【ACE适用 V6.0软件平台】ACE如何配置全局策略,减少网络攻击和扫描带来的风险

发布时间: 2013-09-18 点击量:848 打印 字体:

一、组网需求

客户需求:某个学校有在线IP 160000多人,针对学生每人最大2M,教师每人最大5M,但是时常发现在线IP能够突破到200000人以上,不符合实际情况,而且在线IP突破200000人时,CPU和内存使用率也相应增高,十分危险。

二、组网拓扑

 

 

三、配置步骤

 

优化前:

1、建立IP地址对象techer和student。

 

2、建立通道VC,教师vc每用户最大5M,学生VC每用户最大2M。

 

3、建立通道策略和子通道策略,匹配到相关的通道和子通道VC.

运行一段时间进行观察,发现有在线IP突然猛增的情况发生。

优化后:

1、建立IP地址对象,将教师和学生的IP放入一个组中。

2、建立用户策略,教师和学生的IP设置为trusted,方向为 Int To Ext,其他的全部Untrusted(不信任的)。

3、建立通道VC,教师vc每用户最大5M,学生VC每用户最大2M。(同优化前)

4、建立通道策略和子通道策略,匹配到相关的通道和子通道VC.(同优化前)

5、建立会话数限制,对每用户会话数限制

说明:

将合法的IP地址设置为信任,这样可以减少非法攻击和扫描通过ACE;

在线IP的统计方法是,内网IP访问外网的内网IP数数量和外网访问内网ip的内网IP数量之和。如果有一个外网IP,向内发起IP扫描,这些地址都是不存在的,那么会统计出在线IP超过实际使用数量的情况。

注意:

过高的在线IP和在线会话会导致CPU和内存使用率增加,甚至到达极限造成设备重启。

窍门:

尽量统计下内网的IP地址段,将所以段设置为信任,剩下的所以为不信任,防止内网进行病毒攻击和扫描,进行每用户会话数进行限制,速值一般为1000(也可以根据实际情况进行调整)。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

00 分享 纠错
相关条目