h3c核心交換機(jī)支持防bt功能真實(shí)情況及分析應(yīng)對(duì)(編輯修改稿)
2025-03-22 20:34 本頁面
【文章內(nèi)容簡介】 可靠性、易管理規(guī)劃 銳捷教育城域網(wǎng) “區(qū)塊化” 設(shè)計(jì)特點(diǎn) RGS8606： ， 6槽， 4用戶槽， 2交換引擎 RGS8610： ， 10槽， 8用戶槽， 2交換引擎 RGS8600系列 每線卡帶寬： 200G 每線卡萬兆密度： 2/4/8/12 支持 40G、 100G接口擴(kuò)展 面向 10萬兆平臺(tái)設(shè)計(jì)的銳捷核心交換機(jī) RGS8600 RGS9610： ， 10槽， 8用戶槽， 2交換引擎 RGS9620： ， 20槽， 16用戶槽， 4交換引擎 RGS9600系列 每線卡帶寬： 300G 每線卡萬兆密度： 2/4/8/12/16 支持 40G、 100G接口擴(kuò)展 RGS9600作為面向超大型園區(qū)網(wǎng)和城域網(wǎng)的核心路由交換設(shè)備，擁有更高的處理能力、更大容量的各硬件表項(xiàng)、更豐富的用戶接口。 面向 10萬兆平臺(tái)設(shè)計(jì)的銳捷核心交換機(jī) RGS9600 CSS安全體系 ?CSS安全體系 ? 安全的整合 ? 安全與性能的平衡 ? 在不影響整機(jī)性能的前提下提供全面的安全防護(hù)能力 。 下文對(duì) IPFIX、防 DOS攻擊、 CPP進(jìn)行簡要的介紹 CSS安全體系 ——IPFIX ?IPFIX ?IPFIX（ RFC 3917）定義了一種網(wǎng)絡(luò)設(shè)備進(jìn)行流量采集并向管理系統(tǒng)輸出的方法，近期將成為國際標(biāo)準(zhǔn) 。 ?IPFIX標(biāo)準(zhǔn)以 NetFlow v9為基礎(chǔ)，利用以下“特征”定義流： ? 源 IP地址、目的 IP地址、源端口、目的端口、 3層協(xié)議類型 ? 服務(wù)類型（ TOS）字節(jié)、輸入邏輯接口、源和目的自治系統(tǒng)號(hào)碼 ? TCP標(biāo)志和下一跳路由地址 ? IPFIX的應(yīng)用 ? 安全監(jiān)測 ? 根據(jù)采集的數(shù)據(jù)，可綜合進(jìn)行模式匹配、基線分析等，進(jìn)行DoS/DDoS攻擊和蠕蟲等病毒檢測，結(jié)合記錄的源數(shù)據(jù)包相關(guān)特征快速定位網(wǎng)絡(luò)中的異常行為。 ? 網(wǎng)絡(luò)流量分析及容量規(guī)劃 ? 根據(jù)收集和統(tǒng)計(jì)的情況，可獲取大量的有用信息，如流量大小分布，前幾名的流量用戶和應(yīng)用排行、整體網(wǎng)絡(luò)流量、重要應(yīng)用帶寬的占用狀況及其變化趨勢等等，為今后的網(wǎng)絡(luò)規(guī)劃和升級(jí)提供決策參考。 ? 流量計(jì)費(fèi) ? 可實(shí)現(xiàn)多種計(jì)費(fèi)方式，如基于流量、時(shí)間段、 QoS、應(yīng)用類型、自治域計(jì)費(fèi)等。 CSS安全體系 ——IPFIX CSS安全體系 ——防 DDOS攻擊 ? 防 DDOS攻擊 ? 防 Land 攻擊： ? 攻擊原理：攻擊者將一個(gè) SYN包的源地址和目的地址都設(shè)置為目標(biāo)主機(jī)的地址，源和目的端口號(hào)設(shè)置為相同值，造成被攻擊主機(jī)因試圖與自己建立 TCP連接而陷入死循環(huán)，甚至系統(tǒng)崩潰。 ? 防護(hù)： – 丟棄源和目的 IP相同的 IPv4/IPv6數(shù)據(jù)包 – 丟棄源和目的 TCP/UDP端口相同的 IPv4/IPv6數(shù)據(jù)包 ?防 DDOS攻擊 ?防非法 TCP報(bào)文攻擊 ?攻擊原理：許多非法的 TCP報(bào)文會(huì)致使主機(jī)處理的資源消耗甚至系統(tǒng)崩潰 ?防護(hù)： – 丟棄 SYN比特和 FIN比特同時(shí)設(shè)置的 TCP報(bào)文 – 丟棄沒有設(shè)置任何標(biāo)志的 TCP報(bào)文 – 丟棄設(shè)置了 FIN標(biāo)志卻沒有設(shè)置 ACK標(biāo)志的 TCP報(bào)文攻擊 CSS安全體系 ——防 DDOS攻擊 ?防 DDOS攻擊 ? 防源 IP地址欺騙 ? 攻擊原理：大多數(shù)的攻擊都通過偽造源 IP的方式開始發(fā)起 ? 防護(hù)： – RFC2827（網(wǎng)關(guān)丟棄源 IP非本網(wǎng)段的數(shù)據(jù)包） – 地址綁定（ IP/MAC/端口、 IP/MAC） – （六元素綁定） CSS安全體系 ——防 DDOS攻擊 CSS安全體系 ——CPP ?CPP（ Control Plane Policy） ? CPU的利用率過高會(huì)影響管理與協(xié)議的正常運(yùn)行，是設(shè)備不穩(wěn)定的最直接因素，也是各種攻擊和病毒最主要針對(duì)的目標(biāo)。 ? CPP提供管理模塊和線卡 CPU的保護(hù)功能，并且銳捷 10萬兆產(chǎn)品采用硬件的方式實(shí)現(xiàn)，不影響整機(jī)的運(yùn)行效率。 ? CPP提供三種保護(hù)方法，來保護(hù) CPU的利用率。 ? 第一， 可以配置 CPU接受數(shù)據(jù)流的總帶寬，從全局上保護(hù) CPU。 ? 第二， 可以設(shè)備 QOS隊(duì)列，為每種隊(duì)列設(shè)置帶寬。 ? 第三，為每種類型的報(bào)文設(shè)置最大速率。 控制平面保護(hù) 管理平面保護(hù) 數(shù)據(jù)平面保護(hù) 控制平面鏈路防護(hù) 控制平面數(shù)據(jù)防護(hù) 管理平面鏈路防護(hù) 管理平
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1