华为操作手册业务配置安全特性配置样本.doc

目 录
13 安全特征配置 13-1
13.1 概述 13-2
13.2 相关概念 13-3
13.3 设置地址绑定 13-4
13.4 设置最大MAC地址数 13-5
13.5 设置MAC地址老化时间 13-6
13.6 配置防MAC地址欺骗功效 13-7
13.6.1 设置工作模式 13-7
13.6.2 设置MAC地址列表 13-8
13.7 配置PITP协议 13-9
13.7.1 设置PITP功效开关 13-9
13.7.2 设置PITP以太网封装类型 13-9
13.7.3 设置PITP编码格式 13-10
13.7.4 设置PITP option82功效 13-10
13.8 设置802.1p优先级门限 13-11
13.9 设置流量抑制 13-12

表格目录
表13-1 配置地址绑定相关操作列表 13-5
表13-2 设置最大MAC地址数相关操作列表 13-6
表13-3 设置802.1p优先等级门限相关操作列表 13-11

13 安全特征配置
相关本章
本章介绍安全特征及其配置操作。
本章描述内容以下表所表示。
标题
描述
Error! Reference source not found.Error! Reference source not found.
介绍以太网业务安全特征。
Error! Reference source not found.Error! Reference source not found.
介绍安全特征相关概念。
Error! Reference source not found.Error! Reference source not found.
介绍PVC地址绑定配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍最大MAC地址数配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍MAC地址老化时间配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍防MAC地址欺骗功效配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍PITP协议配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍802.1p优先级门限配置操作。
Error! Reference source not found.Error! Reference source not found.
介绍流量抑制配置操作。
13.1 概述
业务描述
MA5100以太网业务提供一系列安全特征，有利于运行商提升网络运行安全。
业务规格
以太网业务安全特征包含：
l 地址绑定
l 最大MAC地址数
l MAC地址老化
l 防MAC地址欺骗
l PITP功效
l 802.1p功效
l 流量抑制

13.2 相关概念
地址绑定
当PVC设置地址绑定后，这条PVC上只有这个地址数据帧才正当，其它地址数据包全部被认为是非法而丢弃。
MAC地址欺骗
假如某个ADSL用户将自己MAC地址修改为和上层设备一致，则LAN板会将该用户端口看成目标端口，造成全部上行到该上层设备用户不能上网。
数据环网
假如两条（或多条）ADSL线路接入同一台HUB上，再经过这台HUB接入多个用户，则其中一条ADSL下行数据抵达HUB时将从另一条ADSL线路环回上行。上层设备检测到环路后，会将对应MA5100/MA5103上行VLAN阻塞掉，从而造成该VLAN下全部用户不能上网。
环网上行数据包包含了上层设备源MAC地址，类似于地址欺骗，能够经过源MAC地址过滤功效统一控制。
PITP协议
系统支持PITP（Policy Information Transfer Protocol）协议，经过在PPPoE认证请求报文中携带用户帐号、物理端口号、MAC地址、VPI/VCI等用户信息，提交BRAS设备验证，处理宽带用户标识问题，实现用户帐号和用户端口绑定。
PITP功效支持两种模式：V模式和P模式，二者互斥。其区分是：
l V模式是BRAS设备主动提议用户端口查询。
l P模式是MA5100设备主动提议用户端口查询。
PITP option82功效用来实现用户DHCP请求报文认证，经过在DHCP请求报文中添加物理端口号、MAC地址、VPI/VCI等用户信息，确保正当用户成功取得动态IP。
PITP option82处理了DHCP广播过多、DHCP IP耗尽攻击、IP地址欺骗、MAC地址欺骗、用户ID欺骗等安全性问题。
802.1p
系统支持802.1p优先级功效，对上下行数据包进行调度。
在上行方向，报文携带优先级信息发送到对端，由对端设备对报文进行优先级业务调度。上行报文优先级在PVC建立时由priority参数设置。
在下行方向，MA5100设置2个优先级队列，依据优先级门限对下行数据进行调度。优先级门限为4时，系统将把优先级为0～4下行数据包放入低优先级队列，将优先级为5～6下行数据包放入高优先级队列，当下行发生拥塞时系统依据设置高低优先级进行业务调度。
调度时，系统依据高低优先级队列中报文比率进行，如高低优先级队列报文比率设置为2：1（如高优先级比率为14，低优先级比率为7，则高低比率为2：1），在某时刻，当高优先级队列中报文为3M，低优先级队列中报文为2M，而带宽只有3M时，系统将依据设置比率，高优先级队列只能传送2M，丢弃1M；低优先级传送1M，丢弃1M。
13.3 设置地址绑定
目标
把用户IP地址和MAC地址绑定到指定PVC上。
规格
一条PVC可绑定IP地址或MAC地址，或二者同时绑定。
设置地址绑定要求：
l LAN板工作模式不能为GENERAL模式。
l PVC源端和目标端不能同时在LAN板上。
l 系统最多支持256条PVC对MAC地址进行绑定。
l 系统最多支持512条PVC对IP地址进行绑定。
l 一条PVC最多可绑定8个IP地址和8个MAC地址。
设置地址绑定后用户接入限制：
l 假如只设置了IP地址绑定，则只要用户IP地址在绑定范围内，业务就可正常进行；
l 假如IP地址和MAC地址全部设置了绑定关系，则只有IP地址和MAC地址全部在绑定范围内用户业务才可正常进行；
l 设置了地址绑定PVC必需取消绑定后才可进行删除操作。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置1号PVC绑定IP地址10.11.18.1。
huawei(config-LAN-0/12)#bind ip
<cid>{1-8000}:1
<ip address>:10.11.18.1
  Set ip bind successfully.
验证结果
使用show bind命令查询地址绑定信息。
huawei(config-LAN-0/12)#show bind cid 1
Cutline:
 *: The IP bound is invalid for board version is low.
 CID  Vlan IP address                 MAC address
 ---- ---- --------------- ------  -----------------
 1    1    10.11.18.1         --       --
 --   --    --             --        --
相关操作
配置地址绑定相关操作如Error! Reference source not found.所表示。
表13-1 配置地址绑定相关操作列表
操作
命令
MAC地址绑定
bind mac
删除地址绑定
no bind

13.4 设置最大MAC地址数
目标
设置LAN板 PVC 可学习最大MAC地址数，预防出现过多广播和恶意攻击。
规格
系统缺省支持256个MAC地址，最大支持2047个。
举例
设置1号PVC可学习到最大MAC地址数为64。
huawei(config-LAN-0/13)#max-mac-count
{pvc,vlan,all}:pvc
<cid>{1-8000}:1
<count>{1-2047}:64
If the max learnable MAC addresses of one PVC to be set less than the learned
MAC addresses,some services may be broken.Are you sure to continue?(y/n)[n]:y
Set the max learnable MAC addresses of PVC successfully.
验证结果
使用show max-mac-count命令查询最大MAC地址数。
huawei(config-LAN-0/13)#show max-mac-count
{pvc,vlan,all}:pvc
<cid>{1-8000}:1
CID VLAN ID Learnable MAC addresses
----- ------- -----------------------
1 11 64
相关操作
设置最大MAC地址数相关操作如Error! Reference source not found.所表示。
表13-2 设置最大MAC地址数相关操作列表
操作
命令
查询已经学习到MAC地址数
show mac-count

13.5 设置MAC地址老化时间
目标
设置MAC地址老化时间阈值，系统将依据时间阈值老化掉不再使用MAC地址，即从MAC地址表中删除。
规格
只有EVMB、MMXV板支持MAC地址老化时间设置。
举例
设置MAC地址老化时间为600秒。
huawei(config-LAN-0/3)#mac-age
<age(s)>{10-0}:600
  Set the max age of MAC addresses successfully
验证结果
使用show mac-age命令查询MAC地址老化时间。
huawei(config-LAN-0/3)#show mac-age
   MAC address aging time is: 600 seconds.
13.6 配置防MAC地址欺骗功效
13.6.1 设置工作模式
目标
设置MAC地址欺骗时，系统采取处理方法。
规格
防MAC地址欺骗工作模式有三种：
l common：一般模式，系统过滤掉从异常MAC地址对应端口发过来数据包。该模式最多支持8个MAC地址过滤。该8个MAC地址能够手动配置，也能够系统自动学习。
l enhance：增强模式，系统产生MAC地址异常告警，并去激活对应ADSL端口。该模式下MAC地址不需要配置，系统自动学习取得。
l integrated：综合模式，common模式和enhance模式并存。
注意事项
设置防MAC地址欺骗工作模式时需注意：
l MMXV/EVMB仅支持common模式。
l LAND/EVMA（IPDSLAM/IPCASCADE）三种模式全部支持。
举例
设置防MAC地址欺骗工作模式为一般模式。
huawei(config-LAN-0/12)#anti mac-spoofing
{mode,add,delete}:mode
<workmode>{off,common,enhance,integrated}: common
Set successfully.
验证结果
使用show anti mac-spoofing命令查询防MAC地址欺骗工作模式。
huawei(config-LAN-0/10)#show anti mac-spoofing
Anti MAC spoofing mode: common
MAC address number : 5
No. MAC address type
--- ----------------- -------
1 00-00-00-00-00-09 static
2 00-00-00-00-00-01 static
3 00-00-00-00-00-02 static
4 00-00-00-00-00-03 static
5 00-e0-fc-10-2d-dc dynamic
--- ----------------- -------
13.6.2 设置MAC地址列表
目标
对于上行设备MAC地址，MA5100能够经过自学习取得（动态），也能够进行手工设置（静态）。经过将MAC地址列表和ADSL用户MAC地址进行比较，能够有效防地址欺骗和环网。
注意事项
设置MAC地址仅对common模式有效，Enhance模式下MAC地址设置无效（经过自学习取得）。
举例
增加MAC地址00-00-00-00-00-01，当用户仿冒这个地址时，将其数据包过滤掉。
huawei(config-LAN-0/10)#anti mac-spoofing
{mode,add,delete}:add
<mac address>:00-00-00-00-00-01
Set successfully.
验证结果
使用show anti mac-spoofing命令查询MAC地址列表，请参见“Error! Reference source not found.Error! Reference source not found.”。
13.7 配置PITP协议
13.7.1 设置PITP功效开关
目标
打开或关闭PITP功效，打开PITP功效时同时设置PITP工作模式。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
打开PITP功效，同时设置PITP工作模式为pmode模式。
huawei(config-LAN-0/12)#pitp switch
<switch>{vmode,pmode,off}:pmode
  Set PITP protocol successfully.
验证结果
使用show pitp命令查询PITP功效是否打开。
huawei(config-LAN-0/12)#show pitp
  PITP protocal switch    = PMODE
  PITP option82           = On
  PITP code type          = CNTel
13.7.2 设置PITP以太网封装类型
目标
PITP采取V模式时，PITP协议以太网封装类型必需和对端设备相同。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置PITP V模式以太网封装类型。
huawei(config-LAN-0/12)#pitp ethertype
<ethertype>{0x1-0xffff}:0x1258
  Set PITP protocol ethertype successfully.

验证结果
使用show pitp命令查询PITP协议以太网封装类型。
huawei(config-LAN-0/12)#show pitp
PITP protocol switch = VMODE
PITP protocol ethertype = 0x1258
PITP option82 = On
PITP code type = common
13.7.3 设置PITP编码格式
目标
设置PITP编码格式为common或CNtel格式。
注意事项
LAN板工作模式为GENERAL时不支持本命令。
举例
设置PITP编码格式为CNtel。
huawei(config-LAN-0/12)#pitp code-type
<type>{common,cntel}:cntel
  Set PITP code type successfully.
验证结果
使用show pitp命令查询PITP编码格式。
huawei(config-LAN-0/12)#show pitp
PITP protocol switch = VMODE
PITP protocol ethertype = 0x1258
PITP option82 = On
PITP code type = CNtel
13.7.4 设置PITP option82功效
目标
打开或关闭PITP option82功效。
举例
打开PITP option82功效。
huawei(config-LAN-0/12)#pitp option82
<option82>{on,off}:on
  Set PITP option82 successfully.
验证结果
使用show pitp命令查询PITP option82功效是否打开，请参见“Error! Reference source not found.Error! Reference source not found.”。
13.8 设置802.1p优先级门限
目标
设置数据帧优先等级门限。
注意事项
设置802.1p优先级门限时，需注意：
l LAN板工作模式为GENERAL时不支持本命令。
l GMII PAUSE开关和PRIORITY开关同时打开和关闭。
l 实施该操作前，请先删除目前单板上全部PVC（除IGMP PVC外）。
举例
设置802.1p优先等级门限为3。
huawei(config-LAN-0/12)#priority
<level>{0-6}:3
<low ratio>{1-15}:1
<high ratio>{1-15}:2
  Set successfully.
  Set GMII PAUSE on automatically successfully.
验证结果
使用show priority命令查询优先级门限。
huawei(config-LAN-0/12)#show priority
LAND board:
   802.1p priority status      : On
   802.1p priority value       : 3
   802.1p low priority ratio   : 1
   802.1p high priority ratio  : 2
相关操作
设置802.1p优先等级门限相关操作如Error! Reference source not found.所表示。
表13-3 设置802.1p优先等级门限相关操作列表
操作
命令
关闭802.1p功效
no priority
13.9 设置流量抑制
目标
系统对LAN板上广播/未知单播流量分别加以限制，方便有效地预防未知用户恶意攻击和因为大量广播而引发网络阻塞。
规格
系统设置抑制流量等级有12种，进行抑制流量设置时，抑制流量等级只能从这12种流量等级中选择。能够经过show traffic-suppress命令查询抑制流量等级。
举例
设置广播和未知单播抑制流量索引为1。
huawei(config-LAN-0/12)#traffic-suppress
{broadcast,unknown-cast,all}:all
<tid>{1-12}:1
  Set traffic suppression of broadcast successfully.
  Set traffic suppression of unknown-cast successfully.
验证结果
使用show traffic-suppress命令查询流量抑制信息。
huawei(config-VDSL-0/12)#show traffic-suppress
  Traffic suppression ID definition:
   NO.    Min bandwidth(kbps)    Max bandwidth(kbps)   Package number(pps)
  ----   --------------------   --------------------   -------------------
     1                    6.1                  145.7                    12
     2                   12.3                  291.4                    24
     3                   24.6                  582.9                    48
     4                   49.2                 1165.8                    95
     5                   98.3                 2331.6                   191
     6                  196.6                 4663.2                   382
     7                  393.2                 9326.6                   763
     8                  786.4                18653.1                  1526
     9                 1572.9                37306.3                  3052
    10                 3145.7                74612.7                  6104
    11                 6291.5               149225.4                 12207
    12                12582.9               298450.9                 24414
  ------------------------------------------------------------------------
  Current traffic suppression ID of broadcast   :1
  Current traffic suppression ID of unknown-cast:1