ntp

【规避方式】

（沿用之前的mode6/7漏洞解决方式）

a.  如果目标设备只作为NTP Server（不从外部同步时间）：

配置ntp-service synchronization acl xxx可以关闭掉mode6/7功能。

（只能在仅作为server的设备上使用，在NTP客户端使用会导致无法从外部同步时间）

b.  如果目标设备需要作为NTP Client（从外部同步时间） ：

在目标设备上配置ntp-service peer acl xxx ，

将下游ntp client（从目标设备同步时间）和上游ntp server（向目标设备同时时间）的地址 加入ACL xxx的permit规则，其他ntp报文拒收。

————拦截非信任来源的报文

关于CVE-97861漏洞（Network Time Protocol (NTP) Mode 6 Scanner），该漏洞允许未经身份验证的远程攻击者利用响应模式6查询的NTP服务器，可能导致NTP放大攻击，从而引发反射拒绝服务（DoS）条件。

对于您的H3C S6850交换机运行CMW710-R6710HS11版本，当前文档中似乎没有提到具体的补丁来解决此漏洞。您可以采取以下步骤来缓解此问题：

1. 限制NTP模式6查询：配置防火墙以阻止来自不受信任来源的模式6查询。
2. 禁用NTP（如果不需要）：如果NTP对您的网络操作不是必需的，请考虑禁用它以减少攻击面。