中國移動(dòng)省網(wǎng)異常流量防護(hù)指導(dǎo)方案.doc

知識水壩（豆丁網(wǎng)pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下“知識水壩“ 省網(wǎng)異常流量防護(hù)指導(dǎo)方案省網(wǎng)異常流量防護(hù)指導(dǎo)方案 文檔編號文檔編號 請輸入文檔編號 密級密級 請輸入文檔密級 版本編號版本編號1.1 日期日期2010-06-25 知識水壩（豆丁網(wǎng)pologoogle）為您傾心整理（下載后雙擊刪除） 百度一下“知識水壩“ 目錄目錄 一、項(xiàng)目概述 .1 二、現(xiàn)狀分析 .1 三、設(shè)備部署邏輯拓?fù)? 四、路由策略設(shè)計(jì)3 4.1.牽引路由設(shè)計(jì) .3 4.2.注入路由設(shè)計(jì) .4 五、流量檢測設(shè)計(jì)4 5.1.netflow配置.4 5.2.nta 部署 .5 六、ads-m 部署.5 七、內(nèi)網(wǎng)網(wǎng)管部署5 八、物理層對接 .6 九、設(shè)備命名及 ip 地址分配.9 9.1.設(shè)備命名表 .9 9.2.ip 地址.9 十、路由部署 .11 10.1.牽引路由.11 10.2.注入路由.12 10.2.1 ads 注入路由配置.12 10.2.2 t640 注入路由配置26 十一、部署測試.26 一、一、項(xiàng)目概述項(xiàng)目概述 在全球運(yùn)營商市場競爭日趨激烈的格局下，如何通過優(yōu)質(zhì)的差異化服務(wù)獲得客戶認(rèn)可，在全球運(yùn)營商市場競爭日趨激烈的格局下，如何通過優(yōu)質(zhì)的差異化服務(wù)獲得客戶認(rèn)可， 從而獲得競爭優(yōu)勢、開拓市場空間、擴(kuò)大市場份額，成為運(yùn)營商成功與否的關(guān)鍵。從而獲得競爭優(yōu)勢、開拓市場空間、擴(kuò)大市場份額，成為運(yùn)營商成功與否的關(guān)鍵。 目前，ddos 攻擊已經(jīng)逐漸成為了互聯(lián)網(wǎng)中最常見、危害性最大的攻擊形式之一。 ddos 攻擊不但能夠給各類互聯(lián)網(wǎng)用戶和服務(wù)提供商造成業(yè)務(wù)中斷、系統(tǒng)癱瘓等嚴(yán)重后果， 同時(shí)也嚴(yán)重威脅中國移動(dòng)的基礎(chǔ)設(shè)施。 由于商業(yè)競爭、政治情緒、經(jīng)濟(jì)勒索等因素的驅(qū)動(dòng)，ddos 攻擊越來越呈現(xiàn)出組織化、 規(guī)?；?、專業(yè)化的特點(diǎn)，攻擊流量動(dòng)輒數(shù) g、數(shù)十 g，攻擊頻率也大有愈演愈烈之勢。在這 種緊迫形勢下，配合中國移動(dòng)北京公司當(dāng)前的轉(zhuǎn)型戰(zhàn)略，建設(shè)專門的 ddos 攻擊流量監(jiān)測和 清洗平臺是一個(gè)必然之選?；谠撈脚_，一方面可以為移動(dòng)自身的生產(chǎn)網(wǎng)絡(luò)提供安全保障， 有效提高生產(chǎn)網(wǎng)絡(luò)的健壯性；另一方面能夠結(jié)合移動(dòng)大客戶的安全需求提供 ddos 攻擊的防 護(hù)業(yè)務(wù)，從而達(dá)到保存激增的目的。 此次中國移動(dòng)北京公司網(wǎng)絡(luò)流量監(jiān)測清洗項(xiàng)目建設(shè)目標(biāo)對途經(jīng) cmnet 北京省網(wǎng)核心層 的異常流量（ddos）進(jìn)行流量清洗，同時(shí)不影響或較少影響正常的業(yè)務(wù)運(yùn)營，并根據(jù)異常 情況生成實(shí)時(shí)和時(shí)段的異常報(bào)表。 二、二、現(xiàn)狀分析現(xiàn)狀分析 北京移動(dòng)在 cmnet 網(wǎng)絡(luò)出口改造后，出口兼核心的四臺 t640 路由器分別部署在望京、 菜市口兩個(gè)局址，以口字型互聯(lián)，t640 在兩局址間通過 10g*2 的數(shù)據(jù)傳輸互聯(lián)。 每臺核心路由器均通過一條 10ge 鏈路上連至 cmnet 骨干；每個(gè)局址的自有業(yè)務(wù)通過 本地一對 m320 接入，兩臺 m320 與本地的兩臺 t640 組成口字型結(jié)構(gòu)；四臺 mx960 作為 sr 與望京、菜市口兩個(gè)局址中各一臺 t640 相連，承擔(dān)寬帶及專線用戶的接入。 北京移動(dòng) cmnet 內(nèi)部的互聯(lián)路由及業(yè)務(wù)路由全部通過 igp 承載，在核心層通過 bgp 發(fā)布到 cment 骨干上。 三、三、設(shè)備部署邏輯拓?fù)湓O(shè)備部署邏輯拓?fù)?