Huawei：コントロールプレーンの保護

この記事では、Huawei NEシリーズルーターのコントロールプレーンの保護面について説明します。 ソフトウェアを使用したNE40eの例：VRP V800R008。 他のタイプのルーター（NE5kなど）では、ソフトウェアバージョンが異なるため、構成が若干異なる場合があります。

この問題のより詳細な調査については、RFC 6192（ルーターコントロールプレーンの保護）にさらに精通することをお勧めします。

VRPには、ルーターのコントロールプレーンを自動的に診断して保護する方法がいくつかあります。 ただし、ドキュメントの不足と不透明性を考えると、従来の保護方法、つまり必要なプロトコルとサービスのホワイトリストを作成し、残りのトラフィックを閉じることを引き続きお勧めします。

主なポリシーセクションは次のとおりです。

cpu-defend policy 1 process-sequence whitelist user-defined-flow blacklist cp-acl ip-pool enable whitelist disable blacklist acl 3900 blacklist ipv6 acl 3950 application-apperceive disable ip urpf loose 

process-sequenceは、ポリシーのシーケンスを決定します。ホワイトリスト（この例ではオフになっています）、ユーザー定義フロー、ブラックリスト（IPv4の場合はルール3900、IPv6の場合は3950）。

許可されたプロトコルを自分で決定することを考慮すると、残りのトラフィックはブラックリストによってフィルタリングされます 。 アプリケーションの分析を行う必要はありません。

URPf （ユニキャストリバースパスフォワーディング）メカニズムは、保守的な緩やかなレベルでオンになります。

IPv4およびIPv6のブラックリストは次のとおりです。

 acl number 3900 description --- ACL For IPv4 Discard --- rule 5 deny tcp rule 10 deny udp rule 15 deny ip # acl ipv6 number 3950 description --- ACL For IPv6 Discard --- rule 5 deny tcp rule 10 deny udp rule 15 deny ipv6 

ポリシーは各スロットに適用する必要があります。

 slot 1 cpu-defend-policy 1 # slot 2 cpu-defend-policy 1 … 

デフォルトでは、次の保護メカニズムが有効になっています。

 udp-packet-defend enable fragment-flood enable abnormal-packet-defend enable tcpsyn-flood enable attack-source-trace enable 

ma-defendセクションの未使用のプロトコルとサービスをすべて閉じることをお勧めします。 このオプションは、グローバルとスロットの両方で有効にできます。 例：

 system-view ma-defend global-policy protocol OSPF deny protocol RIP deny 

または

 system-view ma-defend slot-policy 1 protocol … deny 

次に、 ユーザー定義のポリシーについて説明します 。 一般的なルールを下の表にまとめています。 例として、速度/優先度の値が示されており、「究極の真実」であると主張するものではありません。 ユーザー定義ポリシーの要素の最大数は64です。

次に、それぞれのプロトコル/サービスのACLフィルターを検討します。

3901. BGPプロトコル。
BGPをフィルタリングするためのルールは、単純化された形式のいずれかになります。

 acl number 3901 rule permit tcp destination-port eq bgp rule permit tcp source-port eq bgp 

または、各ごちそうごとに：

 acl ip-pool BGP-Peers ip address 10.1.1.1 0.0.0.0 acl number 3901 rule permit tcp source-pool BGP-Peers 0 destination-port eq bgp rule permit tcp source-pool BGP-Peers 0 source-port eq bgp 

3902. LDPプロトコル。

  rule 5 permit tcp source-pool Lo0_P2P destination-port eq 646 rule 10 permit tcp source-pool Lo0_P2P source-port eq 646 rule 15 permit udp source-pool Lo0_P2P destination-port eq 646 rule 20 permit udp source-pool Lo0_P2P source-port eq 646 

3904. VRRP

 acl ip-pool VRRP_Peers ip address 10.1.1.1 0.0.0.0 acl number 3904 rule permit 112 source-pool VRRP_Peers 

3905. BFD

 acl number 3343 rule permit udp source-pool Lo0_P2P destination-port eq 3784 rule permit udp source-pool Lo0_P2P source-port eq 3784 

3906.すべてのMCAST（IGMP、PIM、MSDP）

 acl number 3906 rule permit 103 rule permit igmp rule permit udp destination-port eq 639 rule permit udp source-port eq 639 rule permit tcp destination-port eq 639 rule permit tcp source-port eq 639 

