华为_MA5100(MA5103) 操作手册_02-业务配置01-13 安全特性配置.docx

目 录
13 安全特性配置 13-1
13.1 概述 13-2
13.2 相关概念 13-3
13.3 设置地址绑定 13-4
13.4 设置最大MAC地址数 13-5
13.5 设置MAC地址老化时间 13-6
13.6 配置防MAC地址欺骗功能 13-7
13.6.1 设置工作模式 13-7
13.6.2 设置MAC地址列表 13-8
13.7 配置PITP协议 13-9
13.7.1 设置PITP功能开关 13-9
13.7.2 设置PITP以太网封装类型 13-9
13.7.3 设置PITP编码格式 13-10
13.7.4 设置PITP option82功能 13-10
13.8 设置802.1p优先级门限 13-11
13.9 设置流量抑制 13-12

表格目录
表13-1 配置地址绑定相关操作列表 13-5
表13-2 设置最大MAC地址数相关操作列表 13-6
表13-3 设置802.1p优先级别门限相关操作列表 13-11

13 安全特性配置
关于本章
本章介绍安全特性及其配置操作。
本章描述内容如下表所示。
标题
描述
13.1 概述
介绍以太网业务的安全特性。
13.2 相关概念
介绍安全特性的相关概念。
13.3 设置地址绑定
介绍PVC地址绑定的配置操作。
13.4 设置最大MAC地址数
介绍最大MAC地址数的配置操作。
13.5 设置MAC地址老化时间
介绍MAC地址老化时间的配置操作。
13.6 配置防MAC地址欺骗功能
介绍防MAC地址欺骗功能的配置操作。
13.7 配置PITP协议
介绍PITP协议的配置操作。
13.8 设置802.1p优先级门限
介绍802.1p优先级门限的配置操作。
13.9 设置流量抑制
介绍流量抑制的配置操作。
13.1 概述
业务描述
MA5100以太网业务提供一系列安全特性，有利于运营商提高网络运行的安全。
业务规格
以太网业务的安全特性包括：
l 地址绑定
l 最大MAC地址数

l MAC地址老化
l 防MAC地址欺骗
l PITP功能
l 802.1p功能
l 流量抑制

13.2 相关概念
地址绑定
当PVC设置地址绑定后，这条PVC上只有这个地址的数据帧才合法，其他地址的数据包都被认为是非法而丢弃。
MAC地址欺骗
如果某个ADSL用户将自己的MAC地址修改为与上层设备一致，则LAN板会将该用户端口当作目的端口，导致所有上行到该上层设备的用户不能上网。
数据环网
如果两条（或多条）ADSL线路接入同一台HUB上，再通过这台HUB接入多个用户，则其中一条ADSL下行数据到达HUB时将从另一条ADSL线路环回上行。上层设备检测到环路后，会将相应的MA5100/MA5103上行VLAN阻塞掉，从而导致该VLAN下所有用户不能上网。
环网上行的数据包包含了上层设备源MAC地址，类似于地址欺骗，可以通过源MAC地址过滤功能统一控制。
PITP协议
系统支持PITP（Policy Information Transfer Protocol）协议，通过在PPPoE认证请求报文中携带用户帐号、物理端口号、MAC地址、VPI/VCI等用户信息，提交BRAS设备验证，解决宽带用户的标识问题，实现用户帐号与用户端口的绑定。
PITP功能支持两种模式：V模式和P模式，二者互斥。其区别是：
l V模式是BRAS设备主动发起用户端口查询。

l P模式是MA5100设备主动发起用户端口查询。
PITP option82功能用来实现用户DHCP请求报文认证，通过在DHCP请求报文中添加物理端口号、MAC地址、VPI/VCI等用户信息，保证合法用户成功获得动态IP。
PITP option82解决了DHCP广播过多、DHCP IP耗尽攻击、IP地址欺骗、MAC地址欺骗、用户ID欺骗等安全性问题。
802.1p
系统支持802.1p优先级功能，对上下行数据包进行调度。
在上行方向，报文携带优先级信息发送到对端，由对端设备对报文进行优先级业务调度。上行报文的优先级在PVC建立时由priority参数设置。
在下行方向，MA5100设置2个优先级队列，根据优先级门限对下行数据进行调度。优先级门限为4时，系统将把优先级为0～4的下行数据包放入低优先级队列，将优先级为5～6的下行数据包放入高优先级队列，当下行发生拥塞时系统根据设置的高低优先级进行业务调度。
调度时，系统根据高低优先级队列中的报文比率进行，如高低优先级队列报文比率设置为2：1（如高优先级比率为14，低优先级比率为7，则高低比率为2：1），在某时刻，当高优先级队列中报文为3M，低优先级队列中报文为2M，而带宽只有3M时，系统将根据设置的比率，高优先级队列只能传送2M，丢弃1M；低优先级传送1M，丢弃1M。
13.3 设置地址绑定
目的
把用户IP地址和MAC地址绑定到指定的PVC上。
规格
一条PVC可绑定IP地址或MAC地址，或者两者同时绑定。
设置地址绑定的要求：
l LAN板工作模式不能为GENERAL模式。
l PVC的源端和目的端不能同时在LAN板上。
l 系统最多支持256条PVC对MAC地址进行绑定。
l 系统最多支持512条PVC对IP地址进行绑定。
l 一条PVC最多可绑定8个IP地址和8个MAC地址。
设置地址绑定后用户接入的限制：
l 如果只设置了IP地址绑定，则只要用户的IP地址在绑定的范围内，业务就可正常进行；
l 如果IP地址和MAC地址都设置了绑定关系，则只有IP地址和MAC地址都在绑定范围内的用户的业务才可正常进行；
l 设置了地址绑定的PVC必须取消绑定后才可进行删除操作。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置1号PVC绑定IP地址10.11.18.1。
huawei(config-LAN-0/12)#bind ip
{1-8000}:1
:10.11.18.1
  Set ip bind successfully.
验证结果
使用show bind命令查询地址绑定信息。
huawei(config-LAN-0/12)#show bind cid 1
Cutline:
  The IP bound is invalid for board version is low.
 CID  Vlan IP address                 MAC address
 ---- ---- --------------- ------  -----------------
 1    1    10.11.18.1         --       --
 --   --    --             --        --
相关操作
配置地址绑定相关操作如表13-1所示。
表13-1 配置地址绑定相关操作列表
操作
命令
MAC地址绑定
bind mac
删除地址绑定
no bind

