Configuração e uso da detecção de fluxo

A detecção de fluxo de proteção contra DDoS considera um fluxo monitorado um fluxo suspeito sempre que o fluxo excede sua largura de banda permitida, com base em um teste bruto que elimina obviamente bons fluxos de consideração. Um exame mais aprofundado de um fluxo suspeito exige que o fluxo permaneça em violação da largura de banda por um período de tempo antes que a detecção de fluxo considere que é um fluxo culpado contra o qual deve agir. Você pode incluir a flow-detect-time declaração para configurar a duração desse período de detecção ou pode confiar no período padrão de três segundos.

O gerenciamento aprimorado de assinantes oferece suporte à detecção de fluxo para proteção contra DDoS conforme o Junos OS Release 17.3R1.

Para especificar quanto tempo um fluxo deve estar em violação antes que a detecção de fluxo declare que ele é um fluxo culpado:

• Definir o período de detecção.

  Por exemplo, inclua a seguinte declaração para exigir que o DHCPv4 descubra que o fluxo de pacotes esteja em violação de sua largura de banda permitida por 30 segundos antes de ser considerado um fluxo culpado:

Depois que a detecção de fluxo de proteção contra DDoS identificou um fluxo suspeito como um fluxo culpado, ele tem que determinar quando esse fluxo não representa mais uma ameaça para o roteador. Quando a taxa de fluxo de tráfego cai de volta para dentro da largura de banda permitida, a taxa deve permanecer dentro da largura de banda por um período de recuperação. Só então a detecção de fluxo considera o fluxo normal e interrompe a ação de manuseio de tráfego decretada contra o fluxo culpado. Você pode incluir a flow-recover-time declaração para configurar a duração deste período de recuperação ou pode confiar no período padrão de 60 segundos.

Para especificar quanto tempo um fluxo deve estar dentro de sua largura de banda permitida após uma violação antes que a detecção de fluxo declare que ele é um fluxo normal:

• Definir o período de recuperação.

  Por exemplo, inclua a seguinte declaração para exigir que o DHCPv4 descubra que o fluxo de pacotes deve estar em recuperação por cinco minutos (300 segundos):

Quando a detecção de fluxo de proteção contra DDoS identifica um fluxo suspeito como um fluxo culpado, por padrão ele suprime o tráfego para esse fluxo enquanto o fluxo de tráfego exceder o limite de largura de banda. A supressão para e o fluxo é removido da tabela de fluxo quando o tempo desde a última violação pelo fluxo é maior do que o período de recuperação.

Como alternativa, você pode incluir a timeout-active-flows declaração para permitir a detecção de fluxo para suprimir um fluxo culpado por um período de tempo limite configurável. Quando o período de intervalo expira, a supressão para e o fluxo é removido da tabela de fluxo. Você pode incluir a flow-timeout-time declaração para configurar a duração do período de intervalo ou confiar no tempo limite padrão de 300 segundos.

Para permitir que a detecção de fluxo suprime um fluxo culpado por um período de tempo limite:

Quando a detecção de fluxo é ativada, os fluxos de tráfego são monitorados por padrão para todos os grupos de protocolo e tipos de pacotes. Quando uma violação do policial ocorre, cada fluxo suspeito é analisado para determinar se foi o fluxo culpado que causou a violação. Você pode incluir a flow-level-detection declaração para configurar como a detecção de fluxo funciona em cada nível de agregação de fluxo para um tipo de pacote: assinante, interface lógica ou interface física.

Como a detecção de fluxo no grupo de protocolo e no nível de pacote, a detecção de fluxo no nível de agregação de fluxo oferece suporte a três modos:

• automático — Quando um policial de proteção contra DDoS de plano de controle é violado, os fluxos de tráfego neste nível de agregação de fluxo são monitorados por comportamento suspeito apenas até que a detecção de fluxo determine que o fluxo suspeito não está neste nível de agregação e, em vez disso, deve estar em um nível mais grosseiro de agregação. Os fluxos neste nível não são posteriormente revistados novamente até que o policial não seja mais violado no nível mais grosseiro.

• off — os fluxos de tráfego nunca são monitorados nesse nível de agregação de fluxo.

• on — Os fluxos de tráfego neste nível de agregação de fluxo são monitorados para fluxos suspeitos, mesmo quando nenhum policial de proteção contra DDoS está sendo violado no momento, se a detecção de fluxo no nível de pacote estiver configurada para on. O monitoramento continua neste nível, independentemente de um fluxo suspeito ser identificado neste nível. No entanto, se o modo de nível de pacote for automatic, o policial deve estar em violação para que os fluxos de tráfego sejam verificados neste nível.

Os fluxos são analisados primeiro no nível de agregação de fluxo de melhor granulado (menor largura de banda), assinante. Se o fluxo suspeito não for encontrado no nível do assinante, os fluxos serão verificados no nível de interface lógica. Por fim, se o suspeito não for encontrado lá, os fluxos serão verificados no nível da interface física; com exceção de alguma configuração incorreta, o fluxo culpado deve ser encontrado neste nível.

Para configurar como a detecção de fluxo opera em cada nível de agregação de fluxo:

Quando a detecção de fluxo é habilitada, todo o tráfego em um fluxo culpado é descartado por padrão para todos os grupos de protocolo e tipos de pacotes e em todos os níveis de agregação de fluxo. Você pode incluir a flow-level-control declaração para configurar a detecção de fluxo para controlar o tráfego de forma diferente para tipos de pacotes individuais. Você precisa especificar o comportamento de controle em um determinado nível de agregação de fluxo: assinante, interface lógica ou interface física.

Você pode configurar o controle de fluxo de detecção de fluxo para empregar um dos seguintes modos para um tipo de pacote:

• Solte todo o tráfego — Configure o controle de fluxo para soltar todo o tráfego quando você acha que o fluxo que está violando um limite de largura de banda é malicioso. Esse comportamento é o padrão em todos os níveis de agregação de fluxo.

• Tráfego policial — Configure o controle de fluxo para policiar um fluxo que está violando a largura de banda, forçando a taxa abaixo do limite de largura de banda. O controle de fluxo funciona como um simples policiador neste caso.

• Mantenha todo o tráfego — Configure o controle de fluxo para manter todo o tráfego, independentemente de o fluxo estar em violação ou abaixo do limite de largura de banda. Esse modo é útil quando você precisa depurar o fluxo de tráfego para sua rede.

O modo de controle de fluxo permite uma grande flexibilidade na forma como você gerencia o tráfego de controle em sua rede. Por exemplo, se você só quiser garantir que os fluxos de controle para um tipo de pacote em todos os níveis de agregação estejam dentro de seus limites, você pode configurar o controle de fluxo para policiar o tráfego em cada nível. Ou se você quiser detectar fluxos culpados e suprimi-los em um nível, mas apenas restringir o tráfego para a largura de banda permitida em outro nível, você pode configurar um nível para derrubar todo o tráfego e o outro para o tráfego policial.

Para configurar como a detecção de fluxo controla o tráfego em um fluxo culpado:

Por padrão, a detecção de fluxo é desativada para todos os grupos de protocolo e tipos de pacotes. Você deve habilitar a detecção de fluxo globalmente, incluindo a flow-detection declaração. Se posteriormente desabilitar a detecção de fluxo para tipos de pacotes individuais, não poderá usar essa declaração global para substituir todas essas configurações individuais; você deve habilitar novamente a detecção no nível de configuração de pacotes.

Para permitir a detecção de fluxos globalmente:

• Definir a detecção de fluxo.

Quando a detecção de fluxo confirma que um fluxo suspeito que está rastreando em uma placa de linha é de fato um fluxo culpado, ele envia um relatório para o Mecanismo de Roteamento. A detecção de fluxo também relata cada fluxo culpado que, posteriormente, se recupera dentro da largura de banda permitida ou é liberada. Você pode incluir a flow-report-rate declaração para limitar quantos fluxos por segundo em cada placa de linha podem ser relatados. Os eventos de fluxo culpados são relatados para todos os grupos de protocolo e tipos de pacotes por padrão. Quando muitos fluxos são relatados, o congestionamento pode ocorrer no caminho de host para o fluxo do Mecanismo de Roteamento.

Para configurar globalmente a taxa máxima de relatório para fluxos culpados:

• Definir a taxa de relatórios.

Por padrão, a detecção de fluxo relata ao Mecanismo de Roteamento todas as violações da largura de banda no FPC para todos os grupos de protocolo e tipos de pacotes. Você pode incluir a violation-report-rate declaração para limitar quantas violações por segundo os relatórios de detecção de fluxo das placas de linha, reduzindo assim a carga no roteador. Recomendamos que você configure uma taxa de relatório adequada para sua rede em vez de depender do valor padrão.

Para configurar globalmente a taxa máxima de relatórios de violação de largura de banda:

• Definir a taxa de relatórios.

Por padrão, a detecção de fluxo registra automaticamente eventos de violação do policiamento associados a fluxos suspeitos (relatórios de violação) e eventos de fluxo culpados (relatórios de fluxo) para todos os grupos de protocolo e tipos de pacotes. Você pode incluir a declaração para evitar o no-flow-logging registro automático de eventos de fluxo culpados para tipos de pacotes individuais. O registro automático de eventos suspeitos de violação de fluxo é desativado com a disable-logging declaração no nível de [edit system ddos-protection global hierarquia.

Para desativar o registro automático de eventos de fluxo culpado para um tipo de pacote:

• Desabilitar o registro.

Para desativar o registro automático de eventos de violação de fluxo suspeito para um tipo de pacote:

• Desabilitar o registro.

Por exemplo, inclua a seguinte declaração para desabilitar o registro automático para fluxos de pacotes DISCOVER DHCPv4:

Você pode incluir a flow-level-bandwidth declaração para configurar a largura de banda máxima aceitável para fluxos de tráfego para tipos de pacotes individuais. Você precisa especificar o comportamento da largura de banda em um determinado nível de agregação de fluxo: assinante, interface lógica ou interface física. Recomendamos que você ajuste os valores de largura de banda para sua rede em vez de confiar nos padrões.

Para configurar a largura de banda máxima para fluxos de tráfego em cada nível de agregação de fluxo: