用cisco命令确定和跟踪DOS攻击源

　2007-09-02 13:09:45　来源：WEB开发网　闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹

闂傚倷绀侀幉锟犲垂閻㈠灚宕查柟鎵閸庡秵銇勯幒鎴濃偓鐢稿磻閹炬枼妲堟繛鍡楃С濞岊亞绱撻崒姘扁枌闁瑰嚖鎷�

婵犵數濮幏鍐川椤撴繄鎹曢梻渚€娼уú銈吤洪妸鈺佺劦妞ゆ帊鑳堕埊鏇㈡煏閸モ晛浠х紒杈╁仱閺佹捇鏁撻敓锟�闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹　　闂傚倷鑳舵灙缂佺粯顨呴埢宥夊即閵忕姵鐎梺缁樺姇閻忔氨鈧凹鍓熷娲垂椤曞懎鍓伴梺閫炲苯澧紒澶婄秺瀵濡歌閸嬫捇妫冨☉娆忔殘闂佷紮缍€娴滎剟鍩€椤掑倹鏆柛瀣躬瀹曚即寮借閺嗭箓鏌ㄩ悤鍌涘

核心提示：今天ISP所面临的最大的挑战之一是跟踪和阻止denial of service （DoSattacks），对付DoS attack 有三个步骤： intrusion detection，用cisco命令确定和跟踪DOS攻击源， source tracking， and blocking. 本命令是针对source t

今天ISP所面临的最大的挑战之一是跟踪和阻止denial of service （DoSattacks）。对付DoS attack 有三个步骤： intrusion detection， source tracking， and blocking. 本命令是针对source tracking.

1、配置举例：

本例说明怎样在路由器上所有line cards/port adapters ，为了让每块line card or port adapter收集到主机 100.10.0.1（被攻击的机器）的数据流。两分钟后生成 log日志。记录在log的数据包和流每60秒向GRP/RSP 导出以方便察看。

Router# configure interface Router(config)# ip source-track 100.10.0.1 Router(config)# ip source-track syslog-interval 2 Router(config)# ip source-track export-interval 60

显示到达源端口的攻击包的源地址及流量：

Router# show ip source-track Address SrcIF Bytes Pkts Bytes/s Pkts/s 10.0.0.1 PO2/0 0 0 0 0 192.168.9.9 PO1/2 131M 511M 1538 6 192.168.9.9 PO2/0 144G 3134M 6619923 143909

显示所有攻击源条目：

2、Cisco IOS feature 配置 TCP Intercept （防止 Denial-of-Service Attacks）

配置路由器以保护服务器免收 TCP SYN-flooding attacks.

以下配置定义了一个扩展access list 101，保护192.168.1.0/24网段的服务器：

Router# show ip source-track summary Address Bytes Pkts Bytes/s Pkts/s 10.0.0.1 0 0 0 0 100.10.1.1 131M 511M 1538 6 192.168.9.9 146G 3178M 6711866 145908

show tcp intercept connections 显示不完全和已建TCP连接