3907. SSH

 acl number 3907 description ### SSH access ### rule 5 permit tcp source-pool MGMT source-port eq 22 rule 10 permit tcp source-pool MGMT destination-port eq 22 rule 15 permit tcp source-pool MGMT destination-port eq 830 

3908。FTP。 FTPデータ

 acl port-pool ftp eq 20 eq 21 acl number 3908 rule 10 permit tcp source-pool MGMT source-port-pool ftp rule 15 permit tcp source-pool MGMT destination-port-pool ftp 

3909. DNS

 acl ip-pool DNS ip address 1.1.1.1 0.0.0.0 ip address 8.8.8.8 0.0.0.0 acl number 3909 rule 5 permit udp source-pool DNS source-port eq dns 

3910. SNMP

 acl number 3909 rule 5 permit udp source-pool SNMP source-port eq snmp rule 10 permit udp source-pool SNMP destination-port eq snmp 

3911. TACACS +

 acl number 3911 rule 5 permit tcp source-pool TACACS source-port eq tacacs rule 10 permit udp source-pool TACACS source-port eq tacacs-ds 

3912. NTP

 acl number 3911 rule 5 permit udp source-pool NTP source-port eq ntp rule 10 permit udp source-pool NTP destination-port eq ntp 

3913. ICMP

 acl number 3342 rule permit icmp icmp-type echo rule permit icmp icmp-type echo-reply rule permit icmp icmp-type ttl-exceeded rule permit icmp icmp-type port-unreachable rule permit icmp icmp-type Fragmentneed-DFset rule permit icmp rule permit udp destination-port range 33434 33678 rule permit udp destination-port eq 3503 

3951. IPv6のBGP

 acl ipv6 number 3951 rule 5 permit tcp destination-port eq bgp 

3952. ICMPv6

 acl ipv6 number 3952 rule 30 permit icmpv6 rule 35 permit udp destination-port range 33434 33678 

シートを使用するには、次のようにそれらをcpu-defendポリシーにバインドする必要があります。

 cpu-defend policy 1 ... user-defined-flow 1 acl 3901 user-defined-flow 2 acl 3902 user-defined-flow 4 acl 3904 user-defined-flow 5 acl 3905 user-defined-flow 6 acl 3906 user-defined-flow 7 acl 3907 user-defined-flow 8 acl 3908 user-defined-flow 9 acl 3909 user-defined-flow 10 acl 3910 user-defined-flow 11 acl 3911 user-defined-flow 12 acl 3912 user-defined-flow 13 acl 3913 user-defined-flow 51 ipv6 acl 3951 user-defined-flow 52 ipv6 acl 3952 car blacklist cir 0 cbs 0 car user-defined-flow 1 cir 1000 car user-defined-flow 2 cir 1000 car user-defined-flow 4 cir 1000 car user-defined-flow 5 cir 1000 car user-defined-flow 6 cir 1000 car user-defined-flow 7 cir 512 car user-defined-flow 8 cir 5000 car user-defined-flow 9 cir 512 car user-defined-flow 10 cir 1000 car user-defined-flow 11 cir 1000 car user-defined-flow 12 cir 512 car user-defined-flow 13 cir 512 car user-defined-flow 51 cir 10000 car user-defined-flow 52 cir 512 priority user-defined-flow 1 high priority user-defined-flow 2 high priority user-defined-flow 4 high priority user-defined-flow 5 high priority user-defined-flow 6 high priority user-defined-flow 7 middle priority user-defined-flow 8 low priority user-defined-flow 9 low priority user-defined-flow 10 middle priority user-defined-flow 11 low priority user-defined-flow 12 low priority user-defined-flow 13 low priority user-defined-flow 51 high priority user-defined-flow 52 low 

ごみ箱にアラートを設定するには、次の機能を使用できます。

 cpu-defend policy 1 ... alarm drop-rate user-defined-flow 7 threshold 100 interval 60 

ここで、しきい値はパケットで設定され、間隔は秒で設定されます。

CoPPフィルターの動作に関する統計は、 ディスプレイのCPU防御セクションにあります...
設定が完了したら、さらにルーターをスキャンする価値があります。

結論として、Huaweiは（現代のベンダーと同様に）ルーターのコントロールプレーンを保護するために必要なすべての方法を提供していることに注意してください。 また、発見された脆弱性について定期的に表示されるメッセージは、これらのツールを無視すべきではないことを示しています。