S75E IPS插卡病毒防护典型配置案例
- 格式:doc
- 大小:9.46 MB
- 文档页数:13
H3C S9500E&S12500系列交换机上ACG&IPS插卡MQC引流典型配置一、组网需求:某客户购买了两块SecBlade IPS插卡部署在S95E交换机上,为内网提供攻击检测和安全防护,两台交换机运行在IRF模式,外网用户访问服务器的流量经过IPS插卡,内部服务器互访的流量不上IPS插卡,并且两块插卡能实现主备,当其中一块插卡故障以后业务可以迅速切换到另一块插卡。
二、组网图:如上图所示:两台S9505E交换机堆叠,每台交换机上插一块IPS插卡,内部服务器网关部署在交换机上,服务器互访的流量不经过IPS插卡,外部用户防范服务器的流量正常情况下经过IPS-1,当IPS-1故障以后,流量经过IPS-2。
交换机版本:Comware Software, Version 5.20, Release 1238P08IPS插卡版本:i-Ware software, Version 1.10, Ess 2110P10三、配置步骤:交换机上关键配置:#acsei server enable //通过acsei协议对插卡进行时间同步和状态检测,实现主备切换#acl number 3001 //匹配上插卡的流量description Match-ALL-Addressrule 0 permit ipacl number 3002 //匹配上插卡的流量,用于备份description Match-ALL-Addressrule 0 permit ipacl number 3004 //内网互访的流量不上插卡description Match-Internal-Flowrule 0 permit ip destination 192.168.14.0 0.0.0.255rule 5 permit ip destination 192.168.15.0 0.0.0.255rule 10 permit ip destination 192.168.16.0 0.0.0.255rule 15 permit ip destination 192.168.17.0 0.0.0.255rule 20 permit ip destination 192.168.18.0 0.0.0.255#acl number 4000 //匹配广播、组播和ARP报文description Match-Multicast-Broadcast-ARPrule 0 permit dest-mac 0100-0000-0000 ff00-0000-0000rule 5 permit dest-mac ffff-ffff-ffff ffff-ffff-ffffrule 10 permit type 0806 ffff#vlan 1001 to 1008#vlan 4000 //用于IRF的BFD MAD检测description Mad-Detection#traffic classifier Internal-Flow-1 operator andif-match acl 3004traffic classifier Multicast-Broadcast-ARP operator andif-match acl 4000traffic classifier All-Address-1 operator andif-match acl 3001if-match forwarding-layer route //仅将三层转发流量引流traffic classifier All-Address-2 operator andif-match acl 3002if-match forwarding-layer route#traffic behavior Deny-Multicast-Broadcast-ARPfilter denytraffic behavior Redirect-To-IPS-1redirect interface Ten-GigabitEthernet1/4/0/1traffic behavior Redirect-To-IPS-2redirect interface Ten-GigabitEthernet2/4/0/1traffic behavior Allowfilter permit#qos policy Deny-Multicast-Broadcast-ARP //本地产生的组播、广播和ARP报文不上插卡classifier Multicast-Broadcast-ARP behavior Deny-Multicast-Broadcast-ARPqos policy DOWN_STREAMclassifier Multicast-Broadcast-ARP behavior Allow //广播等报文不上插卡classifier All-Address-1 behavior Redirect-To-IPS-1 //流量先上IPS-1classifier All-Address-2 behavior Redirect-To-IPS-2 //IPS-1故障后上IPS-2qos policy UP_STREAMclassifier Multicast-Broadcast-ARP behavior Allowclassifier Internal-Flow-1 behavior Allow //内网互访流量不上插卡classifier All-Address-1 behavior Redirect-To-IPS-1classifier All-Address-2 behavior Redirect-To-IPS-2#interface Vlan-interface1001ip address 192.168.11.254 255.255.255.0#interface Vlan-interface1002ip address 192.168.12.254 255.255.255.0#interface Vlan-interface1004ip address 192.168.14.254 255.255.255.0#interface Vlan-interface1005ip address 192.168.15.254 255.255.255.0#interface Vlan-interface1006ip address 192.168.16.254 255.255.255.0#interface Vlan-interface1007ip address 192.168.17.254 255.255.255.0#interface Vlan-interface1008ip address 192.168.18.254 255.255.255.0#interface Vlan-interface4000 //BFD MAD检测VLANmad bfd enablemad ip address 200.0.0.1 255.255.255.252 chassis 1mad ip address 200.0.0.2 255.255.255.252 chassis 2#interface GigabitEthernet1/2/0/17 //专用于MAD检测的端口,关闭STPport access vlan 4000stp disable#interface GigabitEthernet2/2/0/17port access vlan 4000stp disable#接口上下发MQC:#interface GigabitEthernet1/2/0/1port access vlan 1004qos apply policy UP_STREAM inbound#interface GigabitEthernet1/2/0/2port access vlan 1001qos apply policy DOWN_STREAM inbound#interface GigabitEthernet2/2/0/1port access vlan 1008qos apply policy UP_STREAM inbound#interface GigabitEthernet2/2/0/2port access vlan 1002qos apply policy DOWN_STREAM inbound#S95E与IPS插卡接口配置:#interface Ten-GigabitEthernet1/4/0/1port link-type trunkport trunk permit vlan 1 1001 to 1008 //必须允许VLAN 1通过,否则跨框重定向报文不生效stp disableqos apply policy Deny-Multicast-Broadcast-ARP inbound //防止本地产生的组播、广播、ARP报文从内敛口转发到插卡,S95E&S12500对于本机发出的协议报文,用MQC在outbound方向不能过滤,会导致环路,ospf邻居down等问题,所以需要在inbound方向过滤mac-address max-mac-count 0#interface Ten-GigabitEthernet2/4/0/1port link-type trunkport trunk permit vlan 1 1001 to 1008stp disableqos apply policy Deny-Multicast-Broadcast-ARP inboundmac-address max-mac-count 0#acsei server //配置acsei时间参数,一般保持默认即可acsei timer clock-sync 1 //配置插卡同步时间的间隔,单位分钟,默认5分钟acsei timer monitor 1 //配置对插卡的监控时间间隔,单位是秒,默认5秒#irf-port 1/1port group interface GigabitEthernet1/2/0/15port group interface GigabitEthernet1/2/0/16#irf-port 2/2port group interface GigabitEthernet2/2/0/15port group interface GigabitEthernet2/2/0/16#IPS插卡相关配置(两快IPS插卡的配置一样):1.去使能OAA ACFP Client。