為增加北京移動(dòng) cmnet 網(wǎng)絡(luò)的抗 ddos 攻擊能力，按照 ddos 防護(hù)基本思路，將防護(hù) 設(shè)備ads 集群部署于靠近出口的位置，考慮到在實(shí)現(xiàn)預(yù)期功能的前提下盡量減小在部署 中對北京移動(dòng)原有網(wǎng)絡(luò)配置的影響，將 ads 集群旁路部署在北京移動(dòng)核心路由器 t640 上， 本項(xiàng)目中共兩組 ads 集群，在望京、菜市口兩個(gè)局址各部署一組，分別與本地兩的兩臺 t640 通過 10ge 鏈路互聯(lián)，通過 ibgp 對進(jìn)入北京移動(dòng)網(wǎng)絡(luò)的流量進(jìn)行牽引過濾，再將清洗 后的流量回送至 t640 后轉(zhuǎn)發(fā)到目標(biāo)網(wǎng)絡(luò)。 為對進(jìn)入北京移動(dòng)的流量進(jìn)行檢測，將兩臺 nta 部署于北京移動(dòng) cmnet 網(wǎng)絡(luò)內(nèi)，通 過 netflow 對網(wǎng)絡(luò)中的特定流量進(jìn)行采樣并進(jìn)行分析，對各種異常流量產(chǎn)生告警，并可根據(jù) 需要通告 ads 集群對異常流量進(jìn)行牽引過濾。 邏輯部署拓?fù)鋱D見下圖： 圖 1.1 北京移動(dòng) cmnet 網(wǎng)絡(luò) ads 部署邏輯拓?fù)?四、四、路由策略設(shè)計(jì)路由策略設(shè)計(jì) ads 在對流量進(jìn)行牽引及回注時(shí)均涉及到路由器上的路由配置變更，以下將對部署過程 中需要的配置進(jìn)行說明。 4.1.牽引路由設(shè)計(jì)牽引路由設(shè)計(jì) 為使異常流量通過 ads 設(shè)備進(jìn)行清洗，需要 ads 通過動(dòng)態(tài)路由協(xié)議將牽引路由發(fā)送到 t640 上，使 t640 將需要牽引的流量送到 ads。 考慮牽引使用的路由協(xié)議需要較強(qiáng)的控制性及網(wǎng)絡(luò)資源的申請及分配問題，使用 ibgp 協(xié)議對 t640 進(jìn)行牽引路由通告。 在 ads 上通過 loopback 地址與核心層四臺 t640 分別建立 ibgp 鄰居關(guān)系； 關(guān)閉 t640 上的 ibgp 路由同步，以使 ibgp 牽引路由有效； 進(jìn)行牽引路由通告時(shí)攜帶 no-advertise 屬性，將牽引路由限制在核心層，避免對北京 移動(dòng)原有網(wǎng)絡(luò)產(chǎn)生不必要的影響 由于 ads 在清洗過程中需要與客戶進(jìn)行通訊以便驗(yàn)證客戶訪問的合法性，即客戶 a 訪 問被保護(hù)業(yè)務(wù) x 時(shí)的流量在牽引后始終要經(jīng)過同一組 ads 清洗設(shè)備；現(xiàn)網(wǎng)中考慮路由改造、 維護(hù)及鏈路利用率等因素，回城路由采用基于等價(jià)路由的負(fù)載均衡設(shè)計(jì)，為保證 ads 在現(xiàn) 網(wǎng)環(huán)境中可正常工作，對每個(gè)目標(biāo) ip 僅由一組 ads 通告牽引路由，以保證各客戶端到達(dá)目 標(biāo) ip 的流量由同一組 ads 處理。 4.2.注入路由設(shè)計(jì)注入路由設(shè)計(jì) 在 ads 對流量進(jìn)行清洗后需要回送到 t640 上，為避免 ads 回注的清潔流量受牽引路 由影響再次被牽引形成路由環(huán)路，需保證回注流量在 t640 上路由或轉(zhuǎn)發(fā)時(shí)使用優(yōu)先級高于 全局路由表的路由或轉(zhuǎn)發(fā)策略。 可通過在 t640 的回注子接口上設(shè)置路由轉(zhuǎn)發(fā)策略，僅根據(jù) igp 表項(xiàng)進(jìn)行路由轉(zhuǎn)發(fā)，保 證 t640 可將清洗后的流量繼續(xù)轉(zhuǎn)發(fā)到下一層路由器（m320、mx960），避免 ads 的注入 流量受牽引路由影響再次被牽引清洗。 由于 t640 處理 ads 回注流量時(shí)根據(jù) igp 表項(xiàng)進(jìn)行路由轉(zhuǎn)發(fā)，需保證 ads 回注流量送 達(dá)的路由器上目標(biāo) ip 的 igp 路由直接指向下一層路由器，即要求 ads 根據(jù)目標(biāo) ip 的分布 情況將流量回注到正確的 t640 上。 五、五、流量檢測設(shè)計(jì)流量檢測設(shè)計(jì) 為對北京移動(dòng) cmnet 的流量進(jìn)行監(jiān)控檢測是否流量有異常情況，可在 t640 的上聯(lián)口 上開啟 flow 采樣，對由 cmnet 骨干進(jìn)入城域網(wǎng)的流量進(jìn)行檢測。 