华为MA5100MA5103 操作手册02业务配置0113 安全特性配置Word文件下载.docx

1、13.5 设置MAC地址老化时间介绍MAC地址老化时间的配置操作。13.6 配置防MAC地址欺骗功能介绍防MAC地址欺骗功能的配置操作。13.7 配置PITP协议介绍PITP协议的配置操作。13.8 设置802.1p优先级门限介绍802.1p优先级门限的配置操作。13.9 设置流量抑制介绍流量抑制的配置操作。业务描述MA5100以太网业务提供一系列安全特性，有利于运营商提高网络运行的安全。业务规格以太网业务的安全特性包括： 地址绑定 最大MAC地址数 MAC地址老化 防MAC地址欺骗 PITP功能 802.1p功能 流量抑制地址绑定当PVC设置地址绑定后，这条PVC上只有这个地址的数据帧才合法

2、，其他地址的数据包都被认为是非法而丢弃。MAC地址欺骗如果某个ADSL用户将自己的MAC地址修改为与上层设备一致，则LAN板会将该用户端口当作目的端口，导致所有上行到该上层设备的用户不能上网。数据环网如果两条（或多条）ADSL线路接入同一台HUB上，再通过这台HUB接入多个用户，则其中一条ADSL下行数据到达HUB时将从另一条ADSL线路环回上行。上层设备检测到环路后，会将相应的MA5100/MA5103上行VLAN阻塞掉，从而导致该VLAN下所有用户不能上网。环网上行的数据包包含了上层设备源MAC地址，类似于地址欺骗，可以通过源MAC地址过滤功能统一控制。PITP协议系统支持PITP（Pol

3、icy Information Transfer Protocol）协议，通过在PPPoE认证请求报文中携带用户帐号、物理端口号、MAC地址、VPI/VCI等用户信息，提交BRAS设备验证，解决宽带用户的标识问题，实现用户帐号与用户端口的绑定。PITP功能支持两种模式：V模式和P模式，二者互斥。其区别是： V模式是BRAS设备主动发起用户端口查询。 P模式是MA5100设备主动发起用户端口查询。PITP option82功能用来实现用户DHCP请求报文认证，通过在DHCP请求报文中添加物理端口号、MAC地址、VPI/VCI等用户信息，保证合法用户成功获得动态IP。PITP option82解决

4、了DHCP广播过多、DHCP IP耗尽攻击、IP地址欺骗、MAC地址欺骗、用户ID欺骗等安全性问题。802.1p系统支持802.1p优先级功能，对上下行数据包进行调度。在上行方向，报文携带优先级信息发送到对端，由对端设备对报文进行优先级业务调度。上行报文的优先级在PVC建立时由priority参数设置。在下行方向，MA5100设置2个优先级队列，根据优先级门限对下行数据进行调度。优先级门限为4时，系统将把优先级为04的下行数据包放入低优先级队列，将优先级为56的下行数据包放入高优先级队列，当下行发生拥塞时系统根据设置的高低优先级进行业务调度。调度时，系统根据高低优先级队列中的报文比率进行，如高

5、低优先级队列报文比率设置为2：1（如高优先级比率为14，低优先级比率为7，则高低比率为2：1），在某时刻，当高优先级队列中报文为3M，低优先级队列中报文为2M，而带宽只有3M时，系统将根据设置的比率，高优先级队列只能传送2M，丢弃1M；低优先级传送1M，丢弃1M。目的 把用户IP地址和MAC地址绑定到指定的PVC上。规格一条PVC可绑定IP地址或MAC地址，或者两者同时绑定。设置地址绑定的要求： LAN板工作模式不能为GENERAL模式。 PVC的源端和目的端不能同时在LAN板上。 系统最多支持256条PVC对MAC地址进行绑定。 系统最多支持512条PVC对IP地址进行绑定。 一条PVC最多

