【華為】交換機受到特定的組播報文攻擊導致CPU占用率高
發(fā)布作者：微思網(wǎng)絡 發(fā)布時間：2025-04-24 瀏覽量：0次
現(xiàn)象描述
原因分析
239.255.255.250地址屬于SSDP（Simple Service Discovery Protocol）簡單服務發(fā)現(xiàn)協(xié)議使用的組播地址，因此當網(wǎng)絡中存在服務器或者終端PC默認啟用SSDP服務時，便會發(fā)送對應組播報文到交換機上。
由于239.255.255.250地址不屬于組播地址的永久組地址（永久組地址也稱為保留組地址，用于標識一組特定的網(wǎng)絡設備，供路由協(xié)議、拓撲查找等使用，不用于組播轉發(fā)）224.0.0.X范圍之內，交換機將該組播組地址作為一個正常普通的組播組來處理，因此會生成對應的組播轉發(fā)表項。
本案例中，初步分析是這種品牌的機頂盒默認啟用了SSDP服務，會發(fā)送對應“ssdp:discover”消息報文到源DR交換機觸發(fā)組播轉發(fā)表項，同時向RP注冊成功后，其他用戶子網(wǎng)中的終端設備發(fā)送該組播組的Report報文，導致各子網(wǎng)交換機均出現(xiàn)大量不同源IP，相同組IP的組播轉發(fā)表項。
問題判斷方法
執(zhí)行display cpu-usage命令，查看交換機CPU占用率，發(fā)現(xiàn)CPU占用率在80%以上，并且查看CPU占用率較高的任務，發(fā)現(xiàn)收包任務“bcmRx/FTS/VPR/SOCK”占用率最高。 使用display cpu-defend statistics命令查看上送CPU報文的統(tǒng)計信息，判斷是否存在過多IGMP協(xié)議報文。
執(zhí)行reset cpu-defend statistics命令，清除上送CPU報文的統(tǒng)計信息。 執(zhí)行display cpu-defend statistics packet-type igmp all命令，查看上送CPU的IGMP報文統(tǒng)計信息。
<HUAWEI> reset cpu-defend statistics
<HUAWEI> display cpu-defend statistics packet-type igmp all
Statistics on mainboard:
--------------------------------------------------------------------------------
Packet Type Pass(Packet/Byte) Drop(Packet/Byte) Last-dropping-time
--------------------------------------------------------------------------------
igmp 40800 35758 -
NA NA
--------------------------------------------------------------------------------
Statistics on slaveboard:
--------------------------------------------------------------------------------
Packet Type Pass(Packet/Byte) Drop(Packet/Byte) Last-dropping-time
--------------------------------------------------------------------------------
igmp 0 0 -
NA NA
--------------------------------------------------------------------------------找出組播攻擊源。
端口鏡像獲取報文信息
查看組播表項 如果配置的二層組播，執(zhí)行display igmp-snooping port-info命令，會發(fā)現(xiàn)有不同主機端口都收到了239.255.255.250組播組的Report請求。
配置基于攻擊溯源的本機防攻擊策略
[HUAWEI] cpu-defend policy policy1
[HUAWEI-cpu-defend-policy-policy1] auto-defend enable //使能攻擊溯源功能（缺省情況下，未使能該功能）
[HUAWEI-cpu-defend-policy-policy1] undo auto-defend trace-type source-ip source-mac //配置攻擊溯源的溯源模式為基于源接口+VLAN（缺省情況下，系統(tǒng)使用三種溯源模式）
[HUAWEI-cpu-defend-policy-policy1] undo auto-defend protocol 8021x arp dhcp icmp tcp telnet ttl-expired udp //配置攻擊溯源防范的報文類型為IGMP（缺省情況下，系統(tǒng)對九種報文進行攻擊溯源防范）
