]quit[HUAWEI]cpu-defend-policypolicy1global此方法只能缓解CPU过高问题，但无法解决用户上线慢等问题。l可以通过延长ARP假表老化时间来缓解CPU过高问题。当IP报文触发ARPMiss后，交换机会发送ARP请求进行探测，同时生成临时的ARP表项，将后续发送到此IP的数据报文直接丢弃，以免造成对CPU的冲击。当交换机收到ARP回应后，会将此临时的ARP表项修正，如果在规定的时间内未收到ARP回应，则将该临时表项删除，后续的IP报文即可继续触发上述ARPMiss流程。<HUAWEI>system-view[HUAWEI]interfaceVlanif500[HUAWEI-Vlanif500]arp-fakeexpire-time30〃默认时间为30s设置过大的假表老化时间，可能会导致ARP学习不实时，进而导致数据流量丢失。l配置基于源IP的ARPMiss限速，系统会自动识别超过速率的源IP且会自动下发ACL进行惩罚，默认情况下，所有IP地址的ARPMiss源抑制速率为30Pps，默认惩罚时间为5秒。建议对网络侧的地址进行放通，防止被惩罚。<HUAWEI>system-view[HUAWEI]arp-missspeed-limitsource-ipmaximum10//一个源IP最多产生arp-miss速率为10pps，缺省为30pps[HUAWEI]arp-missspeed-limitsource-ip1.1.1.1maximum200//对上行的网络侧地址放行，防止误惩罚可以通过命令displayarpanti-attackarpmiss-record-info查看攻击源。[HUnWE工]displayarpanti-atta-cfcarpmiss-record-infoInterlaceIFadiressAttacktimeBlocktimeAgiag-timeGijabitEtherne15/0/010-0-012009-09-1610:13:132Q09-09-l^10:19:1250Thereare1reeor-dsinAr-p-misstable此命令会自动下发基于源IP的ARPMiss惩罚ACL，若不再需要其上送控制平面，则可以通过cpu-defendpolicy中配置黑名单功能彻底终结该源的攻击。1.2.3DHCP攻击1.2.3.1DHCPServer仿冒攻击攻击简介由于DHCPServer和DHCPClient之间没有认证机制，所以如果在网络上随意添加一台DHCP服务器，它就可以为客户端分配IP地址以及其他网络参数。如果该DHCP服务器为用户分配错误的IP地址和其他网络参数，将会对网络造成非常大的危害。

如图1-3所示，DHCPDiscover报文是以广播形式发送，无论是合法的DHCPServer,还是非法的DHCPServer都可以接收到DHCPClient发送的DHCPDiscover报文。图1-2DHCPClient发送DHCPDiscover报文示意图BogusDHCPServerDHCPDiscoverfromDHCPClient如果此时DHCPServer仿冒者回应给DHCPClient仿冒信息，如错误的网关地址、错误的DNS(DomainNameSystem)服务器、错误的IP等信息，如图1-4所示。DHCPClient将无法获取正确的IP地址和相关信息，导致合法客户无法正常访问网络或信息安全受到严重威胁。图1-3DHCPServer仿冒者攻击示意图BogusDHCPServerDHCPclient一►DHCPrepl/FromBogusDHCPServer

DHCPreplyfromDHCPS&rver现象描述DHCPClient无法获取到正确的IP地址，用户无法正常访问网络。定位思路一般在业务部署的时候，防DHCPServer仿冒攻击就应该考虑。很少等到问题发生了才部署防DHCPServer仿冒攻击。如果出现该类问题，一般可以查看客户端DHCP相关信息，来确定问题原因。问题根因DHCP申请IP地址的交互流程中，客户端发送的是广播报文。如图1-4所示，仿冒的DHCP服务器可以截获DHCPClient发送的请求报文，为DHCPClient分配地址。处理步骤方法优点缺点配置DHCPSnooping常用方法，配置简单报文上送CPU，可能导致CPU利用率变高配置流策略报文不用上送CPU处理配置复杂，需要ACL资源支持方法一：通过DHCPSnooping来控制DHCP请求跟应答报文的交互，防止仿冒的DHCP服务器为DHCPClient分配IP地址以及其他配置信息。l全局使能DHCPSnooping业务<HUAWEI>system-view[HUAWEI]dhcpenable[HUAWEI]dhcpsnoopingenablel用户侧端口配置DHCPSnooping功能[HUAWEI]interfaceGigabitEthernet8/0/1[HUAWEI-GigabitEthernet8/0/1]dhcpsnoopingenablel连接DHCP服务器的端口配置成信任端口[HUAWEI]interfaceGigabitEthernet8/0/10[HUAWEI-GigabitEthernet8/0/10]dhcpsnoopingtrusted方法二：DHCPSnooping是通过控制DHCP报文的转发来防止DHCPServer仿冒攻击。