绿盟黑洞操作手册.doc

绿盟黑洞服务器配置、应用简介：Cisco7609上的配置：绿盟黑洞服务器有三个端口：数据流牵引端口()新大楼7609Gi4/2()数据流注入端口新大楼7609Gi4/3(trunk口)网管端口VLAN80（30）新大楼7609Fa9/36建立黑洞服务器和新大楼7609的BGP邻居关系并阻止BGP邻居信息重分发：router bgp 65534 neighbor remote-as 65533 neighbor soft-reconfiguration inbound neighbor distribute-list deny_all outip access-list standard deny_all Deny any建立与黑洞IN口互联端口：interface GigabitEthernet4/2 description Connect-to-CollIn ip address 52end建立与黑洞OUT口互联端口：interface GigabitEthernet4/3 description Connect-to-CollOut no ip address switchport switchport trunk encapsulation dot1q switchport trunk allowed vlan 85,3651 switchport mode trunkend黑洞服务器的应用：1、登陆服务器：30 如果被IE阻止，点“继续浏览此网站”。用户名：admin 密码：nsfocus2、在Gi4/3上加入需要清洗的VLAN;如果此VLAN做过“ip verify unicast source reachable-via rx”，要no掉，否则会因为VLAN找不到注入数据流的源IP地址而丢弃数据包。还要加上no ip proxy-arp.3、先做数据流注入策略（为减少中断时间）：系统管理-运行模式-配置向导-下一步-下一步-下一步-下一步-增加-分别填入“被保护IP地址”、“子网掩码”、“VLAN ID”、下一跳IP（都是）、OUT口IP（本IP地址段的广播地址）、在“2层”框中打勾。4、再做路由牵引策略：策略管理-牵引策略-增加-分别输入IP地址（受保护的IP）、子网掩码、分流目的IP（都是）-确定5、检查方式：做完路由牵引后，可在路由器上查看BGP路由：XDL_7609#show ip route bgp /24 is variably subnetted, 14 subnets, 5 masksB 62/32 20/100 via , 01:41:59 /8 is variably subnetted, 1761 subnets, 7 masksB 8/32 20/100 via , 01:20:28在牵引策略页面下点击“查看mac”，可看到对应IP 的MAC地址。一般情况下这样就设置成功。如果有攻击流量，在黑洞管理界面下的“实时监控”分页中的“网络状态”栏应该有显示。黑洞defender：新大楼：管理地址：VLAN80 30 端口：新大楼7609Fa9/36IN 新大楼7609 Gi4/2 对端：OUT 新大楼7609Gi4/3南街：管理地址：VLAN80 34 端口：南街7609Fa9/9IN 南街7609 Gi1/7 对端：OUT 南街7609Gi1/10南街的defender移到IDC机房，南街的管理地址移过来。黑洞probe：管理地址：70 新大楼7609 VLAN3208 新大楼4506Fa4/33接收口：74 新大楼7609 VLAN3209 新大楼4506Gi6/4端口：9990configure router policy-optionsbegin policy-statement coll entry 10 action reject exitcommitconf