ASA 5510限制客戶端并發(fā)連接數(shù)和流量

1、近期公司網(wǎng)站遭到大量攻擊，內(nèi)網(wǎng)ping網(wǎng)站ip丟包很嚴(yán)重。 查看asa狀態(tài)如圖：01.asdm上面看到的攻擊狀態(tài):02.連接狀態(tài)如下:- - - 一 口 - j-r-1 - ciscoasa(confishow perfmonPERFMON STATS：currentAveragexl at es口/5雄connections5 64/s口/5TCP conns562/S0/sudp conns口/5雄url Access0/s0/sURL server Fieq0/50/sT匚P FixupQ/50/sTCP intercept Established conns0/s0/sTCP Inte

2、rcept Attempts0/s0/sTCP Embryonl c conns Tlmeoui:2/50/5HTTP Fi xup0/s0/sFTP Flxup0/s0/sAAA Authen0/50/5AAA Author0/s0/sAAA Account0/s0/sVALID CONNS RATE in TCP INTERCEPT：currentN/AAverage 97.00%03.在服務(wù)器上 看到的出現(xiàn)大量time waite狀態(tài)的連接(全是無效連接)，導(dǎo)致web服務(wù) 器很卡，嚴(yán)重丟包，cpu和內(nèi)存正常。04.處理辦法：檢測是不是web服務(wù)器有沒有大量的對(duì)外的連接(非80端口)是不是

3、中毒之類的。在asa防火墻上限制客戶端的并發(fā)連接數(shù)和流量：第一種：hostname(config)# access-list allip permit ip any any設(shè)置需限制的訪問列表hostname(config)# class-map c_all_ip設(shè)置類別圖hostname(config-cmap)# match access-list allip 匹配訪問列表 allip hostname(config)# policy-map p_all_ip 設(shè)置策略圖 p_all_iphostname(config-pmap)# class c_all_ip 使用類別U c_all_i

4、phostname(config-pmap-c)# set connection per-client-max 50 (限制每客戶端連接數(shù)最大 50) hostname(config-pmap-c)# police output 250000 限制此類別速率 bit/shostname(config)# service-policy p_all_ip interface outside ( 將策略應(yīng)用到接口，每個(gè)接口只 能用一個(gè)策略圖policy-map)注：在policy-map里面使用命令set connection conn-max 10現(xiàn)實(shí)最大連接數(shù)10個(gè)set connection

5、embryonic-conn-max 5限制最大的半打開連接時(shí)5 個(gè)set connection per-client-max 10 限制每用戶最大連接數(shù)10個(gè)set connection per-client-embryonic-max 5 限制每用戶最大半打開連接數(shù) 5 個(gè)police output 10000 20000 conform-action drop 出 口速率 10000B，允許爆發(fā)到 20000,違 反規(guī)則丟棄數(shù)據(jù)包例子：access-list 101 extended permit tcp any host 15 eq wwwclass-map c_all_ipmatch

6、 access-list 101policy-map p_call_ipclass c_all_ipset connection embryonic-conn-max 60 per-client-max 60service-policy p_call_ip interface outside超過60個(gè)連接，在asa日志上可以看到以下內(nèi)容:U I lEQ iiarn:dUrU ILI uhBaM OLVlnm 商 x-hl 4ELTjalJ Lfc n,M tr i.i5H hivUKidiFit-lLiiH% -zukii tri Llvii UiIhbM OCUn:Tr ir. h-M ：1

7、Z1 124 241 -KUC- 5 TUraa i i!kna mIFiIbfriHBiOUEidihdl1： IEJtKrd DT CUMCid-OK,珈1wil*r i I S3 L?L2*|&3 I rtiU1 HIM. lU.4 I fcrd 1亍4 女勺 做？世由 D. LI W -m. imarr-KiI24.2U制 O. I lE/) h in*rrlKB J.ndirEili-HV；Fk-iLiEdcnwit Vi UkH &i!：Bah-i 4CMM fr Iidi psidc*1. hrM JZIk4jtb TEKKHrh傳【翊施由4 ;hr 44aid1 約 14.2-

8、11咤堂L花*: 3ui4vL輸 I#.門史0虹旬lrvJ 01 23 bft”翎知 JCf EUajHEnw，Ei嬤r總荷 皿,回1嚀 血 1呻云上i：河曲1蜷*I竹頗kwif 1由 的 成”問兇unrhrw,E wi Lir* wn*4 WW fn- im* n?bt*;M AWW f-n- Inn* ”3; br-e 】E wwic-ti as Lm1 smaiiH RN、fr irfi1 piriM*; lirvi 1STAAi iKf U PbmM4. m.in 1Z4.7II W；PZ I HI 0. LI5IT； I O.LL$說明已經(jīng)生效了。第二種：nat (inside) 1 tcp 50 50 udp 50 con enb限連接數(shù) tcp50 , udp50備注：如果，只是需要將內(nèi)網(wǎng)一個(gè)服務(wù)器映射到公網(wǎng)可以這樣做：ciscoasa(config)#static (inside, outside) 21