acg1000 支持DDOS攻击防护吗

ACG主打留空，ddos防护不是它的特性

您好，请知：

以下是ACG的安全防护配置举例，请参考：

1.9  安全防护典型配置举例

1. 组网需求

设备作为网关，内网用户通过设备访问外网资源。

图1-1 组网图

2. 配置思路

·     内网PC通过ge1口进入设备，从ge0口接入外网。

(1)     在设备上配置启用land攻击。

(2)     在设备的ge1口启用端口扫描攻击，并设置添加黑名单，阻断时长为10s。

(3)     在设备上开启防ARP攻击防御功能，在ge1口上配置ARP主动保护列表。

3. 配置步骤

# 按照组网图配置各接口的IP地址，具体配置过程略。

# 配置启用LAND攻击。

host>

host>en

host#system-view

host(config)# ip defend attack land-base

host(config)#exit

# 配置在设备的ge1口启用端口扫描攻击，并设置添加黑名单，阻断时长为10s。

host(config)#ip defend port-scan interface ge1 threshold 10 block-time 10

# 配置开启防ARP攻击防御功能，在ge1口上配置ARP主动保护列表。

host(config)# anti-arp spoof enable

host(config)# anti-arp broadcast interface ge1 list 192.168.0.2 00:01:ac:0b:0c:12

host(config)# anti-arp broadcast interface ge1 list 192.168.0.3 00:0c:ac:0b:0c:11

host(config)#exit

4. 验证配置

(1)     通过执行display running-configdefend命令来验证land攻击和端口扫描攻击配置。

host# display running-config defend

ip defend attack land-base

!

ip defend port-scan interface ge1 threshold 10 block-time 10

!

(2)     通过执行display running-configarp命令来验证防ARP攻击配置。

host# display running-config

anti-arp spoof enable

anti-arp broadcast interface ge1 list 192.168.0.2 00:01:ac:0b:0c:12

anti-arp broadcast interface ge1 list 192.168.0.3 00:0c:ac:0b:0c:11

(3)     如果设备收到land攻击报文，设备输出告警日志，且丢掉攻击报文；如果接口ge1上收到扫描攻击报文，设备输出告警日志，并将攻击者的IP加入黑名单；IP地址为192.168.0.2、192.168.0.3和192.168.0.4的PC上会定时收到IP地址为：192.168.0.2，MAC地址为：00:01:ac:0b:0c:12和IP地址为：192.168.0.3，MAC地址为：00:0c:ac:0b:0c:11的免费ARP请求报文。