5.1.netflow 配置配置 在核心路由器 t640 上配置 netflow 采樣對由 cmnet 骨干進(jìn)入城域網(wǎng)的流量進(jìn)行采樣，將 flow 發(fā)送到兩臺 nta 供檢測分析?？紤]到采樣的效率和檢測效果，建議采用 1:1000 的采樣 比率。 5.2.nta 部署部署 本項(xiàng)目中共有兩臺 nta 對流量進(jìn)行采樣分析，兩臺 nta 以主備方式工作，同時(shí)接收 flow 數(shù)據(jù)，由主 nta 對流量進(jìn)行分析，如需配合 ads 自動(dòng)牽引也由主 nta 向 ads 進(jìn)行 通告。 六、六、ads-m 部署部署 ads-m 分為數(shù)據(jù)存儲及 portal 兩部分，數(shù)據(jù)存儲部署于內(nèi)網(wǎng)交換機(jī)上，portal 的管理 口與數(shù)據(jù)網(wǎng)管防火墻連接，portal 的 e1 口通過數(shù)據(jù)整合交換機(jī)接入 m320 對外提供服務(wù)。 七、七、內(nèi)網(wǎng)網(wǎng)管部署內(nèi)網(wǎng)網(wǎng)管部署 除 ads-m portal 外所有設(shè)備管理口均與本局址的內(nèi)網(wǎng)管理交換機(jī) cisco 3560 相連，菜 市口局址的 cisco3560 通過數(shù)據(jù)網(wǎng)管防火墻接入網(wǎng)管系統(tǒng)，兩臺 cisco 3560 間通過三層路 由通訊。 ads-m portal 管理口與數(shù)據(jù)網(wǎng)管防火墻連接，與管理內(nèi)網(wǎng)的 ads-m data 通訊。 八、八、物理層對接物理層對接 物理連接方式：物理連接方式： 端端 1 描述描述端口類型端口類型 端端 2 描述描述端口類型端口類型連接介質(zhì)連接介質(zhì)長度長度備注備注 望京 ads man config 管理 口 1000base-tx 望京 c3560 望京內(nèi) 網(wǎng)網(wǎng)管 交換機(jī) 1000base-tx1000base-tm 望京 ads man t1 牽引 回注 接口 xfp-10ge- lx10-sm1310 wj- t640-01 xe-0/2/0 望京 cmnet 核心交 換機(jī) xfp-10g-lr10gbase-lr/lw smf, lc-lc m 望京 ads man t2 牽引 回注 接口 xfp-10ge- lx10-sm1310 wj- t640-02 xe-0/2/0 望京 cmnet 核心交 換機(jī) xfp-10g-lr10gbase-lr/lw smf, lc-lc m 望京 ads man e1 集群 通訊 口 1000base-tx 望京 ads slave a e1 集群通 訊口 1000base-tx1000base-tm 望京 ads man e2 集群 通訊 口 1000base-tx 望京 ads slave b e1 集群通 訊口 1000base-tx1000base-tm 望京 ads man f1- f4 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 望京 ads slave a f1-f4 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 望京 ads man f5- f8 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 望京 ads slave b f5-f8 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 望京 nta config 管理 口 1000base-tx 望京 c3560 望京內(nèi) 網(wǎng)網(wǎng)管 交換機(jī) 1000base-tx1000base-tm 望京 nta ext1 flow 接收 口 1000base-tx 望京 m320-02 fe-1/1/2 望京 cmnet 內(nèi)網(wǎng)業(yè) 務(wù)匯聚 1000base-tx1000base-tm 交換機(jī) 望京 c3560 互聯(lián) 傳輸 1000base-tx 互聯(lián)傳 輸 1000base-tx1000base-t 菜市口 ads man config 管理 口 1000base-tx 菜市口 c3560 菜市口 內(nèi)網(wǎng)網(wǎng) 管交換 機(jī) 1000base-tx1000base-tm 菜市口 ads man t1 牽引 回注 接口 xfp-10ge- lx10-sm1310 csk- t640-01 xe-0/2/0 菜市口 cmnet 核心交 換機(jī) xfp-10g-lr10gbase-lr/lw smf, lc-lc m 菜市口 ads man t2 牽引 回注 接口 xfp-10ge- lx10-sm1310 