防病毒软件的高级设置技巧:如何配置保护级别?在网络时代,计算机病毒和恶意软件泛滥成灾,给我们的计算机系统带来了巨大的威胁。
为了保护我们的计算机安全,大多数人会安装一款防病毒软件。
然而,仅仅安装软件并不足以担保计算机的安全,正确配置软件的高级设置变得尤为重要。
下面,本文将详细介绍几种防病毒软件的高级设置技巧,帮助读者更好地配置保护级别。
一、实时监控实时监控是防病毒软件的核心功能之一,它可以持续监控计算机系统的运行状况,并在发现威胁时立即采取行动。
在进行高级设置时,我们应该确保实时监控功能已经开启,并且对其进行细化的配置。
一般来说,软件会提供多种实时监控选项,如文件系统监控、网络流量监控、程序行为监控等。
我们可以根据实际需求选择相应的监控选项,并根据软件的指引进行配置。
这样一来,即可增强实时监控功能的灵敏度,提高对威胁的检测和拦截能力。
二、定时扫描除了实时监控,定时扫描也是保护计算机安全的重要手段。
定时扫描可以帮助我们及时发现已经感染的病毒,并进行清除。
在进行高级设置时,我们可以设置定时扫描的频率和深度。
一般来说,每周进行一次全盘扫描是必要的,这样可以确保计算机系统的整体安全。
此外,还可以设置每天进行一次快速扫描,以及在文件下载后进行自动扫描。
通过灵活配置定时扫描,我们可以有效保护计算机免受病毒侵害。
三、病毒库更新病毒库是防病毒软件能够识别和拦截病毒的重要参考指标。
由于病毒更新迅猛,我们需要及时更新病毒库,以便软件能够识别最新的病毒样本。
在进行高级设置时,我们可以配置病毒库的自动更新选项,并设置更新频率。
一般来说,每天进行一次自动更新是比较合适的,这样可以保证我们始终拥有最新的病毒识别能力。
另外,为了提高更新效率,我们可以选择仅更新病毒库,而不更新其他不必要的组件。
四、设置隔离区隔离区是防病毒软件的一个重要功能,它能够将疑似或确诊的恶意文件隔离起来,防止其对系统造成进一步的威胁。
在进行高级设置时,我们可以设置隔离区的路径和大小限制。
H3C SecBlade IPS插卡典型配置案例关键词:OAA IPS插卡摘要:本文主要介绍H3C SecBlade IPS插卡的典型配置案例。
缩略语:目录1 特性简介 (3)2 应用场合 (3)3 LSQ1IPSSC0插卡典型配置(该插卡只适用于S7500E交换机,可配置OAA) (3)3.1 组网需求 (3)3.2 配置思路 (4)3.3 配置步骤 (5)4 LSB1IPS1A0插卡典型配置(该插卡只适用于命令行为Comware V3的S9500交换机) (9)4.1 组网需求 (9)4.2 配置思路 (10)4.3 配置步骤 (11)5 相关资料 (15)1 特性简介H3C SecBlade IPS产品是一款主动式入侵防御系统,能够及时阻止各种针对系统漏洞的攻击,屏蔽蠕虫、病毒和间谍软件等;在不同层面上配置带宽管理策略,阻断或限制P2P应用,从而帮助IT部门完成应用系统、网络基础设施和系统性能保护的关键任务。
IPS特性主要是入侵防御功能,依据上千种常见攻击特征库,对系统漏洞进行的攻击进行防御。
2 应用场合应用于流量较大的环境,例如校园主干网出口等。
3 LSQ1IPSSC0插卡典型配置(该插卡只适用于S7500E交换机,可配置OAA)3.1 组网需求为了对经过S7500E交换机的流量进行检测,在S7500E交换机的2号槽位上安装了1块SecBlade IPS插卡。
交换机的GigabitEthernet3/0/1、GigabitEthernet3/0/2为内网接口,GigabitEthernet3/0/20为外网接口,内网和外网的流量都需要经过SecBlade IPS插卡的检测:●交换机的GigabitEthernet3/0/1和GigabitEthernet3/0/2连接内网方向,GigabitEthernet3/0/20连接外网方向。
●交换机的Ten-GigabitEthernet2/0/1为Trunk类型,和SecBlade IPS插卡的Ten-GigabitEthernet0/0相连接。
网络入侵防护方案合肥中方网络安全公司2019年10月28日文档说明非常感谢上海<XXXX>(简称<XXXX>)给予McAfee公司机会参与《<XXXX>网络入侵防护》项目,并希望本文档所提供的解决方案能在整个项目规划和建设中发挥应有的作用。
需要指出的是,本文档所涉及到的文字、图表等,仅限于McAfee公司和<XXXX>内部使用,未经McAfee公司书面许可,请勿扩散到第三方。
目录1<XXXX>安全威胁分析 (5)2网络入侵防护设计方案 (7)2.1方案设计原则 (7)2.2网络入侵防护的部署方案 (7)2.3自动升级更新 (9)2.4报警和攻击阻断状态管理 (9)2.5报表管理 (9)3部署IPS后网络可靠性 (11)4IntruShield网络IPS的优势 (13)4.1双机热备份功能(HA) (13)4.2虚拟IPS功能(VIPS) (13)4.3实时过滤蠕虫病毒和Spyware间谍程序 (14)4.4独特的DOS/DDOS探测方式:自动学习记忆和基于阀值的探测方式 (14)5实施方案 (15)5.1循序渐进的分阶段实施 (15)5.2物理/环境要求 (15)5.3实施准备阶段-(2-4个工作日) (16)5.4安装及配置阶段-(2个工作日) (17)5.5DAP阶段一——30天 (18)5.6DAP阶段二——30天 (19)5.7DAP阶段三——1天 (20)6IntruShield网络入侵防护产品简介 (21)6.1网络攻击特征检测 (21)6.2异常检测 (22)6.3拒绝服务检测 (23)6.4入侵防护 (24)6.5实时过滤蠕虫病毒和Spyware间谍程序 (26)6.6虚拟IPS (26)6.7灵活的部署方式 (27)1 <XXXX>安全威胁分析<XXXX>生产网络和OA网络架构如下图所示:由图中可以看出,<XXXX>生产网络和OA通过两条千兆链路直接连接,中间没有任何防火墙或者网络隔离设备;而OA网络和Internet网络有直接的专线连接。
关键词Key words:IPS插卡、ACG插卡、FW插卡、OAA、混插方案摘要Abstract:本文主要描述了SecBlade IPS以及SecBlade ACG,配合S75E及SecBlade FW不同组网环境的典型组网及配置方案,以及在实际应用过程中的注意事项,供插卡开局同学参考。
缩略语清单List of abbreviations:1 SecBlade安全插卡概述1.1 产品简介H3C SecBlade ACG和H3C SecPath IPS插卡式产品采用H3C公司最新的硬件平台和体系架构,支持分布式部署和集中管理,可灵活扩展。
通过基于浏览器的管理界面,管理员可以快速熟悉系统的操作管理。
H3C SecBlade ACG/IPS插卡,可以和S7500E系列/S9500系列高端交换机配合使用,可以在已使用该高端交换机的用户网络中方便部署,满足对流量运营管理的需要。
插卡式的H3C SecBlade ACG系列单板类型:●LSQ1ACGASC0:适用于H3C S7500E系列以太网交换机;●LSB1ACG1A0:适用于H3C S9500系列以太网交换机。
插卡式的H3C SecBlade IPS系列单板类型:●LSQ1IPSSC0:适用于H3C S7500E系列交换机;●LSB1IPS1A0:适用于H3C S9500系列交换机。
1.2 主要特点●将主网络设备的转发和业务处理有机融合在一起,在实现主网络设备高性能数据转发的同时,能够根据组网的特点处理安全业务,实现安全防护和监控。
●SecBlade IPS以及SecBlade ACG插卡基于H3C公司领先的OAA(OpenApplication Architecture)架构开发,通过内部的高速10G以太接口与主网络设备相连,H3C主网络设备的后插卡具有的线速转发能力,更保证了与业务插卡间通畅的数据转发。
●SecBlade IPS以及SecBlade ACG插卡采用了专用多核高性能处理器和高速存储器,在高速处理安全业务的同时,主网络设备的原有业务处理不会受到任何影响。
入侵检测与预防系统(IPS)保护网络免受攻击网络安全已成为现代社会中非常重要的一个方面。
随着互联网的普及和信息技术的发展,网络攻击日益增加,企业和个人面临着越来越多的网络安全威胁。
为了保护网络免受攻击,入侵检测与预防系统(IPS)应运而生。
本文将介绍IPS的工作原理、功能以及在网络安全领域的应用。
一、IPS的基本概念和工作原理入侵检测与预防系统(IPS)是一种网络安全设备,用于监控和保护计算机网络免受外部攻击。
它通过对网络流量进行实时分析,识别潜在的入侵行为,并采取相应的防御措施,以保护网络的完整性和可用性。
IPS的工作原理主要分为两个环节:入侵检测和入侵防御。
1. 入侵检测:IPS通过深度分析网络流量,检测出潜在的入侵行为。
它可以识别已知的攻击模式,也可以通过学习算法和行为分析来检测未知的入侵行为。
当IPS检测到可疑的活动时,它会触发警报,并将相关信息传递给网络管理员。
2. 入侵防御:IPS不仅能够检测入侵行为,还可以采取一系列的防御措施来应对攻击。
例如,IPS可以封锁入侵者的IP地址或端口,阻止他们进一步访问网络;还可以主动重新配置网络设备,以增加网络的安全性。
二、IPS的功能和特点入侵检测与预防系统(IPS)具备多种功能和特点,使其成为保护网络安全的重要工具。
1. 实时监控:IPS能够对网络流量进行实时监控,及时发现和响应入侵行为,有效减少网络漏洞被利用的风险。
2. 多层防御:IPS能够在网络的不同层次上进行防御,包括网络层、传输层和应用层。
这种多层次的防御策略能够最大程度地保护网络免受攻击。
3. 自学习能力:IPS可以通过学习算法和行为分析来不断更新和优化自身的检测规则,提高检测准确性和效率。
4. 快速响应:IPS能够快速响应入侵行为,及时采取相应的防御措施,减少攻击对网络的影响。
5. 日志记录:IPS能够记录所有的安全事件和警报信息,为网络管理员提供详细的安全分析和追溯能力。
三、IPS在网络安全中的应用入侵检测与预防系统(IPS)在网络安全领域有着广泛的应用。
H3C S7500E攻击防御典型配置举例Copyright © 2015杭州华三通信技术有限公司版权所有,保留一切权利。
非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。
本文档中的信息可能变动,恕不另行通知。
目录1 简介 (1)2 配置前提 (1)3 链路层攻击防御配置举例 (2)3.1 组网需求 (2)3.2 配置思路 (2)3.3 使用版本 (3)3.4 配置注意事项 (3)3.5 配置步骤 (3)3.5.1 Device B(根桥)的配置 (3)3.5.2 Device A的配置 (4)3.5.3 Device C的配置 (4)3.6 验证配置 (5)3.7 配置文件 (5)4 ARP攻击防御配置举例 (6)4.1 组网需求 (6)4.2 使用版本 (7)4.3 配置步骤 (7)4.3.1 Device的配置 (7)4.4 验证配置 (8)4.5 配置文件 (8)5 IP层攻击防御配置举例(一) (8)5.1 组网需求 (8)5.2 使用版本 (8)5.3 配置注意事项 (9)5.4 配置步骤 (9)5.5 验证配置 (9)5.6 配置文件 (9)6 传输层攻击防御配置举例 (10)6.1 组网需求 (10)6.2 使用版本 (10)6.3 配置步骤 (10)6.4 验证配置 (10)6.5 配置文件 (11)7 相关资料 (11)1 简介本文档介绍了链路层、ARP 、IP 层以及传输层攻击防御的配置举例。
本文档涉及的主要攻击防御类型见表1。
表1 攻击防御类型简介攻击防御分类攻击防御措施功能描述链路层攻击防御MAC 地址防攻击设定端口可以学习到的最大MAC 地址数目,避免被大量源MAC 地址频繁变化或者VLAN 频繁变化的报文攻击STP 的防攻击 主要的防护措施有BPDU 保护、根保护、环路保护、防TC-BPDU 攻击保护ARP 攻击防御ARP 源抑制功能 用于防止设备被固定源发送的IP 报文攻击 ARP 黑洞路由功能 用于防止设备被不固定的源发送的IP 报文攻击 ARP 主动确认功能用于防止攻击者仿冒用户欺骗设备源MAC 地址固定的ARP 攻击检测用于防止设备被同一MAC 地址源发送的攻击报文攻击ARP 报文源MAC 一致性检查功能用于防止设备被以太网数据帧首部中的源MAC 地址和ARP 报文中的源MAC 地址不同的报文攻击IP 层攻击防御uRPF 检查用于防止基于源地址欺骗的网络攻击行为 TTL 报文防攻击通过关闭ICMP 超时报文发送功能来避免被攻击者恶意攻击传输层攻击防御防止Syn-flood 攻击当服务器收到TCP 连接请求时,不建立TCP 半连接,而直接向发起者回复SYN ACK 报文,可以避免在服务器上建立大量的TCP 半连接,防止服务器受到SYN Flood 攻击2 配置前提本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。
服务器防护方案随着互联网的迅猛发展,服务器防护变得越来越重要。
为了确保服务器的安全,有效的服务器防护方案必不可少。
本文将介绍一些常用的服务器防护措施,以保障服务器的安全性和稳定性。
一、防火墙防火墙是服务器防护的第一道防线。
它可以监控和过滤进出服务器的网络数据流量,根据预设的规则判断是否允许数据通过,从而保护服务器免受网络攻击。
合理配置和更新防火墙规则可以提供有效的保护。
二、入侵检测系统(IDS)和入侵防御系统(IPS)IDS和IPS可以实时监测服务器的网络流量,检测和阻止潜在的入侵行为。
IDS通过分析网络数据包和服务器日志,识别出异常行为,及时报警。
IPS在检测到入侵行为时,不仅会发出警报,还可以主动阻止攻击者的进一步入侵。
三、安全更新和漏洞修复及时安装安全更新和漏洞修复补丁是服务器防护的关键步骤。
定期检查系统和应用程序的更新,并及时应用安全补丁,可以弥补已知漏洞,防止黑客利用这些漏洞入侵服务器。
四、密码策略和访问控制合理的密码策略和访问控制是保护服务器的重要手段。
管理员应该设定强密码,并定期更改它们。
此外,限制访问服务器的IP范围,禁止不必要的远程登录,以及为用户分配适当的权限,都可以减少潜在的安全风险。
五、数据备份与恢复定期备份服务器的重要数据是必要的。
在遭遇攻击或数据损坏时,可以通过数据恢复来迅速恢复服务器的正常运行。
备份数据应存储在安全地点,并进行加密保护,以防止数据泄露和不可预测的风险。
六、日志分析和安全审计通过对服务器的日志进行分析和安全审计,可以发现异常活动,并及时采取措施。
日志分析工具可以帮助管理员检测入侵尝试、异常登录以及其他可疑行为,早期发现问题,及时加以解决。
七、网络流量监测和限制实时监测服务器的网络流量非常重要。
通过监测流量,管理员可以及时发现并应对异常流量,例如DDoS攻击或其他恶意行为。
此外,限制网络流量,如限制某些IP地址的连接数量或限制特定协议的使用,都有助于保护服务器免受过载和攻击。
