【華為】交換機(jī)受到特定的組播報(bào)文攻擊導(dǎo)致CPU占用率高
發(fā)布作者：微思網(wǎng)絡(luò) 發(fā)布時(shí)間：2025-04-24 瀏覽量：0次
現(xiàn)象描述
原因分析
239.255.255.250地址屬于SSDP（Simple Service Discovery Protocol）簡(jiǎn)單服務(wù)發(fā)現(xiàn)協(xié)議使用的組播地址，因此當(dāng)網(wǎng)絡(luò)中存在服務(wù)器或者終端PC默認(rèn)啟用SSDP服務(wù)時(shí)，便會(huì)發(fā)送對(duì)應(yīng)組播報(bào)文到交換機(jī)上。
由于239.255.255.250地址不屬于組播地址的永久組地址（永久組地址也稱為保留組地址，用于標(biāo)識(shí)一組特定的網(wǎng)絡(luò)設(shè)備，供路由協(xié)議、拓?fù)洳檎业仁褂茫挥糜诮M播轉(zhuǎn)發(fā)）224.0.0.X范圍之內(nèi)，交換機(jī)將該組播組地址作為一個(gè)正常普通的組播組來(lái)處理，因此會(huì)生成對(duì)應(yīng)的組播轉(zhuǎn)發(fā)表項(xiàng)。
本案例中，初步分析是這種品牌的機(jī)頂盒默認(rèn)啟用了SSDP服務(wù)，會(huì)發(fā)送對(duì)應(yīng)“ssdp:discover”消息報(bào)文到源DR交換機(jī)觸發(fā)組播轉(zhuǎn)發(fā)表項(xiàng)，同時(shí)向RP注冊(cè)成功后，其他用戶子網(wǎng)中的終端設(shè)備發(fā)送該組播組的Report報(bào)文，導(dǎo)致各子網(wǎng)交換機(jī)均出現(xiàn)大量不同源IP，相同組IP的組播轉(zhuǎn)發(fā)表項(xiàng)。
問(wèn)題判斷方法
執(zhí)行display cpu-usage命令，查看交換機(jī)CPU占用率，發(fā)現(xiàn)CPU占用率在80%以上，并且查看CPU占用率較高的任務(wù)，發(fā)現(xiàn)收包任務(wù)“bcmRx/FTS/VPR/SOCK”占用率最高。 使用display cpu-defend statistics命令查看上送CPU報(bào)文的統(tǒng)計(jì)信息，判斷是否存在過(guò)多IGMP協(xié)議報(bào)文。
執(zhí)行reset cpu-defend statistics命令，清除上送CPU報(bào)文的統(tǒng)計(jì)信息。 執(zhí)行display cpu-defend statistics packet-type igmp all命令，查看上送CPU的IGMP報(bào)文統(tǒng)計(jì)信息。
<HUAWEI> reset cpu-defend statistics
<HUAWEI> display cpu-defend statistics packet-type igmp all
Statistics on mainboard:
--------------------------------------------------------------------------------
Packet Type Pass(Packet/Byte) Drop(Packet/Byte) Last-dropping-time
--------------------------------------------------------------------------------
igmp 40800 35758 -
NA NA
--------------------------------------------------------------------------------
Statistics on slaveboard:
--------------------------------------------------------------------------------
Packet Type Pass(Packet/Byte) Drop(Packet/Byte) Last-dropping-time
--------------------------------------------------------------------------------
igmp 0 0 -
NA NA
--------------------------------------------------------------------------------找出組播攻擊源。
端口鏡像獲取報(bào)文信息
查看組播表項(xiàng) 如果配置的二層組播，執(zhí)行display igmp-snooping port-info命令，會(huì)發(fā)現(xiàn)有不同主機(jī)端口都收到了239.255.255.250組播組的Report請(qǐng)求。
配置基于攻擊溯源的本機(jī)防攻擊策略
[HUAWEI] cpu-defend policy policy1
[HUAWEI-cpu-defend-policy-policy1] auto-defend enable //使能攻擊溯源功能（缺省情況下，未使能該功能）
[HUAWEI-cpu-defend-policy-policy1] undo auto-defend trace-type source-ip source-mac //配置攻擊溯源的溯源模式為基于源接口+VLAN（缺省情況下，系統(tǒng)使用三種溯源模式）
[HUAWEI-cpu-defend-policy-policy1] undo auto-defend protocol 8021x arp dhcp icmp tcp telnet ttl-expired udp //配置攻擊溯源防范的報(bào)文類型為IGMP（缺省情況下，系統(tǒng)對(duì)九種報(bào)文進(jìn)行攻擊溯源防范）
