ATIC设备安装及系统部署指南Word格式.docx
《ATIC设备安装及系统部署指南Word格式.docx》由会员分享,可在线阅读,更多相关《ATIC设备安装及系统部署指南Word格式.docx(14页珍藏版)》请在冰点文库上搜索。
举例:
[AntiDDoS8000-GigabitEtherne11Z0/6Jdisthis10:
50:
052013/05/22
ft
:
interfaceGigabitEthern巳
undoshutdown
ipaddressG.6.6.2255.255.255.0
tpa£
fic-policp245inbound
anti-ddoscleanenable
•antirWosflow-statisticenable
tt
return
[AntiDDoS8000-GigabitEthei*ne11Z0/&
]
指定检测或清洗业务板
[undo]firewallddos{detect-spu|clean-spu}slotslot-id
缺省情况下,业务板类型为防火墙业务板。
firewallddos{detect-spu|clean-spu}slotslot-id命令用来指定业务板为检测业务板或清洗业务板。
undofirewallddos{detect-spu|clean-spu}slotslot-id命令用来取消业务板上指定的检测或清洗类型,业务板类型恢复为防火墙业务板
配置完此命令后,需要重启业务板,功能才生效,否则不生效。
举例:
<
AntiDDoS8000>
systen)-uiew
10:
58:
322013/05/22
Entepsystemuiew,returnuseruiewwithCtrl+Z.[flntiDDoSS000Jfirewallddosclean-spuslot1
配置接口为清洗口或检测口
[undo]anti-ddos{clean|detect}enable
anti-ddos{clean|detect}enable命令用来指定接口为清洗或检测口。
undoanti-ddos{clean|detect}enable命令用来取消业接口上指定的DDoS类型。
缺省情况下,接口类型为转发口,即从转发口接收的流量直接上送到防火墙业务板处理。
EAnt1DD0S8000-GigabitEthei*netl/0/&
Jdisthis10:
检测设备接口管理流量使能(可选)
•命令行
[undo]anti-ddosdetect-devicemanage-portenable
检测设备默认对进入的流量检测完毕作丢弃处理,必须把管理流量通过管理口区别开来,在与ATIC进行交互的接口下配置该命令。
anti-ddosdetect-devicemanage-portenable命令用于使能检测设备基于接口的管理流量功能。
undoanti-ddosdetect-devicemanage-portenable命令用于关闭检测设备基于接口的管理流量功能。
默认为关闭使能。
首包丢弃原理
•原理和应用场景
原有的基于源探测的防御方法,会引起上行链路压力太大,即:
LG的下行攻击流量,会造成2G上行探测流量,从而对整个网络,或者客户链路造成压力,甚至引起反射攻击。
首包丢弃作为系统初级信誉用于防御流程,利用TCP协议或应用协议重传的特点,丢弃当前源的第—个报文,等该源的第二个报文在指定时间范围内到达即可认为通过信誉检查,进入后续源认证防御流程;
否则丢弃。
•缺陷
对于正常应用,首包丢弃+源探测,典型的正常源需要9S才能连接到服务起上。
因为正常的重传时间是3s。
为此,需要增加信誉机制,在静态引流的场景下,对于源的行为进行检查,把符合行为的源加入白名单,这样,这些源在发生攻击时就不会受到影响。
首包丢弃配置(可选)
•系统视图、大客户视图下,命令行:
[Eudemon]anti-ddosfirst-packet-check[interval{[lower-limitlower-value]|[upper-limitupper-value]}*]
lower-limit^DUpper-limit的意思是指:
重传包和首包的时间差必须落入lower-limit和Upper-limit界定的时间范围内,才算通过信誉检查,否则丢弃;
lower・limit默认为0,Upper-limit默认为6
系统视图用于接口下得首包检查,大客户视图用于大客户下的精细化防范。
・配置说明
首包丢弃开启后,会在synfloodssyn-ackfloodsackfloodsfinfloodsDNSReplyfloodsDNSRequestflood源认证流程之前进行。
可以单独的配置首报的时间定义,从而在发生攻击时进行调整,避免清洗效果较差或影响正常业务的情况发生。
[undo]firewallddosbgp-next-hop{ip\ipv6ipv6}
・操作说明
firewallddosbgp-next-hop命令用于配置主机路由使用的下一跳。
清洗设备会根据此命令指定的下一跳生成一个主机路由,然后通过EBGP发布到核心路由器,从而改变核心路由器的路由选择,达到引流的目的。
undofirewallddosbgp-next-hop命令用于取消主机路由使用的下一跳。
下一跳地址的配置与引流回注的方式相关,例如,若使用静态路由回注,
则需要将下一条配置成对端的回注接口的IP。
