目  錄

1 IP信譽

1.1 IP信譽簡介

1.2 IP信譽的報文處理流程

1.3 IP信譽的License要求

1.4 IP信譽配置任務簡介

1.5 開啟全局IP信譽功能

1.6 配置攻擊分類執行的動作

1.7 配置例外IP地址

1.8 開啟IP信譽雲端查詢功能

1.9 配置IP信譽特征庫升級

1.9.1 配置限製和指導

1.9.2 配置定期自動在線升級IP信譽特征庫

1.9.3 立即自動在線升級IP信譽特征庫

1.9.4 手動離線升級IP信譽特征庫

1.10 開啟Top排名統計功能

1.11 刪除IP信譽特征庫

1.12 IP信譽顯示和維護

1.13 IP信譽配置舉例

1.13.1 IP信譽基礎配置舉例

1 IP信譽

1.1  IP信譽簡介

1. IP信譽

IP信譽功能用於根據IP信譽特征庫和雲端服務器中記錄的IP地址信息對網絡流量進行過濾。

2. IP信譽特征庫

IP信譽特征庫主要是具有僵屍主機DDoS攻擊、命令注入攻擊、木馬下載和端口掃描等風險的IP地址集合。特征庫中包含每個IP地址的方向屬性、所屬攻擊分類和攻擊分類執行的動作等信息。

3. 雲端服務器

雲端服務器向設備提供IP信譽雲端查詢功能，用於擴充本地加載的IP信譽特征庫。當IP信譽特征庫無法匹配報文中的IP地址信息時，可通過IP信譽雲端查詢功能，將IP地址信息上送雲端服務器進行查詢。雲端服務器完成檢測後，會將檢測結果發送給設備，設備會將檢測結果保存到本地IP信譽緩存中，便於後續報文直接在本地進行IP信譽匹配，而不必再上送雲端服務器查詢。

4. 本地IP信譽

本地IP信譽包括設備加載的IP信譽特征庫以及雲端服務器的曆史查詢結果（即本地IP信譽緩存）。

1.2  IP信譽的報文處理流程

IP信譽對報文的處理流程如圖1-1所示：

圖1-1 IP信譽的報文處理流程圖

IP信譽功能對報文的處理過程如下：

(1)     設備將報文的源IP地址和目的IP地址與例外IP地址進行匹配。任何一個IP地址與例外IP地址匹配成功，均放行報文。如果匹配失敗，則進入下一步處理。

(2)     設備將報文的源IP地址和目的IP地址與本地IP信譽中的IP地址進行匹配。本地IP信譽中的IP地址具有方向屬性，包含源、目的和雙向（既可作為源地址也可作為目的地址）。僅當報文的IP地址與本地IP信譽的IP地址和方向屬性均一致時，才認為匹配成功（如果本地IP信譽中IP地址的方向屬性是雙向，則報文的源IP地址和目的IP地址均可匹配成功）。設備將根據匹配結果執行如下操作：

¡     如果匹配成功，設備將執行本地IP信譽中IP地址所屬攻擊分類的動作，設備支持的攻擊分類動作如下：

-     若動作為“允許”，則設備將允許此報文通過。

-     若動作為“丟棄”，則設備將丟棄此報文。

-     若動作為“日誌”，則設備將記錄IP信譽日誌。

¡     如果匹配失敗，設備將判斷是否已開啟IP信譽雲端查詢功能。如果已開啟，則放行報文並將IP地址信息上送雲端服務器進行查詢，設備會將服務器返回的查詢結果保存到本地IP信譽緩存中，便於後續報文在本地進行IP信譽匹配，而不必再上送雲端服務器；如果未開啟，則直接放行報文。

1.3  IP信譽的License要求

IP信譽功能需要購買並正確安裝License後才能使用。License過期後，IP信譽功能可以使用設備中已有的特征庫正常工作，但無法升級到license有效期之後發布的新版本的特征庫。同時，雲端查詢功能也不可用。關於License的詳細介紹請參見“基礎配置指導”中的“License管理”。

1.4  IP信譽配置任務簡介

IP信譽配置任務如下：

(3)     開啟全局IP信譽功能

(4)     配置攻擊分類執行的動作

(5)     （可選）配置例外IP地址

(6)     （可選）開啟IP信譽雲端查詢功能

(7)     配置IP信譽特征庫升級

(8)     （可選）開啟Top排名統計功能

1.5  開啟全局IP信譽功能

1. 功能簡介

開啟IP信譽功能後，設備對報文的源、目的IP地址進行匹配，如果命中IP信譽庫，則執行此IP地址所屬攻擊分類的動作。

2. 配置步驟

(9)     進入係統視圖。

system-view

(10)     進入IP信譽視圖。

ip-reputation

(11)     開啟全局IP信譽功能。

global enable

缺省情況下，全局IP信譽功能處於關閉狀態。

1.6  配置攻擊分類執行的動作

1. 功能簡介

IP信譽特征庫中，一個IP地址可屬於多種攻擊分類，每種攻擊分類都有對應執行的動作。

當IP地址隻屬於一種攻擊分類時，設備將對匹配上該IP地址的報文執行攻擊分類對應的動作；當IP地址屬於多種攻擊分類時，設備將對匹配上該IP地址的報文執行多種攻擊分類中優先級最高的動作。其中，動作的優先級從高到底依次為：丟棄>允許。