[HUAWEI-cpu-defend-policy-policy1] quit
[HUAWEI] cpu-defend-policy policy1 global //在所有接口板上應(yīng)用本機(jī)防攻擊策略（一般組播報(bào)文通過(guò)接口板上送到主控板，所以這里在所有接口板上應(yīng)用）此處以框式交換機(jī)舉例
執(zhí)行display auto-defend attack-source和display auto-defend attack-source slot slot-id命令，查看主控板和接口板的攻擊源信息。
通過(guò)以上方法，同時(shí)結(jié)合實(shí)際組播業(yè)務(wù)部署中沒(méi)有規(guī)劃239.255.255.250的組播組地址，確定設(shè)備受到239.255.255.250組播組報(bào)文攻擊。
解決方案
在交換機(jī)上過(guò)濾該組播組報(bào)文。
過(guò)濾239.255.255.250的IGMP協(xié)議報(bào)文。
[HUAWEI]acl number 3000
[HUAWEI-acl-adv-3000]rule 5 deny ip destination 239.255.255.250 0
[HUAWEI-acl-adv-3000]rule 10 permit ip
[HUAWEI-acl-adv-3000]quit
[HUAWEI]acl number 3100
[HUAWEI-acl-adv-3100]rule 10 deny igmp destination 239.255.255.250 0
[HUAWEI-acl-adv-3100]quit[HUAWEI]interface vlanif100
[HUAWEI-Vlanif100]ip address 10.100.100.1 255.255.255.0
[HUAWEI-Vlanif100]pim sm //在接口上使能PIM-SM
[HUAWEI-Vlanif100]igmp enable //在接口上使能IGMP
[HUAWEI-Vlanif100]igmp group-policy 3000 //在接口上設(shè)置IGMP組播組的過(guò)濾器，限制主機(jī)能夠加入的組播組范圍
[HUAWEI-Vlanif100]quit[HUAWEI]vlan 100
[HUAWEI-vlan100]igmp-snooping enable //使能VLAN的IGMP Snooping功能。
[HUAWEI-vlan100]igmp-snooping group-policy 3000 //配置當(dāng)前VLAN的組播組過(guò)濾策略
[HUAWEI-Vlan100]qui
[HUAWEI]cpu-defend policy igmp-deny
[HUAWEI-cpu-defend-policy-igmp-deny]blacklist 1 acl 3100
[HUAWEI-cpu-defend-policy-igmp-deny]quit
[HUAWEI]cpu-defend-policy igmp-deny global //（這里以框式交換機(jī)的接口板上存在IGMP報(bào)文攻擊為例）
[HUAWEI]pim
[HUAWEI-pim]source-policy 3000
[HUAWEI-pim]quit
過(guò)濾239.255.255.250數(shù)據(jù)報(bào)文。
[HUAWEI]acl number 3200
[HUAWEI-acl-adv-3200]rule 5 permit ip destination 239.255.255.250 0
[HUAWEI-acl-adv-3200]quit
[HUAWEI]traffic classifier ssdp
[HUAWEI-classifier-ssdp]if-match acl 3200
[HUAWEI-classifier-ssdp]quit
[HUAWEI]traffic behavior ssdp
[HUAWEI-behavior-ssdp]deny
[HUAWEI-behavior-ssdp]quit
[HUAWEI]traffic policy ssdp
[HUAWEI-trafficpolicy-ssdp]classifier ssdp behavior ssdp
[HUAWEI-trafficpolicy-ssdp]quit
[HUAWEI-GigabitEthernet4/0/30]traffic-policy ssdp inbound
在服務(wù)器或終端PC上關(guān)閉SSDP服務(wù)。
進(jìn)入“控制面板”，選擇“管理工具”，進(jìn)入后再選擇“服務(wù)”。 在列表中找到“SSDP Discovery Service”服務(wù)，選擇并停止該項(xiàng)服務(wù)。
建議與總結(jié)
相關(guān)介紹
END 1微思網(wǎng)絡(luò)，始于2002年 專業(yè)IT認(rèn)證培訓(xùn)23年，面向全國(guó)招生！ 點(diǎn)擊查看更多【培訓(xùn)課程目錄】 微思-主要課程有： *網(wǎng)絡(luò)技術(shù)：華為HCIA/ HCIP/HCIE；思科CCNA/CCNP/CCIE *Linux技術(shù)：紅帽 RHCE/RHCA *K8S&容器：CKA/CKS *數(shù)據(jù)庫(kù)：ORACLE OCP/ OCM ；MySQL ；達(dá)夢(mèng)數(shù)據(jù)庫(kù) *虛擬化：VMware VCP/VCAP *安全認(rèn)證：CISP體系/CISSP/ CISA；CCSK；CISAW體系 *管理類：PMP 項(xiàng)目管理；軟考中/高項(xiàng)；ITIL體系;Togaf 其他課程如：ACP;Azure...