H3CSecblade防火墙插卡...SecBlade防火墙插卡NAT典型配置举例关键词:NAT、PAT、私有地址、公有地址、地址池摘要:本文简单描述了SecBlade防火墙插卡NAT模块相关业务的特点,详细描述了NAT各特性的典型应用,并给出NAT基本的配置案例。
缩略语:缩略语英文全名中文解释Translator 网络地址转换AddressNAT NetworkALG Application Level Gateway 应用层网关ACL Access Control List 访问控制列表VPN Virtual Private Network 虚拟专用网PAT Port Address Translation 端口地址转换Translation 端口地址不转换No-PAT No-PortAddress目录1 特性简介 (3)2 特性使用 (3)2.1 使用场合 (3)2.2 配置指南 (3)3 支持的设备 (3)3.1 支持的设备 (3)3.2 使用版本 (3)3.3 配置保存 (4)4 配置举例 (4)4.1 典型组网 (4)4.2 设备基本配置 (5)4.3 NAT业务典型配置举例 (6)4.3.1 Easy IP方式NAT (6)4.3.2 PAT方式NAT (7)4.3.3 no-PAT 方式NAT (9)4.3.4 NAT Static (11)4.3.5 NAT Server (15)4.3.6 关于多实例的NAT (17)5 相关资料 (20)5.1 相关协议和标准 (20)5.2 其它相关资料 (20)1 特性简介NAT(Network Address Translation,网络地址转换)是将IP数据报报头中的IP地址转换为另一个IP地址的过程。
在实际应用中,NAT主要用于实现私有网络访问外部网络的功能。
通过使用少量的公有IP地址代表多数的私有IP地址的方式将有助于减缓可用IP地址空间枯竭的速度;同时给内部网络提供一种“隐私”保护,也可以按照用户的需要提供给外部网络一定的服务。
Secpath IPS系列T200 DDoS典型配置一、组网需求:对T200进行配置,使其能够对内部HTTP服务器(例如:IP地址为192.168.10.100,T200上与其相连的接口属于段0的内部域)进行DDoS攻击防范,并且能够保证正常的用户访问不受干扰。
二、组网图:三、配置步骤:◆应用系统预定义的DDoS策略“DDoS Policy”到段0●在导航栏中选择“对象管理 > 段管理 > 段策略管理”,单击<应用策略>按钮。
●选择段为“0”。
●选择策略类型为“DDoS策略”。
●选择策略为“DDoS Policy”。
●选择保护对象区域为“内部区域”。
●输入保护对象IP地址为“192.168.10.100”,并单击<添加>按钮使其加入到保护对象列表中。
●单击<应用>按钮完成操作。
预定义的DDoS策略◆将配置下发到设备●完成上述的配置后,页面会自动跳转到“段策略管理”的页面,单击<激活>按钮,弹出确认对话框。
●在确认对话框中单击<确认>按钮后,将配置下发到设备。
配置下发◆进行流量学习●在“段策略管理”的页面选择策略类型为“DDoS策略”。
●单击新创建的段策略所对应的流量学习<开始>按钮,开始进行流量学习。
●进行一段时间的流量学习后,再单击流量学习<结束>按钮,结束流量学习。
流量学习◆查看生成的检测规则●在导航栏中选择“对象管理 > DDoS > 检测规则管理”。
●选择防护对象为“段ID:0 方向:从外网到内网策略名:DDoS Policy”,列表中显示所有生成的检测规则。
查看检测规则◆进行检测防护●在导航栏中选择“对象管理 > 段管理 > 段策略管理”。
●单击新创建的段策略所对应的检测防护<开始>按钮,开始进行检测防护。
检测防护四、注意事项:配置DDoS时需要注意如下事项:(1) 已经应用到段上的DDoS策略不能删除。
S75E+FW+IPS+LB部署⽅案多业务板卡配置指导书—FW+IPS+LBCatalog ⽬录概述5最佳实践⽹络结构5典型组⽹5组⽹设计7流量设计8 S75E交换机设计部署10 S75E部署典型组⽹10部署说明10⼆层vlan 通道部署10 OSPF单区域部署11 OSPF协议静态路由引⼊12 OSPF接⼝Hello Time调整12 S75E双机环境中的NQA部署13 SecBlade FW板卡设计部署14 SecBlade FW部署典型组⽹14 FW侧部署说明15 WEB管理接⼝配置15三层接⼝与安全区域部署15静态路由部署16访问控制策略部署17 S75E侧部署说明17 SecBlade LB设计部署18 SecBlade LB部署典型组⽹18 LB侧部署说明19 WEB管理接⼝配置19接⼝与路由部署20虚服务部署21 S75E侧部署说明22 SecBlade IPS设计部署23 SecBlade IPS部署典型组⽹23 S75E侧部署说明23 OAA与接⼝配置23 IPS侧部署说明25 WEB管理接⼝配置25 OAA配置27安全区域配置28段配置29段策略配置29⼆层回退配置31整⽹双机HA设计部署31整⽹双机HA部署31链路故障切换32交换机与园区核⼼相连链路故障切换32交换机与服务器相连链路故障切换32板卡故障切换33 