路由器遭受ICMP destination unreachable攻击

真实因为你做了拒绝，所以动作是drop

你拒绝不代表对方不发送

配置将目的ip加入黑名单进行报文的过滤

1.16  配置IP黑名单

1. 功能简介

通过配置IP黑名单功能可以对来自或发往指定IP地址的报文进行过滤。

IP黑名单的配置包括开启黑名单过滤功能和添加IP黑名单表项。若全局的黑名单过滤功能处于开启状态，则所有接口上的IP黑名单过滤功能均处于开启状态。若全局的黑名单过滤功能处于关闭状态，则需要开启指定接口上的黑名单过滤功能。添加IP黑名单表项的同时可以选择配置IP黑名单表项的老化时间，若不配置，那么该IP黑名单表项永不老化，除非用户手动将其删除。

IP黑名单表项除了可以用户手工添加之外，还可以通过其他方式自动添加。对于源IP黑名单，在黑名单功能使能的前提下，若配置了扫描攻击防范策略及相应的IP黑名单添加功能，则可以将检测到的扫描攻击方IP地址添加到源IP黑名单中。扫描攻击防范添加的源IP黑名单表项必定会老化，老化时间可配。关于扫描攻击防范的相关配置请参见“1.7.3  配置扫描攻击防范策略”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     （可选）添加IP黑名单表项。

¡     添加源IPv4黑名单表项。

blacklist ip source-ip-address [ vpn-instance vpn-instance-name ] [ ds-lite-peer ds-lite-peer-address ] [ timeout minutes ]

¡     添加源IPv6黑名单表项。

blacklist ipv6 source-ipv6-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

¡     添加目的IPv4黑名单表项。

blacklist destination-ip destination-ip-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

¡     添加目的IPv6黑名单表项。

blacklist destination-ipv6 destination -ipv6-address [ vpn-instance vpn-instance-name ] [ timeout minutes ]

(3)     （可选）使能黑名单日志功能。

blacklist logging enable

缺省情况下，黑名单日志功能处于关闭状态。

(4)     开启黑名单过滤功能。请选择其中一项进行配置。

¡     开启全局黑名单过滤功能。

blacklist global enable

缺省情况下，全局黑名单功能处于关闭状态。

¡     请依次执行以下命令开启接口上的黑名单过滤功能。

interface interface-type interface-number

blacklist enable

缺省情况下，接口上的黑名单功能处于关闭状态。