隻要IP地址所屬的任一攻擊分類配置了日誌動作，則對匹配上該IP地址的報文執行記錄日誌動作。

設備僅支持以快速日誌的方式輸出IP信譽日誌，有關快速日誌的詳細介紹，請參見“網絡管理和監控配置指導”中的“快速日誌輸出”。

2. 配置步驟

(12)     進入係統視圖。

system-view

(13)     進入IP信譽視圖。

ip-reputation

(14)     配置攻擊分類執行的動作。

attack-category attack-id { action { deny | permit } | logging { disable | enable } } *

缺省情況下，未配置對指定攻擊分類執行的動作，設備執行IP信譽特征庫中的缺省動作。

1.7  配置例外IP地址

1. 功能簡介

若報文的源或目的IP地址與例外IP地址匹配成功，則設備直接放行該報文。

2. 配置步驟

(15)     進入係統視圖。

system-view

(16)     進入IP信譽視圖。

ip-reputation

(17)     配置例外IP地址。

exception ipv4 ipv4-address

缺省情況下，未配置例外IP地址。

1.8  開啟IP信譽雲端查詢功能

1. 功能簡介

IP信譽雲端查詢功能用於提升設備對僵屍主機DDoS攻擊、木馬下載和端口掃描等風險的檢測能力，當設備加載的IP信譽特征庫不足以滿足用戶的需求或者設備未加載IP信譽特征庫時，可通過開啟IP信譽雲端查詢功能，提升設備的IP信譽業務檢測能力。

開啟IP信譽雲端查詢功能後，設備會將與本地IP信譽特征庫匹配失敗的報文的源、目的IP地址封裝到查詢報文中，發往雲端服務器進行查詢，雲端服務器完成查詢後，會將查詢結果返回給設備。查詢結果中包含如下信息：

·     IP地址是否存在僵屍主機DDoS攻擊、木馬下載和端口掃描等攻擊風險的標識。

·     檢測到的風險所屬的攻擊分類。

2. 配置限製和指導

配置本功能前，請確保信譽業務雲端服務器處於已連接狀態。可通過Web界麵的“雲端服務器”頁麵查看信譽雲端服務器的連接狀態。有關信譽業務雲端服務器配置的相關介紹，請參見“DPI深度安全配置指導”中的“應用層檢測引擎”。

3. 配置步驟

(18)     進入係統視圖。

system-view

(19)     進入IP信譽視圖。

ip-reputation

(20)     開啟IP信譽雲端查詢功能。

cloud-query enable

缺省情況下，IP信譽雲端查詢功能處於關閉狀態。

1.9  配置IP信譽特征庫升級

1.9.1  配置限製和指導

·     請勿刪除設備存儲介質根目錄下的/dpi/文件夾，否則設備升級特征庫會失敗。

·     當係統內存使用狀態處於告警門限狀態時，請勿進行特征庫升級，否則易造成設備特征庫升級失敗，進而影響IP信譽功能的正常運行。有關內存告警門限狀態的詳細介紹請參見“基礎配置指導”中的“設備管理”。

·     自動在線升級（包括定期自動在線升級和立即自動在線升級）IP信譽特征庫時，需要確保設備能通過靜態或動態域名解析方式獲得官方網站的IP地址，並與之路由可達，否則設備升級IP信譽特征庫會失敗。有關域名解析功能的配置請參見“三層技術-IP業務配置指導”中的“域名解析”。

·     同一時刻隻能對一個特征庫進行升級，如果當前已有其他特征庫正在升級，請稍後再試。

1.9.2  配置定期自動在線升級IP信譽特征庫

1. 功能簡介

如果設備可以訪問官方網站上的特征庫服務專區，管理員可以采用定期自動在線升級方式來對設備上的IP信譽特征庫進行升級。

2. 配置步驟

(21)     進入係統視圖。

system-view

(22)     開啟定期自動在線升級IP信譽特征庫功能，並進入自動在線升級配置視圖。

ip-reputation signature auto-update

缺省情況下，定期自動在線升級IP信譽特征庫功能處於關閉狀態。

(23)     配置定期自動在線升級IP信譽特征庫的時間。

update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes

缺省情況下，設備在每天01:00:00至03:00:00之間開始自動升級IP信譽特征庫。

1.9.3  立即自動在線升級IP信譽特征庫

1. 功能簡介

當管理員發現官方網站上的特征庫服務專區中的IP信譽特征庫有更新時，可以選擇立即自動在線升級方式來及時升級IP信譽特征庫版本。

執行此命令後，設備將立即自動升級IP信譽特征庫，且會備份當前的IP信譽特征庫文件到設備存儲介質下名為“ipreputation_sigpack_curr.dat”的文件中。

