F1020安全防护中的“受保护IP”的作用和功能

通过手工添加受客户端验证保护的IP地址，对向该目的地址发送的连接请求进行代理。 受保护IP除了可以手工添加之外，还可以通过泛洪攻击防范自动添加。具体来讲就是，在客户端验证功能使能的前提下，若配置了泛洪攻击防范策略及相应的客户端验证功能，则设备检测到某服务器受到了指定类型的攻击时，设备会将该服务器IP地址添加到受保护IP列表中，并对后续指定类型的报文进行合法性检查。 配置步骤 单击“策略 > 安全防护 > 受保护IP”。 在“受保护IP”页面单击<新建>按钮。 新建受保护IP。 表-9 受保护IP配置 参数 说明 协议类型 客户端验证的协议类型，包括： TCP：TCP客户端验证功能 DNS：DNS客户端验证功能 DNS reply：DNS reply客户端验证功能 HTTP：HTTP客户端验证功能 SIP：SIP客户端验证功能 VRF 受客户端验证保护的IP地址所属的VPN实例 可选择已创建的VRF，也可以新创建VRF。此处新建的VRF，可在“网络 > VRF”页面查看 IP地址类型 IPv4 IPv6 IP地址 受客户端验证保护的IP地址，即会对向该目的地址发送的连接请求进行代理 对于受TCP客户端验证保护的IP地址，发送的是TCP连接请求；对于受DNS客户端验证保护的IP地址，发送的是DNS query请求；对于受DNS reply客户端验证保护的IP地址，发送的是DNS reply响应；对于受HTTP客户端验证保护的IP地址，发送的是HTTP GET/POST连接请求；对于受SIP客户端验证保护的IP地址，发送的是UDP类型的INVITE请求 当“IP地址类型”为“IPv4”时，IP地址不能为255.255.255.255或0.0.0.0 当“IP地址类型”为“IPv6”时，IP地址不能为组播地址或:: 端口号 受客户端验证保护的端口号。缺省情况下，对于DNS客户端验证的受保护IP，则表示对端口53的DNS query连接请求做代理；对于HTTP客户端验证的受保护IP，则表示对端口80的HTTP GET/POST连接请求做代理；对于SIP客户端验证的受保护IP，则表示对端口5060的INVITE连接请求进行代理；对于TCP客户端验证的受保护IP，则表示对所有端口的TCP连接请求做代理 单击<确定>按钮，新建的受保护IP会在“受保护IP”页面显示，该页面还会显示泛洪攻击防范自动添加的受保护IP。