第15章 端口监控配置.pdfVIP

15 章端口监控配置 本章主要讲述了迈普系列交换机支持的端口监控功能以及详细的配置信息。 章节主要内容： l 端口监控介绍 l 端口监控配置 l 应用举例 15.1 端口监控介绍 端口监控功能就是对上交换机 CPU 的报文进行监控，在底层过滤掉过量的报文,保护交换机免受大量 非法报文的攻击。 监控分为端口级和主机级。当交换机受到攻击时，用户首先启动端口级监控，监控程序按端口对上 CPU 的报文进行统计，用户从 计数据中发现受攻击的端口，然后在该端口启动主机级监控，并设置各类 报文的在采样周期内上 CPU 数目的上限值。发起攻击的主机在一个采样周期内超过该上限值的报文，将 会在底层被过滤，不会上 IP 层去路由，也不会写硬件路由表，从而节省了CPU 资源及硬件表项资源。在 对发起攻击的主机进行包过滤的同时，其他的主机仍然可以正常通信。监控程序会将本采样周期内上CPU 的报文数超过上限值的主机写入黑名单，在下一采样周期，黑名单中的主机只能有上限值一半的报文上 CPU，其余上CPU 的报文将被丢弃。端口监控程序是按照报文分类进行统计和丢弃的。 端口监控将报文分为六类： （1）广播报文 （broadcast-packet ）：目的MAC 地址为全1。 （2 ）多播报文 （multicast-packet ）：目的MAC 地址的最高字节的最低位位 1。 （3 ）管理报文 （admin-packet ）：目的IP 地址是交换机vlan 接口的IP 地址。 （4 ）转发报文 （forward-packet ）：目的IP 地址不是交换机vlan 接口的IP 地址，要求在路由之后转 发出去的报文。 （5 ）其他报文 （other-packet ）：以上四种之外的其他报文。 （6 ）以上所有报文总称为全体报文 （total-packet ）。 权所有2009，迈普通信技术股份有限公司，保留所有权利 . 1 15.2 端口监控配置 本节主要内容： l 端口监控配置命令基本描述 l 配置采样时间 l 配置主机老化时间 l 配置允 建立TCP 连接的主机列表 l 开启/关闭端口级监控 l 配置端口TCP 连接限制 l 配置以太协议字段监控功能 l 配置IP 协议字段监控功能 l 配置TCP/UDP 服务监控功能 l 开启/关闭主机级监控 l 配置主机分类报文个数限制 15.2.1 基本指令描述 命令 描述 配置模式 monitor sampling-period 配置采样周期 config {10-3600} monitor host-inactive-times 配置主机老化时间 config {1-99} monitor permit tcp- 配置允 建立TCP 连接的主机列表 config connecting {ip -address } config-port- , monitor {enable|disable} 开启/关闭端口级监控 config-port-range monitor restrict tcp-syn config-port- , 配置TCP