路由器上用tcp拦截防止dos攻击 - 思科技术 - 51CTO技术论坛

社区导航: 专家门诊网络技术操作系统数据库程序设计系统应用考试认证 CIO及信息化站长交流综合交流下载基地 51CTO产品服务

【设为首页 | 收藏本站】

51CTO技术论坛» 思科技术 » 路由器上用tcp拦截防止dos攻击 [ 打印] [ 订阅] [ 收藏] [ 推荐给朋友] [ 本帖文本页]

论坛跳转:

niujianghua408 性别:男

新新人类

帖子 61
精华 0
无忧币 38
积分 73
阅读权限 20

注册日期 2007-9-5

最后登录 2008-9-2

离线

[查看资料] [发短消息] [Blog]

发表于:2008-3-6 15:59　　标题：路由器上用tcp拦截防止dos攻击
＜上一帖 | 下一帖＞

）定义一个acl，目的是要保护的机器：
　　access-list 101 per tcp any host 202.106.0.20
　　由于没必要匹配源地址，一般的dos都伴随着地址欺骗，所以这里的source都是any.
　　2）全局下开启tcp intercept.
　　ip tcp intercept list 101
　　3）设置tcp拦截的模式，tcp拦截有两种模式一种是拦截，一种是监视。拦截模式像是一个找茬的流氓，看谁都不爽，见谁都打。监视模式是一个稍微理性一点的流氓，仅仅当别人在他家门口那片空地赌着不走的时候才大打出手（默认是30 秒）。见谁都打，肯定累啊。我们要理性Sample TextSample Text一点。
　　ip tcp intercept mode watch
　　ip tcp intercept watch-timeout 20
　　4）另外tcp连接你也不能一辈子都让他连着。设置一个tcp超时时间，默认24小时，一般网中特殊服务的需要长连接的应用时候30分钟足咦
　　ip tcp intercept connection-timeout 1800
　　5）对于最大半开连接的门限也是可以更改的。默认low 900，high 1100.
　　ip tcp intercept max-incomplete low 800
　　ip tcp intercept max-incomplete high 1000
　　6）状态查看
　　show tcp intercept connecitons
　　show tcp intercept statistics