- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
13-域名信譽配置
本章節下載： 13-域名信譽配置 (239.45 KB)
目 錄
域名信譽根據域名信譽特征庫中的域名信息對網絡流量進行過濾，允許或禁止用戶訪問某些網站，達到規範用戶上網行為的目的。當DNS請求報文中的域名匹配到域名信譽特征庫中的域名後，設備將對報文執行相應的操作。
域名信譽特征庫主要是具有僵屍主機DDoS攻擊、命令注入攻擊、木馬下載和端口掃描等風險的域名集合。特征庫中包含每個域名所屬的攻擊類型等信息。
域名信譽對報文的處理流程如圖1-1所示：
域名信譽功能對報文的處理過程如下：
(1) 設備將報文中提取的域名與例外域名進行匹配。如果匹配成功，則放行報文；如果匹配失敗，則進入下一步處理。
(2) 設備將域名與特征庫中的域名進行匹配。如果匹配失敗，則放行報文；如果匹配成功，則進行如下判斷：
¡ 如果域名屬於一個攻擊類型，則執行該攻擊類型的動作。
¡ 如果域名同屬於多個攻擊類型，則執行嚴重級別最高的動作。
其中，如果動作為“允許”，則設備將允許此報文通過；如果動作為“丟棄”，則設備將丟棄此報文；如果動作為“日誌”，則設備將記錄域名信譽日誌。
域名信譽功能需要購買並正確安裝License才能使用。License過期後，域名信譽功能可以采用設備中已有的特征庫正常工作，但無法升級特征庫。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。
域名信譽配置任務如下：
(1) 開啟全局域名信譽功能
(2) 配置攻擊分類執行的動作
(3) （可選）配置域名例外
(4) 配置域名信譽特征庫升級和回滾
(5) （可選）開啟命中域名信譽庫的Top排名統計功能
開啟域名信譽功能後，當DNS報文中的域名匹配到域名信譽特征庫中域名後，設備將對報文執行此域名所屬攻擊分類的動作。
(1) 進入係統視圖。
system-view
(2) 進入域名信譽視圖。
domain-reputation
(3) 開啟全局域名信譽功能。
global enable
缺省情況下，全局域名信譽功能處於關閉狀態。
域名信譽特征庫中，一個域名可對應多種攻擊分類，缺省情況下，每種攻擊分類的執行動作均為允許和記錄日誌，管理員可以根據實際需求，為指定的攻擊分類配置執行動作。
當域名隻屬於一種攻擊分類時，設備將對匹配上該域名的報文執行攻擊分類對應的動作；當域名屬於多種攻擊分類時，設備將對匹配上該域名的報文執行多種攻擊分類中嚴重級別最高的動作。其中，動作的嚴重級別從高到底依次為：丟棄>允許。
隻要域名所屬的任一攻擊分類配置了日誌動作，則對匹配上該域名的報文記錄日誌。
設備僅支持以快速日誌的方式輸出域名信譽日誌，有關快速日誌的詳細介紹，請參見“網絡管理和監控配置指導”中的“快速日誌輸出”。
(1) 進入係統視圖。
system-view
(2) 進入域名信譽視圖。
domain-reputation
(3) 配置攻擊分類執行的動作。
attack-category attack-id { action { deny | permit } | logging { disable | enable } } *
缺省情況下，未配置對指定攻擊分類執行的動作，設備執行允許和記錄日誌動作。
當管理員信任某些域名，不希望設備對其進行域名信譽檢測時，可將該域名設置為例外。
當設備在DNS報文中檢測到的域名匹配例外域名時，將直接放行報文。
(1) 進入係統視圖。
system-view
(2) 進入域名信譽視圖。
domain-reputation
(3) 配置域名例外。
exception domain domain-name
缺省情況下，未配置域名例外。
請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級或回滾特征庫會失敗。
當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級或回滾，否則易造成設備特征庫升級或回滾失敗，進而影響域名信譽功能的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。
自動在線升級（包括定期自動在線升級和立即自動在線升級）域名信譽特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得官方網站的IP地址，並與之路由可達，否則設備升級域名信譽特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。
同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。
如果設備可以訪問官方網站上的特征庫服務專區，可以采用定期自動在線升級方式來對設備上的域名信譽特征庫進行升級。
(1) 進入係統視圖。
system-view
(2) 開啟定期自動在線升級域名信譽特征庫功能，並進入自動在線升級配置視圖。
domain-reputation signature auto-update
缺省情況下，定期自動在線升級域名信譽特征庫功能處於關閉狀態。
(3) 配置定期自動在線升級域名信譽特征庫的時間。
update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes
缺省情況下，設備在每天01:00:00至03:00:00之間自動開始升級域名信譽特征庫。
當管理員發現官方網站上的特征庫服務專區中的域名信譽特征庫有更新時，可以選擇立即自動在線升級方式來及時升級域名信譽特征庫版本。
執行此命令後，將立即自動升級設備上的域名信譽特征庫，且會備份當前的域名信譽特征庫文件。此命令的生效與否，與是否開啟了定期自動升級域名信譽特征庫功能無關。
(1) 進入係統視圖。
system-view
(2) 立即自動在線升級域名信譽特征庫。
domain-reputation signature auto-update-now
如果設備不能訪問官方網站上的特征庫服務專區，管理員可以采用如下幾種方式手動離線升級域名信譽特征庫版本：
· 本地升級：使用設備本地保存的特征庫文件升級係統中的域名信譽特征庫版本，使用此方式前，請先從官方網站獲取特征庫文件並導入到設備中。
· FTP/TFTP升級：通過FTP或TFTP方式下載遠程服務器上保存的特征庫文件，並升級係統中的域名信譽特征庫版本。
使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前全局主用主控板上，否則設備升級特征庫會失敗。
(1) 進入係統視圖。
