MER3220，攻擊防禦

公網的攻擊，無法減少

開啟防護就行

您好，參考

配置將目的ip加入黑名單進行報文的過濾

1.16  配置IP黑名單

1. 功能簡介

通過配置IP黑名單功能可以對來自或發往指定IP地址的報文進行過濾。

IP黑名單的配置包括開啟黑名單過濾功能和添加IP黑名單表項。若全局的黑名單過濾功能處於開啟狀態，則所有接口上的IP黑名單過濾功能均處於開啟狀態。若全局的黑名單過濾功能處於關閉狀態，則需要開啟指定接口上的黑名單過濾功能。添加IP黑名單表項的同時可以選擇配置IP黑名單表項的老化時間，若不配置，那麼該IP黑名單表項永不老化，除非用戶手動將其刪除。

IP黑名單表項除了可以用戶手工添加之外，還可以通過其他方式自動添加。對於源IP黑名單，在黑名單功能使能的前提下，若配置了掃描攻擊防範策略及相應的IP黑名單添加功能，則可以將檢測到的掃描攻擊方IP地址添加到源IP黑名單中。掃描攻擊防範添加的源IP黑名單表項必定會老化，老化時間可配。關於掃描攻擊防範的相關配置請參見“1.7.3  配置掃描攻擊防範策略”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     （可選）添加IP黑名單表項。

¡     添加源IPv4黑名單表項。

blacklist ip source-ip-address [ vpn-instance vpn-instance-name ] [ ds-lite-peer ds-lite-peer-address ] [ timeout minutes ]

¡     添加源IPv6黑名單表項。

blacklist ipv6 source-ipv6-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

¡     添加目的IPv4黑名單表項。

blacklist destination-ip destination-ip-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

¡     添加目的IPv6黑名單表項。

blacklist destination-ipv6 destination -ipv6-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

(3)     （可選）使能黑名單日誌功能。

blacklist logging enable

缺省情況下，黑名單日誌功能處於關閉狀態。

(4)     開啟黑名單過濾功能。請選擇其中一項進行配置。

¡     開啟全局黑名單過濾功能。

blacklist global enable

缺省情況下，全局黑名單功能處於關閉狀態。

¡     請依次執行以下命令開啟接口上的黑名單過濾功能。

interface interface-type interface-number

blacklist enable

缺省情況下，接口上的黑名單功能處於關閉狀態。