华为操作手册业务配置安全特性配置样本.doc

目 录13 安全特征配置13-113.1 概述13-213.2 相关概念13-313.3 设置地址绑定13-413.4 设置最大MAC地址数13-513.5 设置MAC地址老化时间13-613.6 配置防MAC地址欺骗功效13-713.6.1 设置工作模式13-713.6.2 设置MAC地址列表13-813.7 配置PITP协议13-913.7.1 设置PITP功效开关13-913.7.2 设置PITP以太网封装类型13-913.7.3 设置PITP编码格式13-1013.7.4 设置PITP option82功效13-1013.8 设置802.1p优先级门限13-1113.9 设置流量抑制13-12表格目录表13-1 配置地址绑定相关操作列表13-5表13-2 设置最大MAC地址数相关操作列表13-6表13-3 设置802.1p优先等级门限相关操作列表13-1113 安全特征配置相关本章本章介绍安全特征及其配置操作。本章描述内容以下表所表示。标题描述Error! Reference source not found.Error! Reference source not found.介绍以太网业务安全特征。Error! Reference source not found.Error! Reference source not found.介绍安全特征相关概念。Error! Reference source not found.Error! Reference source not found.介绍PVC地址绑定配置操作。Error! Reference source not found.Error! Reference source not found.介绍最大MAC地址数配置操作。Error! Reference source not found.Error! Reference source not found.介绍MAC地址老化时间配置操作。Error! Reference source not found.Error! Reference source not found.介绍防MAC地址欺骗功效配置操作。Error! Reference source not found.Error! Reference source not found.介绍PITP协议配置操作。Error! Reference source not found.Error! Reference source not found.介绍802.1p优先级门限配置操作。Error! Reference source not found.Error! Reference source not found.介绍流量抑制配置操作。13.1 概述业务描述MA5100以太网业务提供一系列安全特征，有利于运行商提升网络运行安全。业务规格以太网业务安全特征包含：l 地址绑定l 最大MAC地址数l MAC地址老化l 防MAC地址欺骗l PITP功效l 802.1p功效l 流量抑制13.2 相关概念地址绑定当PVC设置地址绑定后，这条PVC上只有这个地址数据帧才正当，其它地址数据包全部被认为是非法而丢弃。MAC地址欺骗假如某个ADSL用户将自己MAC地址修改为和上层设备一致，则LAN板会将该用户端口看成目标端口，造成全部上行到该上层设备用户不能上网。数据环网假如两条（或多条）ADSL线路接入同一台HUB上，再经过这台HUB接入多个用户，则其中一条ADSL下行数据抵达HUB时将从另一条ADSL线路环回上行。上层设备检测到环路后，会将对应MA5100/MA5103上行VLAN阻塞掉，从而造成该VLAN下全部用户不能上网。环网上行数据包包含了上层设备源MAC地址，类似于地址欺骗，能够经过源MAC地址过滤功效统一控制。PITP协议系统支持PITP（Policy Information Transfer Protocol）协议，经过在PPPoE认证请求报文中携带用户帐号、物理端口号、MAC地址、VPI/VCI等用户信息，提交BRAS设备验证，处理宽带用户标识问题，实现用户帐号和用户端口绑定。PITP功效支持两种模式：V模式和P模式，二者互斥。其区分是：l V模式是BRAS设备主动提议用户端口查询。l P模式是MA5100设备主动提议用户端口查询。PITP option82功效用来实现用户DHCP请求报文认证，经过在DHCP请求报文中添加物理端口号、MAC地址、VPI/VCI等用户信息，确保正当用户成功取得动态IP。PITP option82处理了DHCP广播过多、DHCP IP耗尽攻击、IP地址欺骗、MAC地址欺骗、用户ID欺骗等安全性问题。802.1p系统支持802.1p优先级功效，对上下行数据包进行调度。在上行方向，报文携带优先级信息发送到对端，由对端设备对报文进行优先级业务调度。上行报文优先级在PVC建立时由priority参数设置。在下行方向，MA5100设置2个优先级队列，依据优先级门限对下行数据进行调度。优先级门限为4时，系统将把优先级为04下行数据包放入低优先级队列，将优先级为56下行数据包放入高优先级队列，当下行发生拥塞时系统依据设置高低优先级进行业务调度。调度时，系统依据高低优先级队列中报文比率进行，如高低优先级队列报文比率设置为2：1（如高优先级比率为14，低优先级比率为7，则高低比率为2：1），在某时刻，当高优先级队列中报文为3M，低优先级队列中报文为2M，而带宽只有3M时，系统将依据设置比率，高优先级队列只能传送2M，丢弃1M；低优先级传送1M，丢弃1M。13.3 设置地址绑定目标 把用户IP地址和MAC地址绑定到指定PVC上。规格一条PVC可绑定IP地址或MAC地址，或二者同时绑定。设置地址绑定要求：l LAN板工作模式不能为GENERAL模式。l PVC源端和目标端不能同时在LAN板上。l 系统最多支持256条PVC对MAC地址进行绑定。l 系统最多支持512条PVC对IP地址进行绑定。l 一条PVC最多可绑定8个IP地址和8个MAC地址。设置地址绑定后用户接入限制：l 假如只设置了IP地址绑定，则只要用户IP地址在绑定范围内，业务就可正常进行；l 假如IP地址和MAC地址全部设置了绑定关系，则只有IP地址和MAC地址全部在绑定范围内用户业务才可正常进行；l 设置了地址绑定PVC必需取消绑定后才可进行删除操作。