13.4 设置最大MAC地址数
目的
设置LAN板 PVC 可学习的最大MAC地址数，防止出现过多的广播以及恶意攻击。
规格
系统缺省支持256个MAC地址，最大支持2047个。
举例
设置1号PVC可学习到的最大MAC地址数为64。
huawei(config-LAN-0/13)#max-mac-count
{pvc,vlan,all}:pvc
{1-8000}:1
{1-2047}:64
If the max learnable MAC addresses of one PVC to be set less than the learned
MAC addresses,some services may be broken.Are you sure to continue?(y/n)[n]:y
Set the max learnable MAC addresses of PVC successfully.
验证结果
使用show max-mac-count命令查询最大MAC地址数。
huawei(config-LAN-0/13)#show max-mac-count
{pvc,vlan,all}:pvc
{1-8000}:1
CID VLAN ID Learnable MAC addresses
----- ------- -----------------------
1 11 64
相关操作
设置最大MAC地址数相关操作如表13-2所示。
表13-2 设置最大MAC地址数相关操作列表
操作
命令
查询已经学习到的MAC地址数
show mac-count

13.5 设置MAC地址老化时间
目的
设置MAC地址老化时间阈值，系统将根据时间阈值老化掉不再使用的MAC地址，即从MAC地址表中删除。
规格
只有EVMB、MMXV板支持MAC地址老化时间的设置。
举例
设置MAC地址老化时间为600秒。
huawei(config-LAN-0/3)#mac-age
{10-20000}:600
  Set the max age of MAC addresses successfully
验证结果
使用show mac-age命令查询MAC地址老化时间。
huawei(config-LAN-0/3)#show mac-age
   MAC address aging time is: 600 seconds.
13.6 配置防MAC地址欺骗功能
13.6.1 设置工作模式
目的
设置MAC地址欺骗时，系统采用的处理方式。
规格
防MAC地址欺骗工作模式有三种：
l common：普通模式，系统过滤掉从异常MAC地址相应端口发过来的数据包。该模式最多支持8个MAC地址过滤。该8个MAC地址可以手动配置，也可以系统自动学习。
l enhance：增强模式，系统产生MAC地址异常告警，并去激活相应ADSL端口。该模式下MAC地址不需要配置，系统自动学习获得。
l integrated：综合模式，common模式与enhance模式并存。
注意事项
设置防MAC地址欺骗工作模式时需注意：
l MMXV/EVMB仅支持common模式。
l LAND/EVMA（IPDSLAM/IPCASCADE）三种模式都支持。
举例
设置防MAC地址欺骗工作模式为普通模式。
huawei(config-LAN-0/12)#anti mac-spoofing
{mode,add,delete}:mode
{off,common,enhance,integrated}: common
Set successfully.
验证结果
使用show anti mac-spoofing命令查询防MAC地址欺骗工作模式。
huawei(config-LAN-0/10)#show anti mac-spoofing
Anti MAC spoofing mode: common
MAC address number : 5
No. MAC address type
--- ----------------- -------
1 00-00-00-00-00-09 static
2 00-00-00-00-00-01 static
3 00-00-00-00-00-02 static
4 00-00-00-00-00-03 static
5 00-e0-fc-10-2ddc dynamic
--- ----------------- -------
13.6.2 设置MAC地址列表
目的
对于上行设备MAC地址，MA5100可以通过自学习获得（动态），也可以进行手工设置（静态）。通过将MAC地址列表与ADSL用户MAC地址进行比较，可以有效防地址欺骗和环网。
注意事项
设置MAC地址仅对common模式有效，Enhance模式下MAC地址设置无效（通过自学习获得）。
举例
增加MAC地址00-00-00-00-00-01，当用户仿冒这个地址时，将其数据包过滤掉。
huawei(config-LAN-0/10)#anti mac-spoofing
{mode,add,delete}:add
:00-00-00-00-00-01
Set successfully.
验证结果
使用show anti mac-spoofing命令查询MAC地址列表，请参见“13.6.1 设置工作模式”。
13.7 配置PITP协议
13.7.1 设置PITP功能开关
目的
打开或关闭PITP功能，打开PITP功能时同时设置PITP工作模式。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
打开PITP功能，同时设置PITP工作模式为pmode模式。
huawei(config-LAN-0/12)#pitp switch
{vmode,pmode,off}:pmode
  Set PITP protocol successfully.
验证结果
使用show pitp命令查询PITP功能是否打开。
huawei(config-LAN-0/12)#show pitp
  PITP protocal switch    = PMODE
  PITP option82           = On
  PITP code type          = CNTel
13.7.2 设置PITP以太网封装类型
目的
PITP采用V模式时，PITP协议的以太网封装类型必须和对端设备相同。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置PITP V模式的以太网封装类型。
huawei(config-LAN-0/12)#pitp ethertype
{0x1-0xffff}:0x1258
  Set PITP protocol ethertype successfully.