2. 配置限製和指導

本功能生效與否，與是否開啟了定期自動升級IP信譽特征庫功能無關。

3. 配置步驟

(24)     進入係統視圖。

system-view

(25)     立即自動在線升級IP信譽特征庫。

ip-reputation signature auto-update-now

1.9.4  手動離線升級IP信譽特征庫

1. 功能簡介

如果設備不能訪問官方網站上的特征庫服務專區，管理員可以采用如下方式手動離線升級IP信譽特征庫版本：

·     本地升級：使用設備本地保存的特征庫文件升級係統中的IP信譽特征庫版本。

·     FTP/TFTP升級：設備通過FTP或TFTP方式自動下載遠程服務器上保存的特征庫文件到本地，再使用本地保存的特征庫文件升級係統中的IP信譽特征庫版本。

使用本地升級方式離線升級特征庫版本時，特征庫文件隻能存儲在當前主用設備上，否則設備升級特征庫會失敗。‌

如果管理員希望手動離線升級特征庫時發送給TFTP、FTP服務器的請求報文的源IP地址是一個特定的地址時，可配置source參數。例如，當組網環境中設備發出的報文需要經過NAT地址轉換後才能訪問TFTP、FTP服務器時，則需要管理員通過source參數指定一個符合NAT地址轉換規則的源IP地址（其中，如果設備需要經過一台獨立的NAT設備進行地址轉換時，本命令指定的IP地址必須可以與NAT設備三層路由可達），使設備發出的報文可以進行NAT地址轉換等處理，正常訪問TFTP、FTP服務器。

2. 配置限製和指導

當同時配置了source和vpn-instance參數時，需要保證source中指定的源IP地址或接口所屬VPN實例與vpn-instance中配置的VPN實例相同。

3. 配置準備

本地升級：使用此方式前，請管理員先從官方網站獲取特征庫文件並保存到設備中。

FTP/TFTP升級：使用此方式前，需要確保設備與遠程服務器網絡互通。

4. 配置步驟

(26)     進入係統視圖。

system-view

(27)     手動離線升級IP信譽特征庫。

ip-reputation signature update file-path [ vpn-instance vpn-instance-name ] [ source { ip | ipv6 } { ip-address | interface interface-type interface-number } ]

1.10  開啟Top排名統計功能

1. 功能簡介

開啟本功能後，設備將對命中IP信譽特征庫的IP地址進行統計排名。

關閉本功能後，統計信息將自動清空。

2. 配置步驟

(28)     進入係統視圖。

system-view

(29)     進入IP信譽視圖。

ip-reputation

(30)     開啟Top排名統計功能。

top-hit-statistics enable

缺省情況下，Top排名統計功能處於關閉狀態。

1.11  刪除IP信譽特征庫

1. 功能簡介

當管理員發現設備當前內存不足或不需要當前IP信譽特征庫時，可以執行本命令對當前IP信譽特征庫版本進行刪除，以釋放內存空間。

2. 配置步驟

(31)     進入係統視圖。

system-view

(32)     刪除IP信譽特征庫。

ip-reputation signature rollback factory

1.12  IP信譽顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示IP信譽的配置信息和Top排名統計信息等，通過查看顯示信息驗證配置的效果。

表1-1 IP信譽顯示和維護

1.13  IP信譽配置舉例

1.13.1  IP信譽基礎配置舉例

1. 組網需求

如圖1-2所示Device分別通過Trust安全域和Untrust安全域與局域網和Internet相連。現在需要通過使能IP信譽功能，對所有進出Device的流量進行控製，並需要開啟Top統計功能，方便管理員查看攻擊統計信息。

2. 組網圖

圖1-2 IP信譽基礎配置組網圖

‌

3. 配置步驟

(33)     配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

(34)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到達外網Web Server的下一跳IP地址為2.2.2.2，實際使用中請以具體組網情況為準，具體配置步驟如下。

[Device] ip route-static 5.5.5.0 24 2.2.2.2

(35)     配置接口加入安全域

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(36)     配置安全策略

# 配置名稱為trust-untrust的安全策略規則，使內網用戶可以訪問外網。具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-10-trust-untrust] source-zone trust

[Device-security-policy-ip-10-trust-untrust] source-ip-subnet 192.168.1.0 24

[Device-security-policy-ip-10-trust-untrust] destination-zone untrust

[Device-security-policy-ip-10-trust-untrust] action pass

[Device-security-policy-ip-10-trust-untrust] quit

# 激活安全策略配置。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(37)     配置IP信譽功能

# 開啟IP信譽功能。

[Device] ip-reputation

[Device-ip-reputation] global enable

# 開啟Top排名統計功能。

[Device-ip-reputation] top-hit-statistics enable

# 配置IP信譽庫中編號為1的攻擊分類對應的動作為丟棄和記錄日誌。

[Device-ip-reputation] attack-category 1 action deny logging enable

[Device-ip-reputation] quit

4. 驗證配置

配置完成後，當攻擊報文匹配到編號為1的攻擊分類時，設備將對報文執行丟棄動作，並會記錄IP信譽日誌。管理員可到Web界麵側查看IP信譽Top排名統計信息。