csk- t640-02 xe-0/2/0 菜市口 cmnet 核心交 換機(jī) xfp-10g-lr10gbase-lr/lw smf, lc-lc m 菜市口 ads man e1 集群 通訊 口 1000base-tx 菜市口 ads slave a e1 集群通 訊口 1000base-tx1000base-tm 菜市口 ads man e2 集群 通訊 口 1000base-tx 菜市口 ads slave b e1 集群通 訊口 1000base-tx1000base-tm 菜市口 ads man f1-f4 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 菜市口 ads slave a f1-f4 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 菜市口 ads man f5-f8 集群 數(shù)據(jù) 通道 sfp-ge- sx550-mm850 菜市口 ads slave b f5-f8 集群數(shù) 據(jù)通道 sfp-ge- sx550- mm850 1000base-sx mmf, lc-lc m 菜市口 nta config 管理 口 1000base-tx菜市口 c 3560 內(nèi)網(wǎng)網(wǎng) 管交換 機(jī) 1000base-tx1000base-tm 菜市口 nta ext1 flow 接收 口 1000base-tx 菜市口 m320-02 fe-1/1/2 菜市口 cmnet 內(nèi)網(wǎng)業(yè) 務(wù)匯聚 交換機(jī) 1000base-tx1000base-tm 菜市口 ads-m data config 管理 口 1000base-tx菜市口 c 3560 菜市口 內(nèi)網(wǎng)網(wǎng) 管交換 機(jī) 1000base-tx1000base-tm 菜市口 ads-m portal config 管理 口 1000base-tx 菜市口 fw 菜市口 網(wǎng)管網(wǎng) fw 1000base-tx1000base-tm 菜市口 ads-m portal e1 portal 業(yè)務(wù) 接入 1000base-tx 菜市口 c3560 菜市口 整合網(wǎng) 接入 1000base-tx1000base-tm 菜市口 c3560, fa 0/22 數(shù)據(jù) 網(wǎng)管 網(wǎng)接 入 1000base-tx 菜市口數(shù) 據(jù)網(wǎng)管 fw 菜市口 數(shù)據(jù)網(wǎng) 管接入 1000base-tx1000base-tm 菜市口 c3560, fa 整合 網(wǎng)接 入 1000base-tx 菜市口整 合網(wǎng)交換 機(jī) 8508- 01 菜市口 整合網(wǎng) 接入交 換機(jī) 1000base-tx1000base-tm 菜市口 c3560, fa 整合 網(wǎng)接 入 1000base-tx 菜市口整 合網(wǎng)交換 機(jī) 8508- 02 菜市口 整合網(wǎng) 接入交 換機(jī) 1000base-tx1000base-tm 菜市口 c3560 fa 0/23 互聯(lián) 傳輸 1000base-tx 互聯(lián)傳 輸 1000base-tx1000base-tm 九、九、設(shè)備命名及設(shè)備命名及 ip 地址分配地址分配 9.1.設(shè)備命名表設(shè)備命名表 序號序號名稱名稱描述描述 望京望京 1 bjwj-pb-cmnet- ads-01 ads 集群主設(shè)備 2bjwj-pb-cmnet-ads 集群 slave a ads-02 3 bjwj-pb-cmnet- ads-03 ads 集群 slave b 4bjwj-pb-cmnet-ntanta 5 bjwj-pb-cmnet- ads-c3560 內(nèi)網(wǎng)網(wǎng)管交換機(jī) 菜市口菜市口 1 bjcsk-pb-cmnet- ads-01 ads 集群主設(shè)備 2 bjcsk-pb-cmnet- ads-02 ads 集群 slave a 3 bjcsk-pb-cmnet- ads-03 ads 集群 slave b 4 bjcsk-pb-cmnet- nta nta 5 bjcsk-pb-cmnet- adsm-data ads-m 數(shù)據(jù)存儲 6 bjcsk-pb-cmnet- adsm-portal ads-m protal 7 bjcsk-pb-cmnet- ads-c3560 內(nèi)網(wǎng)網(wǎng)管交換機(jī) 網(wǎng)絡(luò)設(shè)備命名表 9.2.ip 地址地址 ip 地址、設(shè)備名稱、網(wǎng)卡對照表： 內(nèi)網(wǎng)管理地址在