6、可绑定8个IP地址和8个MAC地址。设置地址绑定后用户接入的限制： 如果只设置了IP地址绑定，则只要用户的IP地址在绑定的范围内，业务就可正常进行； 如果IP地址和MAC地址都设置了绑定关系，则只有IP地址和MAC地址都在绑定范围内的用户的业务才可正常进行； 设置了地址绑定的PVC必须取消绑定后才可进行删除操作。注意事项LAN板工作模式为GENERAL时不支持本命令。举例设置1号PVC绑定IP地址10.11.18.1。huawei（config-LAN-0/12）#bind ip1-8000:1ip address:10.11.18.1 Set ip bind successfully.验证结

7、果使用show bind命令查询地址绑定信息。huawei（config-LAN-0/12）#show bind cid 1Cutline:*: The IP bound is invalid for board version is low.CID Vlan IP address MAC address- - - - -1 1 10.11.18.1 - -相关操作配置地址绑定相关操作如表13-1所示。表13-1 配置地址绑定相关操作列表操作命令MAC地址绑定bind mac 删除地址绑定no bind 设置LAN板 PVC 可学习的最大MAC地址数，防止出现过多的广播以及恶意攻击。系统缺省支

8、持256个MAC地址，最大支持2047个。设置1号PVC可学习到的最大MAC地址数为64。huawei（config-LAN-0/13）#max-mac-countpvc,vlan,all:pvccount1-2047:64 If the max learnable MAC addresses of one PVC to be set less than the learned MAC addresses,some services may be broken.Are you sure to continue?（y/n）n:y Set the max learnable MAC address

9、es of PVC successfully.使用show max-mac-count命令查询最大MAC地址数。huawei（config-LAN-0/13）#show max-mac-count CID VLAN ID Learnable MAC addresses - - - 1 11 64设置最大MAC地址数相关操作如表13-2所示。表13-1 设置最大MAC地址数相关操作列表查询已经学习到的MAC地址数show mac-count 设置MAC地址老化时间阈值，系统将根据时间阈值老化掉不再使用的MAC地址，即从MAC地址表中删除。只有EVMB、MMXV板支持MAC地址老化时间的设置。设置

10、MAC地址老化时间为600秒。huawei（config-LAN-0/3）#mac-ageage（s）10-20000:600 Set the max age of MAC addresses successfully使用show mac-age命令查询MAC地址老化时间。huawei（config-LAN-0/3）#show mac-age MAC address aging time is: 600 seconds.13.6.1 设置工作模式设置MAC地址欺骗时，系统采用的处理方式。防MAC地址欺骗工作模式有三种： common：普通模式，系统过滤掉从异常MAC地址相应端口发过来的数据包。

11、该模式最多支持8个MAC地址过滤。该8个MAC地址可以手动配置，也可以系统自动学习。 enhance：增强模式，系统产生MAC地址异常告警，并去激活相应ADSL端口。该模式下MAC地址不需要配置，系统自动学习获得。 integrated：综合模式，common模式与enhance模式并存。设置防MAC地址欺骗工作模式时需注意： MMXV/EVMB仅支持common模式。 LAND/EVMA（IPDSLAM/IPCASCADE）三种模式都支持。设置防MAC地址欺骗工作模式为普通模式。huawei（config-LAN-0/12）#anti mac-spoofingmode,add,delete:

12、modeworkmodeoff,common,enhance,integrated: common Set successfully.使用show anti mac-spoofing命令查询防MAC地址欺骗工作模式。huawei（config-LAN-0/10）#show anti mac-spoofing Anti MAC spoofing mode: MAC address number : 5 No. MAC address type - - - 1 00-00-00-00-00-09 static 2 00-00-00-00-00-01 static 3 00-00-00-00-00-

13、02 static 4 00-00-00-00-00-03 static 5 00-e0-fc-10-2d-dc dynamic13.6.2 设置MAC地址列表对于上行设备MAC地址，MA5100可以通过自学习获得（动态），也可以进行手工设置（静态）。通过将MAC地址列表与ADSL用户MAC地址进行比较，可以有效防地址欺骗和环网。设置MAC地址仅对common模式有效，Enhance模式下MAC地址设置无效（通过自学习获得）。增加MAC地址00-00-00-00-00-01，当用户仿冒这个地址时，将其数据包过滤掉。huawei（config-LAN-0/10）#anti mac-spoofin