我们可以通过流策略达到同样的效果。只允许DHCP请求报文向信任口转发，只允许DHCP回应报文从信任口收到并转发。配置ACL匹配DHCP回应报文[HUAWEI]acl3001[HUAWEI-acl-adv-3001]rulepermitudpdestination-porteqbootpc配置两个流策略，一个丢弃DHCP回应报文，一个允许DHCP回应报文转发，将丢弃的流策略应用到VLAN，将允许转发的流策略应用到连接DHCPServer方向的端口，利用流策略在端口应用的优先级高于在VLAN中应用，来实现只接收并转发从DHCPServer方向过来的DHCP回应报文的目的。[HUAWEI]trafficclassifierbootpc_dest[HUAWEI-classifier-bootpc_dest]if-matchacl3001[HUAWEI-classifier-bootpc_dest]quit[HUAWEI]trafficbehaviordeny[HUAWEI-behavior-deny]deny[HUAWEI-behavior-deny]quit[HUAWEI]trafficbehaviorpermit[HUAWEI-behavior-permit]permit[HUAWEI-behavior-permit]quit[HUAWEI]trafficpolicybootpc_dest_permit[HUAWEI-trafficpolicy-bootpc_dest_permit]classifierbootpc_destbehaviorpermit〃配置允许DHCP回应报文转发的流策略[HUAWEI-trafficpolicy-bootpc_dest_permit]quit[HUAWEI]trafficpolicybootpc_dest_deny[HUAWEI-trafficpolicy-bootpc_dest_deny]classifierbootpc_destbehaviordeny〃配置DHCP回应报文丢弃的流策略[HUAWEI-trafficpolicy-bootpc_dest_deny]quit[HUAWEI]interfaceGigabitEthernet8/0/10[HUAWEI-GigabitEthernet8/0/10]traffic-policybootpc_dest_permitinbound//将允许DHCP回应报文的流策略应用在信任端口上[HUAWEI-GigabitEthernet8/0/10]quit[HUAWEI]vlan172[HUAWEI-vlan172]traffic-policybootpc_dest_denyinbound〃将丢弃DHCP回应报文的流策略应用在VLAN中[HUAWEI-vlan172]quit下述配置是可选的配置。配置ACL匹配DHCP请求报文[HUAWEI]acl3000[HUAWEI-acl-adv-3000]rulepermitudpsource-porteqbootpc配置两个流策略，一个丢弃DHCP请求报文，一个允许DHCP请求报文转发，将丢弃的流策略应用到VLAN，将允许转发的流策略应用到连接DHCPServer方向的端口，利用流策略在端口应用的优先级高于在VLAN中应用，来实现将DHCP请求报文只往DHCPServer转发的目的。[HUAWEI]trafficclassifierbootpc_src[HUAWEI-classifier-bootpc_src]if-matchacl3000[HUAWEI-classifier-bootpc_src]quit[HUAWEI]trafficbehaviordeny[HUAWEI-behavior-deny]deny[HUAWEI-behavior-deny]quit[HUAWEI]trafficbehaviorpermit[HUAWEI-behavior-permit]permit[HUAWEI-behavior-permit]quit[HUAWEI]trafficpolicybootpc_src_permit[HUAWEI-trafficpolicy-bootpc_src_permit]classifierbootpc_srcbehaviorpermit〃配置允许DHCP请求报文转发的流策略[HUAWEI-trafficpolicy-bootpc_src_permit]quit[HUAWEI]trafficpolicybootpc_src_deny[HUAWEI-trafficpolicy-bootpc_src_deny]classifierbootpc_srcbehaviordeny//配置DHCP请求报文丢弃的流策略[HUAWEI-trafficpolicy-bootpc_src_deny]quit[HUAWEI]interfaceGigabitEthernet8/0/10[HUAWEI-GigabitEthernet8/0/10]traffic-policybootpc_src_permitoutbound//将允许DHCP请求报文转发的流策略应用在信任端口的出方向[HUAWEI-GigabitEthernet8/0/10]quit[HUAWEI]vlan172[HUAWEI-vlan172]traffic-policybootpc_src_denyoutbound〃将丢弃DHCP请求报文的流策略应用在VLAN的出方向[HUAWEI-vlan172]quit1.2.3.2DHCP泛洪攻击攻击简介泛洪攻击又叫DoS攻击，即拒绝服务攻击(DoS,DenialofService),是指向设备发送大量的连接请求，占用设备本身的资源，严重的情况会造成设备瘫机，一般情况下也会使设备的功能无法正常运行。因为主要是针对服务器的,目的是使服务器拒绝合法用户的请求,所以叫拒绝服务攻击。现象描述交换机部署DHCPSnooping、DHCPRelay或者DHCPServer业务时，设备出现CPU高，用户上线慢等现象。定位思路定位手段命令行适用版本形态查看CPU利用率displaycpu-usage[slave|slotslot-id]V100R006C05版本以及之后版本查看CPU-Defend统计计数displaycpu-defendstatistics[packet-typepacket-type]{all|slotslot-id|mcu}V100R006C05版本以及之后版本查看端口防攻击统计计数displayauto-port-defendstatistics[slotslot-id]V200R003版本以及之后版本配置攻击溯源auto-defendenableV100R006C05版本以及之后版本查看攻击溯源信息displayauto-defendattack-sourcedetailV100R006C05版本以及之后版本查看DHCP报文统计信息displaydhcpstatisticsV100R006C05版本以及之后版本查看DHCP中继的相关报文统计信息displaydhcprelaystatisticsV100R006C05版本以及之后版本查看DHCPServer统计计数displaydhcpserverstatisticsV100R006C05版本以及之后版本查看DHCP报文处理速率displaydhcppacketprocessstatisticsV100R006C05版本以及之后版本执行命令displaycpu-usage查看任务运行情况，找出占用CPU较高的任务，通常DoS攻击会导致bcmRX、FTS或者SOCK任务过高。执行命令displaycpu-defendstatistics查看CPU收包统计，判断是否存在过多由于来不及处理而丢弃的协议报文，对于DHCP协议攻击可以查看dhcp-server、dhcp-client>dhcpv6-request>dhcpv6-reply这几种协议的CPCAR统计值。查看端口防攻击的收包统计，从V200R003以及之后版本支持端口防攻击功能，对于DHCP协议报文，还需要查看端口防攻击的统计信息，查看是否存在DHCP协议报文的丢包。―‘根据任务或CPU收包统计确定是否出现过多的某种协议报文。如果判断出某种协议报文过多，根据用户的组网判断是否可能出现这么多的协议报文，如果用户组网不可能出现这么多协议报文，则可基本判断为协议报文的攻击。对于DoS攻击，大多数的攻击者的源IP或者源MAC是固定的。可以通过部署攻击溯源来查看是否存在攻击(攻击溯源在V200R009已经默认开启)。[HUAWEI]cpu-defendpolicypolicy1[HUAWEI-cpu-defend-policy-policy1]auto-defendenable[HUAWEI-cpu-defend-policy-policy1]auto-defendattack-packetsample5[HUAWEI-cpu-defend-policy-policy1]auto-defendthreshold30[HUAWEI-cpu-defend-policy-policy1]auto-defendtrace-typesource-macsource-ip[HUAWEI-cpu-defend-policy-policy1]auto-defendprotocoldhcp[HUAWEI-cpu-defend-policy-policy1]quit接下来应用防攻击策略policyL关于防攻击策略的应用，请参见3.1应用防攻击策略。等待一分钟后，查看是否存在攻击源。■displayauto-deCendattaci-sour-oedetailAttackScurceUser-Table(MPU)::MACAddress0000-C123-0102ZnterzaceGig-abitEt