验证结果
使用show pitp命令查询PITP协议的以太网封装类型。
huawei(config-LAN-0/12)#show pitp
PITP protocol switch = VMODE
PITP protocol ethertype = 0x1258
PITP option82 = On
PITP code type = common
13.7.3 设置PITP编码格式
目的
设置PITP编码格式为common或CNtel格式。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置PITP编码格式为CNtel。
huawei(config-LAN-0/12)#pitp code-type
{common,cntel}:cntel
  Set PITP code type successfully.
验证结果
使用show pitp命令查询PITP编码格式。
huawei(config-LAN-0/12)#show pitp
PITP protocol switch = VMODE
PITP protocol ethertype = 0x1258
PITP option82 = On
PITP code type = CNtel
13.7.4 设置PITP option82功能
目的
打开或关闭PITP option82功能。
举例
打开PITP option82功能。
huawei(config-LAN-0/12)#pitp option82
{on,off}:on
  Set PITP option82 successfully.
验证结果
使用show pitp命令查询PITP option82功能是否打开，请参见“13.7.3 设置PITP编码格式”。
13.8 设置802.1p优先级门限
目的
设置数据帧优先级别门限。
注意事项
设置802.1p优先级门限时，需注意：
l LAN板工作模式为GENERAL时不支持本命令。
l GMII PAUSE开关与PRIORITY开关同步打开和关闭。
l 执行该操作前，请先删除当前单板上所有PVC（除IGMP PVC外）。
举例
设置802.1p优先级别门限为3。
huawei(config-LAN-0/12)#priority
{0-6}:3
{1-15}:1
{1-15}:2
  Set successfully.
  Set GMII PAUSE on automatically successfully.
验证结果
使用show priority命令查询优先级门限。
huawei(config-LAN-0/12)#show priority
LAND board:
   802.1p priority status      : On
   802.1p priority value       : 3
   802.1p low priority ratio   : 1
   802.1p high priority ratio  : 2
相关操作
设置802.1p优先级别门限相关操作如表13-3所示。
表13-3 设置802.1p优先级别门限相关操作列表
操作
命令
关闭802.1p功能
no priority
13.9 设置流量抑制
目的
系统对LAN板上的广播/未知单播的流量分别加以限制，以便有效地防止未知用户的恶意攻击和由于大量的广播而引起的网络阻塞。
规格
系统设置的抑制流量等级有12种，进行抑制流量设置时，抑制流量等级只能从这12种流量等级中选择。可以通过show traffic-suppress命令查询抑制流量等级。
举例
设置广播和未知单播的抑制流量索引为1。
huawei(config-LAN-0/12)#traffic-suppress
{broadcast,unknown-cast,all}:all
{1-12}:1
  Set traffic suppression of broadcast successfully
  Set traffic suppression of unknown-cast successfully.
验证结果
使用show traffic-suppress命令查询流量抑制信息。
huawei(config-VDSL-0/12)#show traffic-suppress
  Traffic suppression ID definition:
   NO.    Min bandwidth(kbps)    Max bandwidth(kbps)   Package number(pps)
  ----   --------------------   ----   -------------------
     1                    6.1                  145.7                    12
     2                   12.3                  291.4                    24
     3                   24.6                  582.9                    48
     4                   49.2                 1165.8                    95
     5                   98.3                 2331.6                   191
     6                  196.6                 4663.2                   382
     7                  393.2                 9326.6                   763
     8                  786.4                18653.1                  1526
     9                 1572.9                37306.3                  3052
    10                 3145.7                74612.7                  6104
    11                 6291.5               149225.4                 12207
    12                12582.9               298450.9                 24414
  ------------------------------------------------------------------------
  Current traffic suppression ID of broadcast   :1
  Current traffic suppression ID of unknown-cast:1