华为交换机安全加固必做项：手把手教你配置CPU防攻击，防住OSPF/BGP协议泛洪
华为交换机CPU防攻击实战指南：从协议泛洪防护到安全架构设计
在网络安全攻防对抗日益激烈的今天，核心网络设备的CPU资源已成为攻击者的重点目标。一次成功的协议泛洪攻击可能导致交换机CPU过载，进而引发路由震荡、管理通道中断甚至全网瘫痪。作为网络安全工程师，我们不仅需要理解各类协议的工作机制，更要掌握如何为这些协议构建多层次的防护体系。
1. 理解CPU防攻击的核心原理
华为交换机的CPU防攻击体系基于三个关键设计理念：攻击面最小化、资源分配精细化和异常流量动态感知。这套机制不是简单的流量限速，而是构建了一个从协议识别到动态防护的完整闭环。
**CPCAR（Committed Access Rate）**是这套体系的核心技术，它通过为每种协议分配独立的带宽通道，防止单一协议占用过多CPU资源。与传统的QoS不同，CPCAR工作在控制平面层面，专门保护上送CPU的协议报文和管理流量。
在实际部署中，我们需要重点关注三类协议：
- 路由协议：OSPF、BGP等
- 管理协议：SSH、TELNET、HTTPS等
- 二层协议：STP、LACP等
提示：使用
display cpu-defend configuration可以查看各协议的默认CPCAR值，这些默认值通常比较保守，需要根据实际网络规模调整。
2. 构建基础防护策略
2.1 创建防攻击策略框架
首先需要创建一个防攻击策略容器，所有相关配置都将在这个策略下实施：
[Huawei]cpu-defend policy SECURE_POLICY [Huawei-cpu-defend-policy-SECURE_POLICY]description "Core protection policy for OSPF/BGP/SSH"2.2 黑名单与ACL联动
将可疑IP加入黑名单是最直接的防护手段，但关键在于如何智能识别攻击源：
[Huawei]acl 2000 [Huawei-acl-basic-2000]rule deny source 192.168.1.100 0 [Huawei-acl-basic-2000]rule deny source 10.0.0.0 0.255.255.255 [Huawei-cpu-defend-policy-SECURE_POLICY]blacklist 1 acl 2000配合以下监控命令可实时发现攻击源：
display cpu-defend statistics packet-type ospf display cpu-defend statistics packet-type bgp3. 协议级精细化防护
3.1 OSPF协议防护配置
OSPF作为链路状态协议，对泛洪攻击特别敏感。建议采用分层防护策略：
[Huawei-cpu-defend-policy-SECURE_POLICY]car packet-type ospf cir 2048 [Huawei-cpu-defend-policy-SECURE_POLICY]linkup-car packet-type ospf cir 1024 cbs 128000 [Huawei]cpu-defend application-apperceive ospf enable关键参数说明：
| 参数 | 建议值 | 作用 |
|---|---|---|
| cir | 2048 kbps | 正常运行时最大带宽 |
| linkup-cir | 1024 kbps | 邻居建立阶段带宽 |
| cbs | 128000 bytes | 突发流量容忍度 |
3.2 BGP协议防护配置
BGP会话中断可能导致大规模路由震荡，需要特别关注：
[Huawei-cpu-defend-policy-SECURE_POLICY]car packet-type bgp cir 3072 [Huawei-cpu-defend-policy-SECURE_POLICY]linkup-car packet-type bgp cir 2048 cbs 256000 [Huawei]cpu-defend application-apperceive bgp enable4. 端口类型与策略联动
华为交换机支持三种端口类型，防护策略可以基于端口类型差异化应用：
[Huawei-GigabitEthernet0/0/1]port-type uni [Huawei-cpu-defend-policy-SECURE_POLICY]port-type uni packet-type ospf [Huawei-cpu-defend-policy-SECURE_POLICY]port-type nni packet-type bgp典型应用场景：
- UNI端口：连接终端或接入设备，限制严格
- NNI端口：连接核心网络，限制相对宽松
- ENI端口：特殊业务场景使用
5. 安全运维与效果验证
部署完成后，需要通过一系列命令验证策略是否真正生效：
display cpu-defend policy display cpu-defend applied all display cpu-defend rate建议制作定期检查清单：
每日检查：
- CPU利用率峰值记录
- 协议报文丢弃统计
每周检查：
- 策略与实际生效值对比
- 黑名单有效性评估
每月检查：
- CAR值优化调整
- 端口类型策略复审
在实际运维中，我们发现OSPF协议最容易受到攻击，特别是在大型金融网络中，合理的CPCAR配置可以减少90%以上的协议震荡事件。而BGP协议则需要更多带宽资源，过度限制反而会导致路由收敛变慢。