system-view
(2) 手動離線升級域名信譽特征庫。
domain-reputation signature update file-path
域名信譽特征庫回滾是指將當前的域名信譽特征庫版本回滾到上一次的版本。如果管理員發現設備當前域名信譽特征庫版本在檢測和防禦網絡攻擊時，誤報率較高或出現異常情況，則可以對當前域名信譽特征庫版本進行回滾。
域名信譽特征庫版本每次回滾前，設備都會備份當前版本。多次回滾上一版本的操作將會在當前版本和上一版本之間反複切換。例如當前域名信譽特征庫是V2，上一版本是V1，第一次執行回滾到上一版本的操作後，特征庫替換成V1版本，再執行回滾上一版本的操作則特征庫重新變為V2版本。
(1) 進入係統視圖。
system-view
(2) 回滾域名信譽特征庫。
domain-reputation signature rollback last
開啟本功能後，設備將對命中域名信譽特征庫的域名進行統計排名。
關閉本功能後，統計信息將自動清空。
(1) 進入係統視圖。
system-view
(2) 進入域名信譽視圖。
domain-reputation
(3) 開啟命中域名信譽庫的Top排名統計功能。
top-hit-statistics enable
缺省情況下，命中域名信譽庫的Top排名統計功能處於關閉狀態。
在完成上述配置後，在任意視圖下執行display命令可以顯示域名信譽的配置信息和命中域名信譽庫的Top排名統計信息等，通過查看顯示信息驗證配置的效果。
表1-1 域名信譽顯示和維護
|
操作 |
命令 |
|
顯示域名信譽攻擊分類信息 |
display domain-reputation attack-category |
|
顯示域名例外信息 |
display domain-reputation exception |
|
顯示域名信譽特征庫信息 |
display domain-reputation signature library |
|
顯示命中域名信譽庫的Top排名統計信息 |
display domain-reputation top-hit-statistics [ top-number ] [chassis chassis-number slot slot-id ] |
|
顯示域名的域名信譽信息 |
display domain-reputation domain domain-name |
如圖1-2所示Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現在需要通過使能域名信譽功能，對公司各部門的非法域名請求進行控製。
(1) 配置接口IP地址
# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。
<Device> system-view
[Device] interface gigabitethernet 1/2/5/1
[Device-GigabitEthernet1/2/5/1] ip address 192.168.1.1 255.255.255.0
[Device-GigabitEthernet1/2/5/1] quit
請參考以上步驟配置其他接口的IP地址，具體配置步驟略。
(2) 配置靜態路由
本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。
# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。
[Device] ip route-static 5.5.5.0 24 2.2.2.2
(3) 配置接口加入安全域
# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。
[Device] security-zone name trust
[Device-security-zone-Trust] import interface gigabitethernet 1/2/5/1
[Device-security-zone-Trust] quit
[Device] security-zone name untrust
[Device-security-zone-Untrust] import interface gigabitethernet 1/2/5/2
[Device-security-zone-Untrust] quit
(4) 配置安全策略
# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網。具體配置步驟如下。
[Device] security-policy ip
[Device-security-policy-ip] rule name trust-untrust
[Device-security-policy-ip-10-trust-untrust] source-zone trust
[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24
[Device-security-policy-ip-10-trust-untrust] destination-zone untrust
[Device-security-policy-ip-10-trust-untrust] action pass
[Device-security-policy-ip-10-trust-untrust] quit
# 激活安全策略配置。
[Device-security-policy-ip] accelerate enhanced enable
[Device-security-policy-ip] quit
(5) 配置域名信譽功能
# 開啟域名信譽功能。
[Device] domain-reputation
[Device-domain-reputation] global enable
# 開啟Top排名統計功能。
[Device-domain-reputation] top-hit-statistics enable
# 配置域名信譽庫中編號為1的攻擊分類對應的動作為丟棄和記錄日誌。
[Device-domain-reputation] attack-category 1 action deny logging enable
配置完成後，當攻擊報文匹配到編號為1的攻擊分類時，設備將對報文執行丟棄動作，並會記錄日誌。管理員可到Web界麵側查看域名信譽Top排名統計信息。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