注意事项LAN板工作模式为GENERAL时不支持本命令。举例设置1号PVC绑定IP地址10.11.18.1。huawei(config-LAN-0/12)#bind ip1-8000:1:10.11.18.1 Set ip bind successfully.验证结果使用show bind命令查询地址绑定信息。huawei(config-LAN-0/12)#show bind cid 1Cutline:*: The IP bound is invalid for board version is low.CID Vlan IP address MAC address- - - - -1 1 10.11.18.1 - - - - - -相关操作配置地址绑定相关操作如Error! Reference source not found.所表示。表13-1 配置地址绑定相关操作列表操作命令MAC地址绑定bind mac 删除地址绑定no bind 13.4 设置最大MAC地址数目标 设置LAN板 PVC 可学习最大MAC地址数，预防出现过多广播和恶意攻击。规格系统缺省支持256个MAC地址，最大支持2047个。举例设置1号PVC可学习到最大MAC地址数为64。huawei(config-LAN-0/13)#max-mac-countpvc,vlan,all:pvc1-8000:11-2047:64 If the max learnable MAC addresses of one PVC to be set less than the learned MAC addresses,some services may be broken.Are you sure to continue?(y/n)n:y Set the max learnable MAC addresses of PVC successfully.验证结果使用show max-mac-count命令查询最大MAC地址数。huawei(config-LAN-0/13)#show max-mac-countpvc,vlan,all:pvc1-8000:1 CID VLAN ID Learnable MAC addresses - - - 1 11 64相关操作设置最大MAC地址数相关操作如Error! Reference source not found.所表示。表13-2 设置最大MAC地址数相关操作列表操作命令查询已经学习到MAC地址数show mac-count 13.5 设置MAC地址老化时间目标 设置MAC地址老化时间阈值，系统将依据时间阈值老化掉不再使用MAC地址，即从MAC地址表中删除。规格只有EVMB、MMXV板支持MAC地址老化时间设置。举例设置MAC地址老化时间为600秒。huawei(config-LAN-0/3)#mac-age10-0:600 Set the max age of MAC addresses successfully验证结果使用show mac-age命令查询MAC地址老化时间。huawei(config-LAN-0/3)#show mac-age MAC address aging time is: 600 seconds.13.6 配置防MAC地址欺骗功效13.6.1 设置工作模式目标 设置MAC地址欺骗时，系统采取处理方法。规格防MAC地址欺骗工作模式有三种：l common：一般模式，系统过滤掉从异常MAC地址对应端口发过来数据包。该模式最多支持8个MAC地址过滤。该8个MAC地址能够手动配置，也能够系统自动学习。l enhance：增强模式，系统产生MAC地址异常告警，并去激活对应ADSL端口。该模式下MAC地址不需要配置，系统自动学习取得。l integrated：综合模式，common模式和enhance模式并存。注意事项设置防MAC地址欺骗工作模式时需注意：l MMXV/EVMB仅支持common模式。l LAND/EVMA（IPDSLAM/IPCASCADE）三种模式全部支持。举例设置防MAC地址欺骗工作模式为一般模式。huawei(config-LAN-0/12)#anti mac-spoofingmode,add,delete:modeoff,common,enhance,integrated: common Set successfully.验证结果使用show anti mac-spoofing命令查询防MAC地址欺骗工作模式。huawei(config-LAN-0/10)#show anti mac-spoofing Anti MAC spoofing mode: common MAC address number : 5 No. MAC address type - - - 1 00-00-00-00-00-09 static 2 00-00-00-00-00-01 static 3 00-00-00-00-00-02 static 4 00-00-00-00-00-03 static 5 00-e0-fc-10-2d-dc dynamic - - -13.6.2 设置MAC地址列表目标 对于上行设备MAC地址，MA5100能够经过自学习取得（动态），也能够进行手工设置（静态）。经过将MAC地址列表和ADSL用户MAC地址进行比较，能够有效防地址欺骗和环网。注意事项设置MAC地址仅对common模式有效，Enhance模式下MAC地址设置无效（经过自学习取得）。举例增加MAC地址00-00-00-00-00-01，当用户仿冒这个地址时，将其数据包过滤掉。huawei(config-LAN-0/10)#anti mac-spoofingmode,add,delete:add:00-00-00-00-00-01 Set successfully.验证结果使用show anti mac-spoofing命令查询MAC地址列表，请参见“Error! Reference source not found.Error! Reference source not found.”。13.7 配置PITP协议13.7.1 设置PITP功效开关目标 打开或关闭PITP功效，打开PITP功效时同时设置PITP工作模式。注意事项LAN板工作模式为GENERAL时不支持本命令。