H3C,华为 防止勒索病毒

1、勒索病毒,华为/H3c三层交换机/路由器用ACL访问控制实现端口禁用前不久勒索病毒横行，很多人都纷纷中招，从公司到个人，损失相当沉重。 有些公司在互联网入口上做了控制，但是这样并非完全，万一有人把中了毒的U 盘插入网内设备上呢？那我们的内网中很有可能集体中招（打过相关补丁的除 外）。我们今天就说说如何在路由、交换机上实现相应的访问控制，封堵相关端口, 防止病毒在网络内部蔓延。以华为和H3c设备配置为例。什么？为什么没有思科？要啥自行车，我们需要支持国产！华为#acl number 3100#acl number 3100/创立ALC控制规那么1 rule 5 deny tcp destinat

2、ion-port eq 445禁止TCP2 445端口数据 3456789101112 13#14traffic classifier 155rule10 deny tcp destination-port eq 135rule15 deny tcp destination-port eq 137rule20 deny tcp destination-port eq 138rule25 deny tcp destination-port eq 139rule30 deny udp destination-port eq 445rule35 deny udp destination-port e

3、q 135rule40 deny udp destination-port eq 137rule45 deny udp destination-port eq 138rule50 deny udp destination-port eq 139anti_wana operator or precedence创短流分类16 if-match acl 310017#18traffic behavior anti wana将ACL与流分类关联创立流行为deny动作为禁止statistic enable使能流量统计（可选）21#22traffic policy anti_wana match-orde

4、r config23策略classifier anti_wana behavior anti_wana和流行为进行关联创立流将流分类全局视图traffic-policy anti_wana global inbound1方向流策略2traffic-policy anti_wana global outbound方向流策略traffic-policy anti_wana global inbound1方向流策略2traffic-policy anti_wana global outbound方向流策略全局应用入全局应用出接口视图也可以根据使用接口在接口上应用相关流策略Itraffic-polic

5、y anti_wana inbound2traffic-policy anti_wana outboundH3C防止勒索病毒大局部配置相同，毕竟本是同根生啊。1 #2 acl number 3100345678910111213#rule rule rule rule rule rule rule rule rule rule5 deny tcp destination-port eq 445101520253035404550denydenydenydenytcptcptcptcpdeny udp deny udp deny udp deny udp deny udpdestination-

6、port destination-port destination-port destination-port destination-port destination-port destination-port destination-port destination-porteq 135eq 137eq 138eq 139eq 445eq eq eq eq135137138139anti_wana operator andanti_wana operator and14traffic classifier 15 if-match acl 3100 16# 17traffic behavio

7、r anti_wana18 filter deny19#20qos policy anti_wana21 classifier anti_wana behavior anti_wana2223#接口视图Iqos apply policy anti_wana inbound2qos apply policy anti_wana outbound全局视图/基于全局应用QoS策略仅在MPE单板（仅入方向）和SPC单板上生效;局部设备无法使用此命令,只能在接口上应用。Iqos apply policy anti_wana global inbound2qos apply policy anti_wana global outbound近期勒索病毒发生了变异，3389端口