Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

示例:配置单播 RPF(在交换机上)

此示例说明如何通过配置单播 RPF 过滤传入流量,帮助保护入口接口免遭拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 攻击。

要求

此示例使用两台 EX8200 交换机。在 EX3200 和 EX4200 交换机上,您无法为单播 RPF 配置单独的接口 – 交换机将单播 RPF 全局应用于交换机上的所有接口。

  • EX 系列交换机的 Junos OS 10.1 或更高版本

  • 两台 EX8200 交换机

开始之前,请确保您已:

  • 通过对称路由接口连接这两台交换机。

  • 确保要配置单播 RPF 的接口对称路由。

  • 在 EX8200、EX6200、QFX 系列交换机或 OCX 系列交换机上,请确保在启用单播 RPF 之前对选交换机接口进行对称路由。对称路由接口是一个在源与目标之间双向使用相同路由的接口。不要在非对称路由接口上启用单播 RPF。非对称路由接口使用不同路径在源与目标之间发送和接收数据包。

  • 在 EX3200、EX4200 或 EX4300 交换机上,请确保在接口上启用单播 RPF 之前 ,所有 交换机接口均进行对称路由。当您在任何接口上启用单播 RPF 时,所有交换机接口上均可全局启用。不要在非对称路由接口上启用单播 RPF。非对称路由接口使用不同路径在源与目标之间发送和接收数据包。

概述和拓扑

在此示例中,企业网络的系统管理员希望保护交换机 A 免受来自互联网的潜在 DoS 和 DDoS 攻击。管理员在交换机 A 上配置接口 ge-1/0/10 上的单播 RPF。从交换机 B 源到达接口 ge-1/0/10 的数据包也使用传入接口 ge-1/0/10 作为将数据包发送回源的最佳回路路径。

此配置示例的拓扑使用两个 EX8200 交换机(交换机 A 和交换机 B)通过对称路由接口连接:

  • 交换机 A 处于企业网络的边缘。交换机上的接口 ge-1/0/10 连接到交换机 B 上的接口 ge-1/0/5

  • 交换机 B 位于服务提供商网络的边缘,用于将企业网络连接到互联网。

拓扑

配置

要启用单播 RPF,请执行以下任务:

程序

CLI 快速配置

要在交换机 A 上快速配置单播 RPF,请复制以下命令并将其粘贴到交换机终端窗口中:

逐步过程

要在交换机 A 上配置单播 RPF:

  1. 在接口 ge-1/0/10 上启用单播 RPF:

结果

检查结果:

禁用单播 RPF

程序

逐步过程

验证

单播反向路径转发 (RPF) 可以帮助保护 LAN 免受不可信接口上的拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 攻击。单播 RPF 过滤信息流,其源地址不使用传入接口作为返回源的最佳回路路径。如果网络配置发生变化,使已启用单播 RPF 的接口成为可信接口或变得非对称路由(接收数据包的接口不是数据包源的最佳回路路径),则禁用单播 RPF。

要禁用 EX3200、EX4200 或 EX4300 交换机上的单播 RPF,必须从显式配置的每个接口中删除。如果不禁用显式启用的每个接口上的单播 RPF,则所有接口上仍然默示启用。如果尝试从未显式启用的接口中删除单播 RPF,则将显示消息 warning: statement not found 。如果您未禁用显式启用的每个接口上的单播 RPF,则在 EX3200、EX4200 或 EX4300 交换机的所有接口上仍然默示启用单播 RPF。

在 EX8200、EX6200、QFX 系列交换机和 OCX 系列交换机上,除非您明确为单播 RPF 启用该接口,否则交换机不会将单播 RPF 应用于接口。

要禁用单播 RPF,请从接口中删除其配置:

[编辑接口]user@switch# delete ge-1/0/10 unit 0 family inet rpf-check

验证交换机上是否启用了单播 RPF

目的

验证单播 RPF 是否启用并在接口上工作。

行动

使用其中一个 show interfaces interface-name 命令和 广泛的详细 选项来验证是否已启用单播 RPF 并在交换机上工作。下面的示例显示命令的 show interfaces ge- extensive 输出。

意义

命令 show interfaces ge-1/0/10 extensive (和 show interfaces ge-1/0/10 detail 命令)显示有关接口的深入信息。 标志: 显示屏底部附近的输出字段报告单播 RPF 状态。如果未启用单播 RPF,则不显示 uRPF 标志。

在 EX3200 和 EX4200 交换机上, 您在单个接口上启用单播 RPF 时,将默示启用单播 RPF,包括聚合以太网接口(也称为链路聚合组或 LAG)和路由的 VLAN 接口 (RVI)。但是,单播 RPF 状态仅显示为在已显式配置单播 RPF 的接口上启用。因此,即使 EX3200 和 EX4200 交换机上的所有接口都默示启用了单播 RPF,您也没有在未显式配置单播 RPF 的接口上显示 uRPF 标记。

单播 RPF 故障排除

合法数据包将被丢弃

问题

交换机过滤来自合法来源的有效数据包,从而导致交换机丢弃应转发的数据包。

解决 方案

丢弃合法数据包的接口或接口是非对称路由接口。非对称路由接口使用不同路径在源与目标之间发送和接收数据包,因此接收数据包的接口与交换机对数据包源的回复使用的接口并不相同。

单播 RPF 仅在对称路由接口上正常工作。对称路由接口是一个在源与目标之间双向使用相同路由的接口。单播 RPF 通过检查转发表以获取到传入数据包来源的最佳回路路径来过滤数据包。如果最佳返回路径使用与接收数据包的接口相同的接口,交换机将转发数据包。如果最佳回路路径使用的接口与接收数据包的接口不同,交换机将丢弃数据包。

注意:

在 EX3200、EX4200 和 EX4300 交换机上,单播 RPF 只有在所有交换机接口(包括聚合以太网接口(也称为链路聚合组或 LAG)、集成路由和桥接 (IRB) 接口以及路由的 VLAN 接口 (RVI) 均对称路由的情况下才能正常工作,因为所有交换机接口上都支持单播 RPF。