| |
Input output:確定需要限制輸入或輸出的流量。如果在以太網(wǎng)端口配置，則該流量為output；如果在serial端口配置，則該流量為input。
access-group number: number是前面用access list定義流量的access list號碼。
bps:用戶希望該流量的速率上限，單位是bps。
burst-normal burst-max：這個是指token bucket的大小，一般采用8000、16000、32000這些值，視bps值的大小而定。
conform-action：在速率限制以下的流量的處理策略。
exceed-action:超過速率限制的流量的處理策略。
action:處理策略，包括以下幾種：
◆ transmit:傳輸。
◆ drop:丟棄。
◆ set precedence and transmit:修改IP前綴然后傳輸。
◆ set QoS group and transmit:將該流量劃入一個QoS group內(nèi)傳輸。
◆ continue:不動作，看下一條rate-limit命令中有無流量匹配和處理策略，如無，則transmit。
◆ set precedence and continue:修改IP前綴然后continue。
◆ set QoS group and continue:劃入QoS group然后continue。
具體應(yīng)用
CAR限制某種流量的速率之外，還可以用來抵擋DoS型攻擊，諸如Smurf攻擊使得網(wǎng)絡(luò)上充斥著大量帶有非法源地址的ICMP，占用網(wǎng)絡(luò)的資源。我們可以通過在路由器上對ICMP包通過配置CAR來設(shè)置速率上限的方法來保護網(wǎng)絡(luò)（如圖3所示）。
圖3
客戶端邊界路由器上的配置：
interface s0 rate-limit input access-group 200 3000000 80000 80000
conform-action transmit exceed-action drop
這里我們把icmp包的流量定義在3Mbps，token bucket的大小為8000字節(jié)。
access-list 200 permit icmp any any echo-reply
這樣一旦受到Smurf攻擊時，在一定程度上我們可以限制ICMP包的轉(zhuǎn)發(fā)速率和大小，減少對網(wǎng)絡(luò)和主機造成的破壞。
為了更好地運用CAR限速策略，我們需要弄清楚DoS攻擊的原理，這樣才能針對DoS攻擊的不同類型采取相應(yīng)的防范措施。 |
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