[HUAWEI-cpu-defend-policy-policy1] quit
[HUAWEI] cpu-defend-policy policy1 global //在所有接口板上應用本機防攻擊策略（一般組播報文通過接口板上送到主控板，所以這里在所有接口板上應用）此處以框式交換機舉例
執(zhí)行display auto-defend attack-source和display auto-defend attack-source slot slot-id命令，查看主控板和接口板的攻擊源信息。
通過以上方法，同時結合實際組播業(yè)務部署中沒有規(guī)劃239.255.255.250的組播組地址，確定設備受到239.255.255.250組播組報文攻擊。
解決方案
在交換機上過濾該組播組報文。
過濾239.255.255.250的IGMP協(xié)議報文。
[HUAWEI]acl number 3000
[HUAWEI-acl-adv-3000]rule 5 deny ip destination 239.255.255.250 0
[HUAWEI-acl-adv-3000]rule 10 permit ip
[HUAWEI-acl-adv-3000]quit
[HUAWEI]acl number 3100
[HUAWEI-acl-adv-3100]rule 10 deny igmp destination 239.255.255.250 0
[HUAWEI-acl-adv-3100]quit[HUAWEI]interface vlanif100
[HUAWEI-Vlanif100]ip address 10.100.100.1 255.255.255.0
[HUAWEI-Vlanif100]pim sm //在接口上使能PIM-SM
[HUAWEI-Vlanif100]igmp enable //在接口上使能IGMP
[HUAWEI-Vlanif100]igmp group-policy 3000 //在接口上設置IGMP組播組的過濾器，限制主機能夠加入的組播組范圍
[HUAWEI-Vlanif100]quit[HUAWEI]vlan 100
[HUAWEI-vlan100]igmp-snooping enable //使能VLAN的IGMP Snooping功能。
[HUAWEI-vlan100]igmp-snooping group-policy 3000 //配置當前VLAN的組播組過濾策略
[HUAWEI-Vlan100]qui
[HUAWEI]cpu-defend policy igmp-deny
[HUAWEI-cpu-defend-policy-igmp-deny]blacklist 1 acl 3100
[HUAWEI-cpu-defend-policy-igmp-deny]quit
[HUAWEI]cpu-defend-policy igmp-deny global //（這里以框式交換機的接口板上存在IGMP報文攻擊為例）
[HUAWEI]pim
[HUAWEI-pim]source-policy 3000
[HUAWEI-pim]quit
過濾239.255.255.250數(shù)據(jù)報文。
[HUAWEI]acl number 3200
[HUAWEI-acl-adv-3200]rule 5 permit ip destination 239.255.255.250 0
[HUAWEI-acl-adv-3200]quit
[HUAWEI]traffic classifier ssdp
[HUAWEI-classifier-ssdp]if-match acl 3200
[HUAWEI-classifier-ssdp]quit
[HUAWEI]traffic behavior ssdp
[HUAWEI-behavior-ssdp]deny
[HUAWEI-behavior-ssdp]quit
[HUAWEI]traffic policy ssdp
[HUAWEI-trafficpolicy-ssdp]classifier ssdp behavior ssdp
[HUAWEI-trafficpolicy-ssdp]quit
[HUAWEI-GigabitEthernet4/0/30]traffic-policy ssdp inbound
在服務器或終端PC上關閉SSDP服務。
進入“控制面板”，選擇“管理工具”，進入后再選擇“服務”。 在列表中找到“SSDP Discovery Service”服務，選擇并停止該項服務。
建議與總結
相關介紹
END 1微思網(wǎng)絡，始于2002年 專業(yè)IT認證培訓23年，面向全國招生！ 點擊查看更多【培訓課程目錄】 微思-主要課程有： *網(wǎng)絡技術：華為HCIA/ HCIP/HCIE；思科CCNA/CCNP/CCIE *Linux技術：紅帽 RHCE/RHCA *K8S&容器：CKA/CKS *數(shù)據(jù)庫：ORACLE OCP/ OCM ；MySQL ；達夢數(shù)據(jù)庫 *虛擬化：VMware VCP/VCAP *安全認證：CISP體系/CISSP/ CISA；CCSK；CISAW體系 *管理類：PMP 項目管理；軟考中/高項；ITIL體系;Togaf 其他課程如：ACP;Azure...
