中國移動省網(wǎng)異常流量防護指導方案

1、知識水壩（豆丁網(wǎng)pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下知識水壩 省網(wǎng)異常流量防護指導方案省網(wǎng)異常流量防護指導方案 文檔編號文檔編號 請輸入文檔編號 密級密級 請輸入文檔密級 版本編號版本編號1.1 日期日期2010-06-25 知識水壩（豆丁網(wǎng)pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下知識水壩 目錄目錄 一、項目概述 .1 二、現(xiàn)狀分析 .1 三、設備部署邏輯拓撲.2 四、路由策略設計.3 4.1.牽引路由設計 .3 4.2.注入路由設計 .4 五、流量檢測設計.4 5.1.netflow配置.4 5.2.nta 部署 .5 六、ads-m 部署.5

2、 七、內(nèi)網(wǎng)網(wǎng)管部署.5 八、物理層對接 .6 九、設備命名及 ip 地址分配.9 9.1.設備命名表 .9 9.2.ip 地址.9 十、路由部署 .11 10.1.牽引路由.11 10.2.注入路由.12 10.2.1 ads 注入路由配置.12 10.2.2 t640 注入路由配置.26 十一、部署測試.26 一、一、項目概述項目概述 在全球運營商市場競爭日趨激烈的格局下，如何通過優(yōu)質的差異化服務獲得客戶認可，在全球運營商市場競爭日趨激烈的格局下，如何通過優(yōu)質的差異化服務獲得客戶認可， 從而獲得競爭優(yōu)勢、開拓市場空間、擴大市場份額，成為運營商成功與否的關鍵。從而獲得競爭優(yōu)勢、開拓市場空間、擴

3、大市場份額，成為運營商成功與否的關鍵。 目前，ddos 攻擊已經(jīng)逐漸成為了互聯(lián)網(wǎng)中最常見、危害性最大的攻擊形式之一。 ddos 攻擊不但能夠給各類互聯(lián)網(wǎng)用戶和服務提供商造成業(yè)務中斷、系統(tǒng)癱瘓等嚴重后果， 同時也嚴重威脅中國移動的基礎設施。 由于商業(yè)競爭、政治情緒、經(jīng)濟勒索等因素的驅動，ddos 攻擊越來越呈現(xiàn)出組織化、 規(guī)?；I(yè)化的特點，攻擊流量動輒數(shù) g、數(shù)十 g，攻擊頻率也大有愈演愈烈之勢。在這 種緊迫形勢下，配合中國移動北京公司當前的轉型戰(zhàn)略，建設專門的 ddos 攻擊流量監(jiān)測和 清洗平臺是一個必然之選?；谠撈脚_，一方面可以為移動自身的生產(chǎn)網(wǎng)絡提供安全保障， 有效提高生產(chǎn)網(wǎng)絡的健壯

4、性；另一方面能夠結合移動大客戶的安全需求提供 ddos 攻擊的防 護業(yè)務，從而達到保存激增的目的。 此次中國移動北京公司網(wǎng)絡流量監(jiān)測清洗項目建設目標對途經(jīng) cmnet 北京省網(wǎng)核心層 的異常流量（ddos）進行流量清洗，同時不影響或較少影響正常的業(yè)務運營，并根據(jù)異常 情況生成實時和時段的異常報表。 二、二、現(xiàn)狀分析現(xiàn)狀分析 北京移動在 cmnet 網(wǎng)絡出口改造后，出口兼核心的四臺 t640 路由器分別部署在望京、 菜市口兩個局址，以口字型互聯(lián)，t640 在兩局址間通過 10g*2 的數(shù)據(jù)傳輸互聯(lián)。 每臺核心路由器均通過一條 10ge 鏈路上連至 cmnet 骨干；每個局址的自有業(yè)務通過 本地一

5、對 m320 接入，兩臺 m320 與本地的兩臺 t640 組成口字型結構；四臺 mx960 作為 sr 與望京、菜市口兩個局址中各一臺 t640 相連，承擔寬帶及專線用戶的接入。 北京移動 cmnet 內(nèi)部的互聯(lián)路由及業(yè)務路由全部通過 igp 承載，在核心層通過 bgp 發(fā)布到 cment 骨干上。 三、三、設備部署邏輯拓撲設備部署邏輯拓撲 為增加北京移動 cmnet 網(wǎng)絡的抗 ddos 攻擊能力，按照 ddos 防護基本思路，將防護 設備ads 集群部署于靠近出口的位置，考慮到在實現(xiàn)預期功能的前提下盡量減小在部署 中對北京移動原有網(wǎng)絡配置的影響，將 ads 集群旁路部署在北京移動核心路由器

6、 t640 上， 本項目中共兩組 ads 集群，在望京、菜市口兩個局址各部署一組，分別與本地兩的兩臺 t640 通過 10ge 鏈路互聯(lián)，通過 ibgp 對進入北京移動網(wǎng)絡的流量進行牽引過濾，再將清洗 后的流量回送至 t640 后轉發(fā)到目標網(wǎng)絡。 為對進入北京移動的流量進行檢測，將兩臺 nta 部署于北京移動 cmnet 網(wǎng)絡內(nèi)，通 過 netflow 對網(wǎng)絡中的特定流量進行采樣并進行分析，對各種異常流量產(chǎn)生告警，并可根據(jù) 需要通告 ads 集群對異常流量進行牽引過濾。 邏輯部署拓撲圖見下圖： 圖 1.1 北京移動 cmnet 網(wǎng)絡 ads 部署邏輯拓撲 四、四、路由策略設計路由策略設計 ad

7、s 在對流量進行牽引及回注時均涉及到路由器上的路由配置變更，以下將對部署過程 中需要的配置進行說明。 4.1.牽引路由設計牽引路由設計 為使異常流量通過 ads 設備進行清洗，需要 ads 通過動態(tài)路由協(xié)議將牽引路由發(fā)送到 t640 上，使 t640 將需要牽引的流量送到 ads。 考慮牽引使用的路由協(xié)議需要較強的控制性及網(wǎng)絡資源的申請及分配問題，使用 ibgp 協(xié)議對 t640 進行牽引路由通告。 在 ads 上通過 loopback 地址與核心層四臺 t640 分別建立 ibgp 鄰居關系； 關閉 t640 上的 ibgp 路由同步，以使 ibgp 牽引路由有效； 進行牽引路由通告時攜帶

8、no-advertise 屬性，將牽引路由限制在核心層，避免對北京 移動原有網(wǎng)絡產(chǎn)生不必要的影響 由于 ads 在清洗過程中需要與客戶進行通訊以便驗證客戶訪問的合法性，即客戶 a 訪 問被保護業(yè)務 x 時的流量在牽引后始終要經(jīng)過同一組 ads 清洗設備；現(xiàn)網(wǎng)中考慮路由改造、 維護及鏈路利用率等因素，回城路由采用基于等價路由的負載均衡設計，為保證 ads 在現(xiàn) 網(wǎng)環(huán)境中可正常工作，對每個目標 ip 僅由一組 ads 通告牽引路由，以保證各客戶端到達目 標 ip 的流量由同一組 ads 處理。 4.2.注入路由設計注入路由設計 在 ads 對流量進行清洗后需要回送到 t640 上，為避免 ads

9、回注的清潔流量受牽引路 由影響再次被牽引形成路由環(huán)路，需保證回注流量在 t640 上路由或轉發(fā)時使用優(yōu)先級高于 全局路由表的路由或轉發(fā)策略。 可通過在 t640 的回注子接口上設置路由轉發(fā)策略，僅根據(jù) igp 表項進行路由轉發(fā)，保 證 t640 可將清洗后的流量繼續(xù)轉發(fā)到下一層路由器（m320、mx960），避免 ads 的注入 流量受牽引路由影響再次被牽引清洗。 由于 t640 處理 ads 回注流量時根據(jù) igp 表項進行路由轉發(fā)，需保證 ads 回注流量送 達的路由器上目標 ip 的 igp 路由直接指向下一層路由器，即要求 ads 根據(jù)目標 ip 的分布 情況將流量回注到正確的 t64

