- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
21-ND攻擊防禦配置
本章節下載： 21-ND攻擊防禦配置 (198.86 KB)
目 錄
ND協議功能強大，但是卻沒有任何安全機製，容易被攻擊者利用。如圖1-1所示，當Device作為接入設備時，攻擊者Host B可以仿冒其他用戶、仿冒網關發送偽造的ND報文，對網絡進行攻擊：
· 如果攻擊者仿冒其他用戶的IPv6地址發送NS/NA/RS報文，將會改寫網關或者其他用戶的ND表項，導致被仿冒用戶的報文錯誤的發送到攻擊者的終端上。
· 如果攻擊者仿冒網關發送RA報文，會導致其他用戶的IPv6配置參數錯誤和ND表項被改寫。
圖1-1 ND攻擊示意圖
偽造的ND報文具有如下特點：
· 偽造的ND報文中源MAC地址和源鏈路層選項地址中的MAC地址不一致。
· 偽造的ND報文中源IPv6地址和源MAC地址的映射關係不是合法用戶真實的映射關係。
根據上述攻擊報文的特點，設備開發了多種功能對ND攻擊進行檢測，可以有效地防範ND攻擊帶來的危害。
本特性根據ND報文的源MAC地址對上送CPU的ND報文進行統計，在一個檢測周期內，如果收到同一源MAC地址（源MAC地址固定）的ND報文超過一定的閾值，則認為存在攻擊，係統會將此MAC地址添加到攻擊檢測表項中。在開啟了ND日誌信息功能的情況下（配置ipv6 nd check log enable命令），係統會根據設置的檢查模式對存在於攻擊檢測表項中的MAC地址有如下處理：
· 如果設置的檢查模式為過濾模式，則會打印日誌信息並且將該源MAC地址發送的ND報文過濾掉；
· 如果設置的檢查模式為監控模式，則隻打印日誌信息，不會將該源MAC地址發送的ND報文過濾掉。
對於已添加到源MAC地址固定的ND攻擊檢測表項中的MAC地址，在等待老化時間後，如果老化時間內丟棄的ND報文個數大於或等於一個特定值，則設備會重置該表項的老化時間；如果小於該特定值，則設備刪除該源MAC地址固定的ND攻擊表項，MAC地址會重新恢複成普通MAC地址。
切換源MAC地址固定的ND攻擊檢查模式時，如果從監控模式切換到過濾模式，過濾模式馬上生效；如果從過濾模式切換到監控模式，已生成的攻擊檢測表項在老化之前還會繼續按照過濾模式處理。
對於網關或一些重要的服務器，可能會收到大量ND報文，為了使這些ND報文不被過濾掉，可以將這類設備的MAC地址配置成保護MAC地址，這樣，即使該設備上存在攻擊也不會被檢測或過濾。
當網絡環境安全性較差時，建議配置較小的檢測周期，便於檢測到源MAC地址固定的ND攻擊。否則，可以配置較大的檢測周期。
(1) 進入係統視圖。
system-view
(2) 開啟源MAC地址固定的ND攻擊檢測功能，並指定檢查模式。
ipv6 nd source-mac { filter | monitor }
缺省情況下，源MAC地址固定的ND攻擊檢測功能處於關閉狀態。
(3) （可選）配置源MAC地址固定的ND報文攻擊檢測的閾值。
ipv6 nd source-mac threshold threshold-value
缺省情況下，源MAC地址固定的ND報文攻擊檢測表項的閾值為30個。
(4) （可選）開啟ND日誌信息功能。
ipv6 nd check log enable
缺省情況下，ND日誌信息功能處於關閉狀態。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後源MAC地址固定的ND攻擊檢測的運行情況，通過查看顯示信息驗證配置的效果。
在用戶視圖下，用戶可以執行reset命令清除源MAC地址固定的ND攻擊檢測的統計信息。
表1-1 源MAC地址固定的ND攻擊檢測顯示和維護
|
操作 |
命令 |
|
顯示檢測到的源MAC地址固定的ND攻擊檢測表項信息 |
display ipv6 nd source-mac interface interface-type interface-number [ slot slot-number ] [ verbose ] display ipv6 nd source-mac { mac mac-address | vlan vlan-id } slot slot-number [ verbose ] display ipv6 nd source-mac slot slot-number [ count | verbose ] |
