本文档介绍IP限速功能的典型配置举例。

IP限速可对设备上的新建会话速率进行限制，防止DDoS攻击造成大量新建连接消耗设备的处理性能，影响正常业务。

设备支持配置公网防护和内网防护两种类型的IP限速：

·     公网防护：用来对公网主动访问内网的连接进行限制，基于报文目的IP地址进行新建会话数统计，向同一个目的IP地址发起的连接数目将受到指定阈值的限制。

·     内网防护：用来对内网主动访问公网的连接进行限制，基于报文源IP地址进行新建会话数统计，同一个源IP地址发起的连接数目将受到指定阈值的限制。

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置与以下举例中的配置不冲突。

本文档假设您已了解IP限速特性。

组网需求

如图-1所示，公司网络出口处部署了一台Device，Device上的接口GigabitEthernet1/0/2与内部网络连接，接口GigabitEthernet1/0/1与外部网络连接。通过在Device上配置公网IP限速功能，限制外网主动向内网单个Server发起的连接速率为10个/秒，防止来自外网的DDoS攻击造成的大量新建连接消耗设备的处理资源，影响正常业务。

图-1 公网IP限速配置组网图

使用版本

本举例是在F1000-AI-55的R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

·     安全域：Untrust

·     选择“IPv4地址”页签，配置IP地址/掩码：10.0.0.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2，配置如下。

·     安全域：Trust

·     选择“IPv4地址”页签，配置IP地址/掩码：192.168.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

2.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。

# 新建安全策略，并进行如下配置：

·     名称：Secpolicy

·     源安全域：Untrust

·     目的安全域：Trust

·     类型：IPv4

·     动作：允许

·     目的IPv4地址：192.168.1.10、192.168.1.11、192.168.1.12

·     其他配置项使用缺省值

# 单击<确定>按钮，完成安全策略的配置。

3.     配置IP限速

# 选择“策略 > 安全防护 > IP限速 > 公网防护。

# 配置公网IP限速参数，配置如下图所示。

图-2 配置公网IP限速参数

# 单击<确定>按钮，完成IP限速配置。

验证配置

每台内网Server每秒最多接收来自外网的10条连接。

组网需求

如图-3所示，公司网络出口处部署了一台Device，Device上的接口GigabitEthernet1/0/2与内部网络连接，接口GigabitEthernet1/0/1与外部网络连接。通过在Device上配置内网IP限速功能，限制由内网单个Server主动向公网发起连接的速率为10个/秒，防止来自内网的DDoS攻击造成的大量新建连接消耗设备的处理资源，影响正常业务。

图-3 内网IP限速配置组网图

使用版本

本举例是在F1000-AI-55的R8860版本上进行配置和验证的。

配置步骤

Device配置

1.     配置接口的IP地址和安全域

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

·     安全域：Untrust

·     选择“IPv4地址”页签，配置IP地址/掩码：10.0.0.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2，配置如下。

·     安全域：Trust

·     选择“IPv4地址”页签，配置IP地址/掩码：192.168.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

2.     配置安全策略

# 选择“策略 > 安全策略> 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。

# 新建安全策略，并进行如下配置：

·     名称：Secpolicy

·     源安全域：Trust

·     目的安全域：Untrust

·     类型：IPv4

·     动作：允许

·     源IPv4地址：192.168.1.10、192.168.1.11、192.168.1.12

·     其他配置项使用缺省值

# 单击<确定>按钮，完成安全策略的配置。

3.     配置IP限速

# 选择“策略 > 安全防护 > IP限速 > 内网防护。

# 配置内网IP限速参数，配置如下图所示。

图-4 配置公网IP限速参数

# 单击<确定>按钮，完成IP限速配置。

验证配置

每台内网Server每秒最多与外网建立10条连接。