10、0 上。 五、五、流量檢測設計流量檢測設計 為對北京移動 cmnet 的流量進行監(jiān)控檢測是否流量有異常情況，可在 t640 的上聯(lián)口 上開啟 flow 采樣，對由 cmnet 骨干進入城域網(wǎng)的流量進行檢測。 5.1.netflow 配置配置 在核心路由器 t640 上配置 netflow 采樣對由 cmnet 骨干進入城域網(wǎng)的流量進行采樣，將 flow 發(fā)送到兩臺 nta 供檢測分析?？紤]到采樣的效率和檢測效果，建議采用 1:1000 的采樣 比率。 5.2.nta 部署部署 本項目中共有兩臺 nta 對流量進行采樣分析，兩臺 nta 以主備方式工作，同時接收 flow 數(shù)據(jù)，由主 nta 對

11、流量進行分析，如需配合 ads 自動牽引也由主 nta 向 ads 進行 通告。 六、六、ads-m 部署部署 ads-m 分為數(shù)據(jù)存儲及 portal 兩部分，數(shù)據(jù)存儲部署于內(nèi)網(wǎng)交換機上，portal 的管理 口與數(shù)據(jù)網(wǎng)管防火墻連接，portal 的 e1 口通過數(shù)據(jù)整合交換機接入 m320 對外提供服務。 七、七、內(nèi)網(wǎng)網(wǎng)管部署內(nèi)網(wǎng)網(wǎng)管部署 除 ads-m portal 外所有設備管理口均與本局址的內(nèi)網(wǎng)管理交換機 cisco 3560 相連，菜 市口局址的 cisco3560 通過數(shù)據(jù)網(wǎng)管防火墻接入網(wǎng)管系統(tǒng)，兩臺 cisco 3560 間通過三層路 由通訊。 ads-m portal 管理口

12、與數(shù)據(jù)網(wǎng)管防火墻連接，與管理內(nèi)網(wǎng)的 ads-m data 通訊。 八、八、物理層對接物理層對接 物理連接方式：物理連接方式： 端端 1 描述描述端口類型端口類型 端端 2 描述描述端口類型端口類型連接介質連接介質長度長度備注備注 望京 ads man config 管理 口 1000base-tx 望京 c3560 望京內(nèi) 網(wǎng)網(wǎng)管 交換機 1000base-tx1000base-tm 望京 ads man t1 牽引 回注 接口 xfp-10ge- lx10-sm1310 wj- t640-01 xe-0/2/0 望京 cmnet 核心交 換機 xfp-10g-lr10gbase-lr/lw

13、smf, lc-lc m 望京 ads man t2 牽引 回注 接口 xfp-10ge- lx10-sm1310 wj- t640-02 xe-0/2/0 望京 cmnet 核心交 換機 xfp-10g-lr10gbase-lr/lw smf, lc-lc m 望京 ads man e1 集群 通訊 口 1000base-tx 望京 ads slave a e1 集群通 訊口 1000base-tx1000base-tm 望京 ads man e2 集群 通訊 口 1000base-tx 望京 ads slave b e1 集群通 訊口 1000base-tx1000base-tm 望京 a

14、ds man f1- f4 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 望京 ads slave a f1-f4 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 望京 ads man f5- f8 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 望京 ads slave b f5-f8 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 望京 nta config 管理 口 1000base-tx 望京 c3560 望京內(nèi) 網(wǎng)網(wǎng)管 交換機 1000base

15、-tx1000base-tm 望京 nta ext1 flow 接收 口 1000base-tx 望京 m320-02 fe-1/1/2 望京 cmnet 內(nèi)網(wǎng)業(yè) 務匯聚 1000base-tx1000base-tm 交換機 望京 c3560 互聯(lián) 傳輸 1000base-tx 互聯(lián)傳 輸 1000base-tx1000base-t 菜市口 ads man config 管理 口 1000base-tx 菜市口 c3560 菜市口 內(nèi)網(wǎng)網(wǎng) 管交換 機 1000base-tx1000base-tm 菜市口 ads man t1 牽引 回注 接口 xfp-10ge- lx10-sm1310 csk