|
清除源MAC地址固定的ND攻擊表項 |
reset ipv6 nd source-mac [ interface interface-type interface-number | mac mac-address | vlan vlan-id ] [ slot slot-number ] |
ND接口攻擊抑製功能基於接口限製ND請求速率，以防止非法用戶構造大量ND請求報文對設備進行ND攻擊。本功能隻統計設備的三層接口上收到的ND請求報文，在一個檢測周期內，如果單個接口收到的ND請求報文個數超過配置的ND接口攻擊抑製閾值，則認為該接口受到ND攻擊。確定接口受到ND攻擊後，設備會生成ND接口攻擊抑製表項：
· 在ND接口攻擊抑製表項的抑製時間清零之前設備會限製被攻擊的接口每秒鍾接收ND報文的速率，防止ND攻擊報文持續衝擊CPU。以128個字節長的ND報文為例，則被攻擊的接口每秒鍾隻能接收100個ND報文。
· ND接口攻擊抑製表項的抑製時間清零後，如果抑製時間內收到的ND報文個數大於或等於一個特定值，則設備將ND接口攻擊抑製表項抑製時間會恢複並重新開始計時；如果小於該特定值，則設備刪除該ND接口攻擊抑製表項。
建議在網關設備上開啟本功能。
(1) 進入係統視圖。
system-view
(2) 開啟ND接口攻擊抑製功能。
ipv6 nd attack-suppression enable per-interface
缺省情況下，ND接口攻擊抑製功能處於關閉狀態。
(3) 配置ND接口攻擊抑製閾值。
ipv6 nd attack-suppression threshold threshold-value
缺省情況下，ND接口攻擊抑製閾值為1000。
在完成上述配置後，在任意視圖下執行display命令可以顯示ND接口攻擊抑製功能的運行情況，通過查看顯示信息驗證配置的效果。
表1-2 ND接口攻擊抑製顯示和維護
|
操作 |
命令 |
|
顯示指定接口的ND接口攻擊抑製表項 |
display ipv6 nd attack-suppression per-interface interface interface-type interface-number [ slot slot-number ] [ verbose ] |
|
清除ND接口攻擊抑製表項 |
reset ipv6 nd attack-suppression per-interface [ interface interface-type interface-number ] [ slot slot-number ] |
ND協議報文源MAC地址一致性檢查功能主要應用於網關設備上，防禦ND報文中的源MAC地址和以太網數據幀首部中的源MAC地址不同的ND攻擊。
開啟本特性後，網關設備會對接收的ND協議報文進行檢查。如果ND報文中的源MAC地址和以太網數據幀首部中的源MAC地址不一致，則認為是攻擊報文，將其丟棄；否則，繼續進行ND學習。
若開啟ND日誌信息功能，當用戶ND報文中的源MAC地址和以太網數據幀首部中的源MAC地址不同時，會有相關的日誌信息輸出。設備生成的ND日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“網絡管理和監控配置指導”中的“信息中心”。
(1) 進入係統視圖。
system-view
(2) 開啟ND協議報文源MAC地址一致性檢查功能。
ipv6 nd mac-check enable
缺省情況下，ND協議報文源MAC地址一致性檢查功能處於關閉狀態。
(3) （可選）開啟ND日誌信息功能。
ipv6 nd check log enable
缺省情況下，ND日誌信息功能處於關閉狀態。
為了防止設備輸出過多的ND日誌信息，一般情況下建議不要開啟此功能。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