BGP引流时配置下一跳是否进行FIB过滤
[undo]firewallddosbgp-next-hopfib-filter
•使用场景:
存在多条回注链路时,并不能简单的使用清洗设备上的这条静态路由实现流量的回注。
此时需要过滤清洗设备生成的这条静态路由,使其不下发到FIB表中,不能影响回注流量,同时配置其他回注策略,将流量送回原链路。
firewallddosbgp-next-hopfib-filter命令用于在清洗设备启动FIB过滤开关,即对于利用下
—跳生成的主机路由不进行下发路由表的操作。
undofirewallddosbgp-next-hopfib-filter命令用于取消FIB过滤开关。
在配置此命令时,要确认当前系统尚未配置任何引流策略,如果已经配置,需要首先将取消所有引流策略。
FIB过滤的作用在于,BGP引流,多个接口回注时,引流路由只用于BGP发布,不会在本地指导转发。
如BGP引流,策略路由回注或MPLSVPN/MPLSLSP回注,就需要配置FIB过滤。
•对于通过BGP发布的引流路由,需要注意在路由器侧配置相应路
由过滤策略,将从清洗设备学习到的BGP路由限定在一定范围,避免扩散到全网,否则可能引起全网路由环路。
ATIC安装准备
•检查硬件配置
/CPU要求至少双核,内存至少4G,硬盘至少lOOGo
/建议磁盘分为C、D两个分区,C区安装操作系统,D区安装ATICo
•检查操作系统
(32bit)
(64bit)
/WindowsServer2003R2StandardwithSP2
/WindowsServer2008R2StandardwithSP1
需要检查相关端
•检查网络配置
/ATIC和NIP设备之间路由可达,如果有防火墙,
口是否开通。
/只能配置IPV4的地址。
•检查设备配置
/ATIC只支持单向下发策略,不能从设备读取已经配置的策略,所以,请先清空设备上的防护对象及其策略,通过ATIC进行配置下发。
注意事项:
/Windows操作系统的“区域和语言选项”必须是中文或英文,并且安装后不能修改。
/安装路径只能包含字母、数字、下划线,不能包含空格、括号、中文字符等其他字符。
/安装前要调整好服务器和设备的时间,保持一致并且和准确,安装后如果需要调整ATIC服务器的时间,需要重启服务器。
建议Anti-DDoS设备和ATIC服务器都配置NTP和统一的时间服务器同步。
/ATIC提供Mysql静默安装。
如果系统之前安装过Mysql,请关闭该服务,并把启动模式设置为“手动”O
/安装完成后,提示安装安全加固。
安全加固的安装指南请参考vsm_secharden力p包里提供的说明文档。
ATIC安装规划
•集中式安装
>适合设备数量比较少或防护的ip数量比较少的场景。
要求高端设备小于等于2台。
•分布式安装
>适合设备数量比较多的场景,采集器分布式安装在不同的服务器上,每个采集器可以关联不多于2台高端设备。
>推荐每个采集器对应一台高端设备。
>分布式安装要求管理中心和采集器、采集器和设备、管理中心和设备之间的链路互通。
>最多支持20台采集器分布式部署。
第一步:
启动安装
1、使用Administrator登录操作系统,关闭所有正在运行程序;
2s运行安装光盘或安装软件包中的install.
exe文件,启动安装程序
安装ATIC
第二步:
选择安装组件(全部选中)
5Anti-DDoS参数
8确认汇总佶息
上一步(E)]
卞二步迪
取消
(2)
第三步:
检测系统环境
检查HTTP、HTTPS端口是否被占用。
如端口已经被其他程序使用,将提示“被占用”o此时可以选择修改ATIC的端口或者释放被系统其他应用程序占用的端口。
第四步:
配置安装目录和固定的IP地址
第五步:
配置采集器参数
第七步:
安装信息汇总
安装ATIC
•开始安装
•安装完成,选择是否立即启动
提示
匕】ATIC软件安装成功。
如需对物理服务器的操作系统和数据库进行安全加固,请阅读并依胆《安装指南》手册进行操作。
団立即启动ATIG软件。
匚jeE!
验证安装正确性
选择“开始〉控制面板>
管理工具>
服务”o
确认以下服务是否存在,并且已经启动。
1、采集器服务
^ArLti-DDciSCollector
・・・・
MonitccrE...
Anti-DDoSCollectorMon...己启話
自动
■本地茶统」
JArLti-DDoSCollector
Service
Anti-DDoSCollectorSer.
已启动
手动
本地系绒
、Web服务
iLEGOMonitor
C・•…・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・—・・・・・・・・・・・・,
LegoMonitorService.
李地粥」
iLECTService
LegoService・
本地系统
iLEGOWebSrv
LegoWebService.
、数据库服务
^mysqlservice
已启动自动
本地系统1
•如果服务存在并且已经启动,说明安装正确。
・如果服务存在但是没有启动,请右键单击该服务,在弹出的快捷菜单中选择“启动”。
•如果服务不存在,请卸载重新安装。
•在安装ATIC的服务器上启动E,输入http:
//127.0.0.1:
8080,出现登录界面,说明系统安装正确。
ATIC
语言;
简体中文