16、- t640-01 xe-0/2/0 菜市口 cmnet 核心交 換機 xfp-10g-lr10gbase-lr/lw smf, lc-lc m 菜市口 ads man t2 牽引 回注 接口 xfp-10ge- lx10-sm1310 csk- t640-02 xe-0/2/0 菜市口 cmnet 核心交 換機 xfp-10g-lr10gbase-lr/lw smf, lc-lc m 菜市口 ads man e1 集群 通訊 口 1000base-tx 菜市口 ads slave a e1 集群通 訊口 1000base-tx1000base-tm 菜市口 ads man e2 集群 通訊

17、口 1000base-tx 菜市口 ads slave b e1 集群通 訊口 1000base-tx1000base-tm 菜市口 ads man f1-f4 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 菜市口 ads slave a f1-f4 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 菜市口 ads man f5-f8 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 菜市口 ads slave b f5-f8 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf,

18、 lc-lc m 菜市口 nta config 管理 口 1000base-tx菜市口 c 3560 內(nèi)網(wǎng)網(wǎng) 管交換 機 1000base-tx1000base-tm 菜市口 nta ext1 flow 接收 口 1000base-tx 菜市口 m320-02 fe-1/1/2 菜市口 cmnet 內(nèi)網(wǎng)業(yè) 務匯聚 交換機 1000base-tx1000base-tm 菜市口 ads-m data config 管理 口 1000base-tx菜市口 c 3560 菜市口 內(nèi)網(wǎng)網(wǎng) 管交換 機 1000base-tx1000base-tm 菜市口 ads-m portal config 管理 口

19、1000base-tx 菜市口 fw 菜市口 網(wǎng)管網(wǎng) fw 1000base-tx1000base-tm 菜市口 ads-m portal e1 portal 業(yè)務 接入 1000base-tx 菜市口 c3560 菜市口 整合網(wǎng) 接入 1000base-tx1000base-tm 菜市口 c3560, fa 0/22 數(shù)據(jù) 網(wǎng)管 網(wǎng)接 入 1000base-tx 菜市口數(shù) 據(jù)網(wǎng)管 fw 菜市口 數(shù)據(jù)網(wǎng) 管接入 1000base-tx1000base-tm 菜市口 c3560, fa 整合 網(wǎng)接 入 1000base-tx 菜市口整 合網(wǎng)交換 機 8508- 01 菜市口 整合網(wǎng) 接入交 換機

20、 1000base-tx1000base-tm 菜市口 c3560, fa 整合 網(wǎng)接 入 1000base-tx 菜市口整 合網(wǎng)交換 機 8508- 02 菜市口 整合網(wǎng) 接入交 換機 1000base-tx1000base-tm 菜市口 c3560 fa 0/23 互聯(lián) 傳輸 1000base-tx 互聯(lián)傳 輸 1000base-tx1000base-tm 九、九、設備命名及設備命名及 ip 地址分配地址分配 9.1.設備命名表設備命名表 序號序號名稱名稱描述描述 望京望京 1 bjwj-pb-cmnet- ads-01 ads 集群主設備 2bjwj-pb-cmnet-ads 集群 sl

21、ave a ads-02 3 bjwj-pb-cmnet- ads-03 ads 集群 slave b 4bjwj-pb-cmnet-ntanta 5 bjwj-pb-cmnet- ads-c3560 內(nèi)網(wǎng)網(wǎng)管交換機 菜市口菜市口 1 bjcsk-pb-cmnet- ads-01 ads 集群主設備 2 bjcsk-pb-cmnet- ads-02 ads 集群 slave a 3 bjcsk-pb-cmnet- ads-03 ads 集群 slave b 4 bjcsk-pb-cmnet- nta nta 5 bjcsk-pb-cmnet- adsm-data ads-m 數(shù)據(jù)存儲 6 bjcsk-pb-cmnet- adsm-portal ads-m protal 7 bjcsk-pb-cmnet- ads-c3560 內(nèi)網(wǎng)網(wǎng)管交換機 網(wǎng)絡設備命名表 9.2.ip 地址地址 ip 地址、設備名稱、網(wǎng)卡對照表： 內(nèi)網(wǎng)管理地址在望