以H3C路由器为例介绍如何防止DDOS攻击
我要评论2012/11/05 14:30:14 来源:绿色资源网编辑:www.downcc.com 评论:0点击:915次
目前网络上各种各样的病毒和攻击肆虐,毫无顾忌,造成了很大的损失,为此越来越多的路由器都开始带有防火墙功能,对于高端路由器,更是可以通过命令对路由器进行一定的设置,以减少病毒和攻击带来的损失,本文以H3C路由器为例,介绍如何防止DDOS攻击。
一、使用ip verfy unicast reverse-path检查每一个经过路由器的数据包,该数据包所到达网络接口的所有路由项中,如果没有该数据包源IP地址的路由,路由器将丢弃该数据包,单一地址反向传输路径转发在ISP实现阻止SMURF攻击和其它基于IP地址伪装的攻击,这能够保护网络和客户免受来自互联网其它地方的侵扰。
二、使用Unicast RPF 需要打开路由器的CEF swithing选项,不需要将输入接口配置为CEF交换,只要该路由器打开了CEF功能,所有独立的网络接口都可以配置为其它交换模式,反向传输路径转发属于在一个网络接口或子接口上激活的输入端功能,处理路由器接收的数据包。
三、使用访问控制列表过滤列出的所有地址
interface xy
ip access-group 101 in
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 192.168.0.0 0.0.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 permit ip any any
四、ISP端边界路由器应该只接受源地址属于客户端网络的通信,而客户端网络则应该只接受源地址未被客户端网络过滤的通信。
access-list 190 permit ip {客户端网络} {客户端网络掩码} any
access-list 190 deny ip any any [log]
interface {内部网络接口} {网络接口号}
ip access-group 190 in
五、如果打开了CEF功能,通过使用单一地址反向路径转发,能够充分地缩短访问控制列表的长度以提高路由器性能。为了支持Unicast RPF,只需在路由器完全打开CEF;打开这个功能的网络接口并不需要是CEF交换接口。
六、如果突变速率设置超过30%,可能会丢失许多合法的SYN数据包,使用show interfaces rate-limit命令查看该网络接口的正常和过度速率,能够帮助确定合适的突变速率,这个SYN速率限制数值设置标准是保证正常通信的基础上尽可能地小。
最后要说一下,一般情况下推荐在网络正常工作时测量SYN数据包流量速率,以此基准数值加以调整,必须在进行测量时确保网络的正常工作以避免出现较大误差。
关键词:H3C路由器,DDOS攻击
相关阅读
- 08-23H3C路由器无法打开网页解决
- 03-31nginx 全局变量及防DDOS攻击的简单配置
- 03-29linux下防DDOS攻击软件及使用方法详解
- 11-28H3C路由器不能传递的故障解决
- 08-24广电宽带路由器设置方法
- 05-30路由器备份的重要性和如何找到备份的路由器
- 09-06TP-Link路由器设置图解
- 08-06D-link 524M无线路由器设置教程
- 07-23无线路由当无线交换机使用设置教程 (无线路由当交换机使用并开通无线功能)
- 07-04无线路由器散热注意事项
阅读本文后您有什么感想? 已有 人给出评价!
用户评论
热门评论
最新评论
相关软件
热点图文
- 06-28比僵尸更恐怖 五大主流僵尸网路全解析
- 12-22WIN7标准账户如何开启隐藏Administrator账户
- 06-071000多个连接连接445端口的问题
- 04-04TP-link路由器防火墙设置图解教程
- 11-05以H3C路由器为例介绍如何防止DDOS攻击
- 09-21教你如何破解网络尖兵(非法路由器)
- 08-14Win2003自带防火墙如何打开和关闭
- 06-14十二种常用的密码破解法
- 12-22禁止别人用优盘从电脑上拷贝东西
- 09-21无线路由器安全设置:WEP加密,还是WPA加密?