举例打开PITP功效，同时设置PITP工作模式为pmode模式。huawei(config-LAN-0/12)#pitp switchvmode,pmode,off:pmode Set PITP protocol successfully.验证结果使用show pitp命令查询PITP功效是否打开。huawei(config-LAN-0/12)#show pitp PITP protocal switch = PMODE PITP option82 = On PITP code type = CNTel13.7.2 设置PITP以太网封装类型目标 PITP采取V模式时，PITP协议以太网封装类型必需和对端设备相同。注意事项LAN板工作模式为GENERAL时不支持本命令。举例设置PITP V模式以太网封装类型。huawei(config-LAN-0/12)#pitp ethertype0x1-0xffff:0x1258 Set PITP protocol ethertype successfully.验证结果使用show pitp命令查询PITP协议以太网封装类型。huawei(config-LAN-0/12)#show pitp PITP protocol switch = VMODE PITP protocol ethertype = 0x1258 PITP option82 = On PITP code type = common13.7.3 设置PITP编码格式目标 设置PITP编码格式为common或CNtel格式。注意事项LAN板工作模式为GENERAL时不支持本命令。举例设置PITP编码格式为CNtel。huawei(config-LAN-0/12)#pitp code-typecommon,cntel:cntel Set PITP code type successfully.验证结果使用show pitp命令查询PITP编码格式。huawei(config-LAN-0/12)#show pitp PITP protocol switch = VMODE PITP protocol ethertype = 0x1258 PITP option82 = On PITP code type = CNtel13.7.4 设置PITP option82功效目标 打开或关闭PITP option82功效。举例打开PITP option82功效。huawei(config-LAN-0/12)#pitp option82on,off:on Set PITP option82 successfully.验证结果使用show pitp命令查询PITP option82功效是否打开，请参见“Error! Reference source not found.Error! Reference source not found.”。13.8 设置802.1p优先级门限目标 设置数据帧优先等级门限。注意事项设置802.1p优先级门限时，需注意：l LAN板工作模式为GENERAL时不支持本命令。l GMII PAUSE开关和PRIORITY开关同时打开和关闭。l 实施该操作前，请先删除目前单板上全部PVC（除IGMP PVC外）。举例设置802.1p优先等级门限为3。huawei(config-LAN-0/12)#priority0-6:31-15:11-15:2 Set successfully. Set GMII PAUSE on automatically successfully.验证结果使用show priority命令查询优先级门限。huawei(config-LAN-0/12)#show priorityLAND board: 802.1p priority status : On 802.1p priority value : 3 802.1p low priority ratio : 1 802.1p high priority ratio : 2相关操作设置802.1p优先等级门限相关操作如Error! Reference source not found.所表示。表13-3 设置802.1p优先等级门限相关操作列表操作命令关闭802.1p功效no priority 13.9 设置流量抑制目标 系统对LAN板上广播/未知单播流量分别加以限制，方便有效地预防未知用户恶意攻击和因为大量广播而引发网络阻塞。规格系统设置抑制流量等级有12种，进行抑制流量设置时，抑制流量等级只能从这12种流量等级中选择。能够经过show traffic-suppress命令查询抑制流量等级。举例设置广播和未知单播抑制流量索引为1。huawei(config-LAN-0/12)#traffic-suppressbroadcast,unknown-cast,all:all1-12:1 Set traffic suppression of broadcast successfully. Set traffic suppression of unknown-cast successfully.验证结果使用show traffic-suppress命令查询流量抑制信息。huawei(config-VDSL-0/12)#show traffic-suppress Traffic suppression ID definition: NO. Min bandwidth(kbps) Max bandwidth(kbps) Package number(pps) - - - - 1 6.1 145.7 12 2 12.3 291.4 24 3 24.6 582.9 48 4 49.2 1165.8 95 5 98.3 2331.6 191 6 196.6 4663.2 382 7 393.2 9326.6 763 8 786.4 18653.1 1526 9 1572.9 37306.3 3052 10 3145.7 74612.7 6104 11 6291.5 149225.4 12207 12 12582.9 298450.9 24414 - Current traffic suppression ID of broadcast :1 Current traffic suppression ID of unknown-cast:1