14、gaddmac address00-00-00-00-00-01使用show anti mac-spoofing命令查询MAC地址列表，请参见“13.6.1 设置工作模式”。13.7.1 设置PITP功能开关打开或关闭PITP功能，打开PITP功能时同时设置PITP工作模式。打开PITP功能，同时设置PITP工作模式为pmode模式。huawei（config-LAN-0/12）#pitp switchswitchvmode,pmode,off:pmode Set PITP protocol successfully.使用show pitp命令查询PITP功能是否打开。huawei（confi

15、g-LAN-0/12）#show pitp PITP protocal switch = PMODE PITP option82 = On PITP code type = CNTel13.7.2 设置PITP以太网封装类型PITP采用V模式时，PITP协议的以太网封装类型必须和对端设备相同。设置PITP V模式的以太网封装类型。huawei（config-LAN-0/12）#pitp ethertypeethertype0x1-0xffff:0x1258 Set PITP protocol ethertype successfully.使用show pitp命令查询PITP协议的以太网封装类

16、型。 PITP protocol switch = VMODE PITP protocol ethertype = 0x1258 PITP option82 = On PITP code type = common13.7.3 设置PITP编码格式设置PITP编码格式为common或CNtel格式。设置PITP编码格式为CNtel。huawei（config-LAN-0/12）#pitp code-typetypecommon,cntel:cntel Set PITP code type successfully.使用show pitp命令查询PITP编码格式。 PITP code type

17、= CNtel13.7.4 设置PITP option82功能打开或关闭PITP option82功能。打开PITP option82功能。huawei（config-LAN-0/12）#pitp option82option82on,off:on Set PITP option82 successfully.使用show pitp命令查询PITP option82功能是否打开，请参见“13.7.3 设置PITP编码格式”。设置数据帧优先级别门限。设置802.1p优先级门限时，需注意： LAN板工作模式为GENERAL时不支持本命令。 GMII PAUSE开关与PRIORITY开关同步打开和关

18、闭。 执行该操作前，请先删除当前单板上所有PVC（除IGMP PVC外）。设置802.1p优先级别门限为3。huawei（config-LAN-0/12）#prioritylevel0-6:3low ratio1-15:high ratio2 Set GMII PAUSE on automatically successfully.使用show priority命令查询优先级门限。huawei（config-LAN-0/12）#show priorityLAND board: 802.1p priority status : On 802.1p priority value 3 802.1p

19、low priority ratio 1 802.1p high priority ratio 2设置802.1p优先级别门限相关操作如表13-3所示。表13-1 设置802.1p优先级别门限相关操作列表关闭802.1p功能no priority 系统对LAN板上的广播/未知单播的流量分别加以限制，以便有效地防止未知用户的恶意攻击和由于大量的广播而引起的网络阻塞。系统设置的抑制流量等级有12种，进行抑制流量设置时，抑制流量等级只能从这12种流量等级中选择。可以通过show traffic-suppress命令查询抑制流量等级。设置广播和未知单播的抑制流量索引为1。huawei（config-L

20、AN-0/12）#traffic-suppressbroadcast,unknown-cast,all:alltid1-12: Set traffic suppression of broadcast successfully. Set traffic suppression of unknown-cast successfully.使用show traffic-suppress命令查询流量抑制信息。huawei（config-VDSL-0/12）#show traffic-suppress Traffic suppression ID definition: NO. Min bandwidt

21、h（kbps） Max bandwidth（kbps） Package number（pps） - - - 6.1 145.7 12 2 12.3 291.4 24 324.6 582.9 48 4 49.2 1165.8 95 5 98.3 2331.6 191 6 196.64663.2 382 7 393.2 9326.6 763 8 786.4 18653.1 1526 9 1572.9 37306.3 3052 10 3145.7 74612.7 6104 11 6291.5 149225.4 12207 12 12582.9 298450.9 24414 - Current traffic suppression ID of broadcast Current traffic suppression ID of unknown-cast: