4、使用CAR(Control Access Rate)限制ICMP数据包流量速率</p>参考以下例子:: [- s% P4 t. @ P' v1 A3 D
interface xy8 ~: C; G$ G3 _& }+ ~( q4 i; o
rate-limit output access-group 2020 3000000 512000 786000 conform-action4 w+ g6 O" n1 k
transmit exceed-action drop
5 A- F2 J. X) m- p$ a( \( jaccess-list 2020 permit icmp any any echo-reply2 k. o1 V- @3 H! x
请参阅IOS Essential Features 获取更详细资料。
* Z' P3 h& y( K* x5、设置SYN数据包流量速率
5 f4 ]8 F: F( ~1 ^8 k" Ginterface {int}3 y6 k! r: @) {! z6 T
rate-limit output access-group 153 45000000 100000 100000 conform-action- h8 V$ [6 B. x; ^
transmit exceed-action drop
& R7 d8 u: d, J5 a& lrate-limit output access-group 152 1000000 100000 100000 conform-action/ v8 K* @6 h3 d/ m5 M. u+ c
transmit exceed-action drop; P S2 u: I) i) W$ ]
access-list 152 permit tcp any host eq www
( \. V, v) d7 f2 s& G* w" e0 Uaccess-list 153 permit tcp any host eq www established8 E, M g" H" s- h2 {
在实现应用中需要进行必要的修改,替换:3 o" q) e2 V2 C5 b& K" w4 E; d! f
45000000为最大连接带宽! G9 {% E% ?2 m6 `; z8 }
1000000为SYN flood流量速率的30%到50%之间的数值。+ D! u Y4 _9 _8 Y+ G
burst normal(正常突变)和 burst max(最大突变)两个速率为正确的数值。
+ i& j6 t. k7 t, l, K3 h4 N注意,如果突变速率设置超过30%,可能会丢失许多合法的SYN数据包。使用“show interfaces rate-limit”命令查看该网络接口的正常和过度速率,能够帮助确定合适的突变速率。这个SYN速率限制数值设置标准是保证正常通信的基础上尽可能地小。, h# I6 n: a, g, u5 Y
警告:一般推荐在网络正常工作时测量SYN数据包流量速率,以此基准数值加以调整。必须在进行测量时确保网络的正常工作以避免出现较大误差。
2 b. `) [7 e7 K/ c" A% ]/ {, d/ s8 ^+ [另外,建议考虑在可能成为SYN攻击的主机上安装IP Filter等IP过滤工具包。 |