各种攻击防范使用注意事项
  • tcp-illeage-session
    现网一般不建议开启。如果开启，firewall defend tcp-illeage-session packet INTEGER<1-255>不建议修改，保留1这个默认值。因为很多协议都是短连接，如http，三次握手成功后，可能只通信几个报文，这样如果通信的数据报文个数小于配置的值，则会出现误报；firewall defend tcp-illeage-session packet 1 interval INTEGER<1-240>可以修改时间间隔，如30秒（默认值为15秒）。如果是NAT访问的场景，则出现空闲超时会话超过阈值的可能性较大，所以对于这种场景不建议开启黑名单。
  • dns-flood
    只有在将USG5300/5500部署在DNS服务器前，专门用于保护DNS服务器时，并且DNS服务器支持基于TCP的DNS请求，才有必要开启，否则不需要开启。
  • ip-spoof
    在配置了策略路由或多出接口的场景下，容易出现到达某个报文源地址的接口与报文入接口不一致的情况，从而满足ip-spoof攻击检测的条件，导致误报，这种场景下必须关闭ip-spoof攻击防范。
    透明模式下由于无法查路由，ip-spoof无效，所以透明模式下没必要开启ip-spoof攻击防范。
  • smurf
    透明模式下由于无法查路由，smurf无效，所以透明模式下没必要开启smurf攻击防范。
  • teardrop
    在GRE场景下（包括GRE报文穿越USG5300/5500和USG5300/5500作为GRE端点等）以及GTP报文穿越USG5300/5500时，建议关闭teardrop攻击防范，因为GRE报文或GTP报文如果在网络中分片，则分片报文可能会满足teardrop攻击检测条件而被丢弃，导致业务异常。
  • ip-sweep
    当防火墙内网存在NAT或代理等场景时，会出现同一个IP地址针对不同的目的地址的大量访问，容易达到ip-sweep的条件，从而影响正常业务。一般不建议开启。


推荐配置



firewall defend land enable firewall defend smurf enable firewall defend source-route enable firewall defend route-record enable firewall defend tracert enable firewall defend time-stamp enable firewall defend ping-of-death enable firewall defend ip-fragment enable firewall defend syn-flood enable firewall defend udp-flood enable firewall defend icmp-flood enable firewall defend syn-flood interface GigabitEthernetX/X/X max-rate 16000 //指针对需要保护的入接口设置SYN报文的最大速率为16000PPS。


推荐配置说明



防范类型

说明

firewall defend land enable

针对源地址和目的地址相同的TCP报文或源地址是环回地址的报文进行丢包，并报攻击日志。

firewall defend smurf enable

针对目的地址是出接口的广播地址的报文进行丢包，并报攻击日志。

firewall defend source-route enable

针对携带IPOPT_SSRR（严格的源站路由选项）和IPOPT_LSRR（宽松的源站路由选项）IP选项的报文进行丢包，并报攻击日志。

firewall defend route-record enable

针对携带IPOPT_RR（IP记录路由选项）IP选项的报文进行丢包，并报攻击日志。

firewall defend tracert enable

针对ICMP超时报文（ICMP TYPE为11，且CODE不为1）和端口不可达报文（ICMP TYPE为3，CODE为3）进行丢包，并报攻击日志。

firewall defend time-stamp enable

针对携带IPOPT_TIMESTAMP（IP时间戳选项）IP选项的报文进行丢包，并报攻击日志。

firewall defend ping-of-death enable

针对分片偏移+该IP报文长度-IP头首部长度大于65515的报文进行丢包，并报攻击日志。

firewall defend ip-fragment enable

针对满足DF（不可分片标记）=1 && MF（还有后续片标记）=1、DF=1 && Fragment Offset（分片偏移） != 0、DF=0 && Fragment Offset + IP报文长度 > 65535条件的报文进行丢包，并报攻击日志。

firewall defend syn-flood enable

如果入接口收到的SYN报文的速率大于max-rate值（默认为1000PPS），就启用TCP代理或反向源探测进行防御（默认使用TCP代理），并报攻击日志。

firewall defend udp-flood enable

如果入接口收到的UDP新建的速率大于max-rate值（默认500000cps），就开始进行限流，并报攻击日志。

firewall defend icmp-flood enable

如果入接口收到的ICMP新建的速率大于max-rate值（默认500000cps），就开始进行限流，并报攻击日志。如果针对一条ICMP会话的首包方向的ICMP报文速率超过base-session max-rate值（默认255pps）时开始做限流，并报攻击日志。

firewall defend syn-flood interface GigabitEthernetX/X/X max-rate 16000

由于只开启firewall defend syn-flood enable时max-rate值很小，网络中很容易超过这个值，所以需要修改为16000，以避免正常业务流量也会报攻日志。