FW板卡故障切换33 LB板卡故障切换34 IPS板卡故障切换35整机故障切换;36Figure List 图⽬录图1 企业⽹FW+IPS+LB最佳实践典型组⽹图 (6)图2 整⽹双机设计⽰例图 (7)图3 上下⾏流量⽰意图 (9)图4 S75E交换机部署结构图 (10)图5 S75E交换机NQA部署追踪流量⽰意图 (13)图6 SecBlade FW部署结构图 (14)图7 SecBlade LB部署结构图 (19)图8 SecBlade IPS部署典型组⽹流量图 (23)图9 S75E与园区核⼼相连链路故障切换⽰意图 (32)图10 75E与服务器相连链路故障切换⽰意图 (33)图11 FW板卡故障切换⽰意图 (34)图12 LB板卡故障切换⽰意图 (35)图13 IPS板卡故障切换⽰意图 (36)图14 整机故障切换⽰意图 (37)概述企业⽹最佳实践2.0多业务板卡解决⽅案⼀FW+IPS+LB组合主要针对企业⽹S75E交换核⼼集成FW、IPS和LB模块,提供防⽕墙安全、IPS⼊侵防御及LB负载均担的能⼒。
S75E IPS 插卡病毒防护典型配置案例
杭州华三通信技术有限公司
起 草 人:余磊石 起 草 日 期: 2012-10-22
技术文档报告
文档信息
文 文 文 当 创 档 档 档 前 建 名 编 类 版 日 称 号 别 本 期 技术文档 ■ 培训文档 □ 1.0 2012-10-22 工程文档 □ 服务文档 □ 项目文档 □ 其他 □ 运维文档 □ S75E IPS 插卡病毒防护典型配置案例
文档主送部门 文 联 档 系 作 方 者 式 余磊石 etr_yuleishi@
H3C机密,未经许可,请勿传播
第2页, 共13页
技术文档报告
尊敬的深圳移动用户各位领导、技术负责人: 您好! 首先感谢贵公司对华三公司长期以来的大力支持和帮助,贵公司提出的每一个问题和需求,对华 三公司的产品和服务提升都是一个很好的建议,华三公司一直都认真对待并努力解决。
贵公司要求的 关于IPS病毒防护配置技术文档,经过相关技术人员整理,情况如下,敬请审核。
1. 【产品介绍】
H3C SecPath IPS插卡式产品采用H3C公司最新的硬件平台和体系架构,支持分布式部署和集中管 理,可灵活扩展。
通过基于浏览器的管理界面,管理员可以快速熟悉系统的操作管理。
H3C SecBlade IPS插卡,可以和S7500E系列/S9500系列高端交换机配合使用,可以在已使用该高端交换机的用户网 络中方便部署,满足对流量运营管理的需要。
2. 【主要特点】
将主网络设备的转发和业务处理有机融合在一起,在实现主网络设备高性能数据转发的同
时,能够根据组网的特点处理安全业务,实现安全防护和监控。
SecBlade IPS 插卡基于H3C 公司领先的OAA(Open ApplicationArchitecture)架构开发,
通过内部的高速10G 以太接口与主网络设备相连,H3C 主网络设备的后插卡具有的线速转发能力, 更保证了与业务插卡间通畅的数据转发。
secBlade IPS 插卡采用了专用多核高性能处理器和高速存储器,在高速处理安全业务的同
时,主网络设备的原有业务处理不会受到任何影响。
SecBlade IPS 插卡可以插在主网络设备上的多个槽位,并且在一台网络设备上可插入多块
插卡进行性能扩展,轻松适应不断升级的企业和电信运营商网络
H3C机密,未经许可,请勿传播
第3页, 共13页
技术文档报告
3. 【配置步骤】 3.1 组网图
PC(服务 器)
S7500E
PC(客户端)
IPS插卡
本案例以一台 PC 做为 FTP 服务器, 一台 PC 作为 FTP 客户端, FTP 服务器上放置病毒包, S7500E 在 在 与 IPS 插卡上作 IPS 病毒防护功能配置,以验证 IPS 插卡的防病毒功能。
FTP 服务器 IP 地址:192.168.1.4 FTP 客户端 IP 地址:192.168.1.5
3.2 相关配置
S7500E 主控板相关配置 #二层转发基本配置 vlan 5 quit interface vlan 5 ip address 192.168.1.2 255.255.255.0 #ACL 配置 acl number 2030 description For SNMP rule 5 permit source 120.197.82.196 0
H3C机密,未经许可,请勿传播 第4页, 共13页
技术文档报告
rule 500 deny #S7500E 主控上 OAA 相关配置 # 使能ACFP server和ACSEI server功能。
acfp server enable acsei server enable # 配置交换机主控板的流量转发模式为enhanced(主控板流量转发模式配置完毕后需保存配置 并重启整个交换机,所做配置才会整机生效。
) switch-mode l2-enhanced # 配置内联接口所属VLAN(此VLAN 100只为OAA管理用,对流量转发不起作用) interface VLAN-interface100 ip address 100.100.100.1 255.255.255.0 # 配置内联接口 interface Ten-GigabitEthernet5/0/1 port link-type trunk port trunk permit VLAN all port trunk pvid VLAN 100 port connection-mode extend # 配置 SNMP 参数 snmp-agent snmp-agent local-engineid 800063A203C4CAD92E56EC snmp-agent community read public acl 2030 snmp-agent community write private acl 2030 snmp-agent community read IDC-NE40E snmp-agent sys-info version v2c v3 snmp-agent group v3 v3group_no read-view iso write-view iso snmp-agent target-host trap address udp-domain 120.197.82.219 udp-port 514 params securityname IDC-NE40E v2c
H3C机密,未经许可,请勿传播
第5页, 共13页
技术文档报告
snmp-agent mib-view included iso iso snmp-agent usm-user v3 v3user_no v3group_no 插卡上的配置 用户名:admin 密码: admin IPS 设备管理口的 IP 地址:192.168.1.1/24 (1) 用以太网线将 PC 的网口与 IPS 设备的管理口相连 (2) 为 PC 的网口配置 IP 地址,保证与 IPS 设备的管理口互通(比如 192.168.1.2/24) (3) 在 PC 上启动 IE 浏览器(建议使用 Microsoft Internet Explorer 6.0 SP2 及以上版本)输 入 IPS 设备管理口的 IP 地址,结果如下:
H3C机密,未经许可,请勿传播
第6页, 共13页
技术文档报告
网管首页如下图
在导航栏中选择“系统管理>网络管理>安全区域”,进入“安全区域显示”页面
单击<创建安全区域>按钮,进入“创建安全区域”的配置页面
H3C机密,未经许可,请勿传播
第7页, 共13页
技术文档报告
分别将 Gigabitethernet7/0/25 加入内部域 LAN,Gigabitethernet7/0/25 加入外部域 WAN 中 此两个接口在可选接口中。
配置完成后如下图:
在导航栏中选择“系统管理>网络管理>段配置
H3C机密,未经许可,请勿传播
第8页, 共13页
技术文档报告
单击<新建段>按钮,进入“新建段”的配置页面,创建一个段(这里为段 0) ,将内网和外网链路连通, 文章后面再在此链路上配置 AV 段策略
上图与前面配置相对应 内部域:LAN 外部域:WAN 接口:Gigabitethernet7/0/25 与 Gigabitethernet7/0/26 新建段成功,如下图:
在导航栏中选择“防病毒>段策略管理”,进入“段的显示
H3C机密,未经许可,请勿传播
第9页, 共13页
技术文档报告
点击“创建策略应用”按钮,进入“策略应用”, 选择缺省的 AV 策略:Anti-Virus Policy,方向 选择“双向”,点击<确定>按钮,
点击上图的策略名称链接,进入到AV策略的“规则管理”页面,能看到几十条规则,选择对应的规则 就好,或者全选也可以
H3C机密,未经许可,请勿传播
第10页, 共13页
使能对应的规则,使能成功,如下图:
点击上页的<激活>按钮将上述配置激活,如下图:
ACFP client 配置,如下图:
ACFP 联动策略配置,如下图:
完成以上操作后,为了保证IPS 设备重启后配置不丢失,需要对上述配置进行配置保存操作。
在导航栏中进入选择“系统管理>设备管理>配置维护”,在“保存当前配置”页签中点击<保存>按钮并确认。
完成以上操作以后,IPS 插卡防病毒功能已配置成功,接下来就是验证。
当外网向内网有病毒传送时,IPS 设备会对其进行阻断并上报病毒日志。
在“日志管理>病毒日志>最近日志”如下图:
4. 【结束语】
有关于IPS 病毒防护典型配置操作步骤,经过相关技术人员的整理,现已整理完成。
敬请阅读。
H3C 公司将继续积极配合贵单位的工作,同时也希望贵单位能够对我们今后的工作继续提出更多的宝贵意见,以帮助我们改进管理、提升技术水平,使双方的良好的合作关系继续发展下去!
保密承诺:本次服务中获取客户的保密信息仅用于H3C公司向客户交付涉及H3C解决方案与产品服务(网络规划、设计、实施、运维、优化)。
未经客户同意,H3C公司承诺对保密信息不用于其他与客户服务无关的用途,不向任何与客户服务无关的第三方披露。
杭州华三通信技术有限公司
Hangzhou H3C Technologies Co., Ltd
2012-10-22。