USG5300/5500攻击防范配置指导

关注

原创最新推荐文章于 2026-03-17 08:58:38 发布 2.7k 阅读 AI 写同款· GEO 优化 ›

华为防火墙USG多出口网络场景是如何排除故障的？故障案例 USG2230多出口网络场景配置非等价默认路由时，NAT SERVER映射不通的故障排查问题描述 USG2230配置等价路由时从外网访问内网服务器映射出去的公网地址是通的,但将映射出去的公网IP地址所在网段的默认路由的优先级调低(优先级数值配置大于默认的60)时,从外网再访问却不通。处理过程根据问题的描述可以判定导致该问题的原因应该是没有配置源进源出功能所致,在各个出接口下配置源进源出功能: interface GigabitEthernet0/0/0 ip address A.A.6 阅读详情

各种攻击防范使用注意事项

tcp-illeage-session

现网一般不建议开启。如果开启，firewall defend tcp-illeage-session packet INTEGER<1-255>不建议修改，保留1这个默认值。因为很多协议都是短连接，如http，三次握手成功后，可能只通信几个报文，这样如果通信的数据报文个数小于配置的值，则会出现误报；firewall defend tcp-illeage-session packet 1 interval INTEGER<1-240>可以修改时间间隔，如30秒（默认值为15秒）。如果是NAT访问的场景，则出现空闲超时会话超过阈值的可能性较大，所以对于这种场景不建议开启黑名单。
dns-flood

只有在将USG5300/5500部署在DNS服务器前，专门用于保护DNS服务器时，并且DNS服务器支持基于TCP的DNS请求，才有必要开启，否则不需要开启。
ip-spoof

在配置了策略路由或多出接口的场景下，容易出现到达某个报文源地址的接口与报文入接口不一致的情况，从而满足ip-spoof攻击检测的条件，导致误报，这种场景下必须关闭ip-spoof攻击防范。

透明模式下由于无法查路由，ip-spoof无效，所以透明模式下没必要开启ip-spoof攻击防范。
smurf

透明模式下由于无法查路由，smurf无效，所以透明模式下没必要开启smurf攻击防范。
teardrop

在GRE场景下（包括GRE报文穿越USG5300/5500和USG5300/5500作为GRE端点等）以及GTP报文穿越USG5300/5500时，建议关闭teardrop攻击防范，因为GRE报文或GTP报文如果在网络中分片，则分片报文可能会满足teardrop攻击检测条件而被丢弃，导致业务异常。
ip-sweep

当防火墙内网存在NAT或代理等场景时，会出现同一个IP地址针对不同的目的地址的大量访问，容易达到ip-sweep的条件，从而影响正常业务。一般不建议开启。

推荐配置说明

防范类型	说明
firewall defend land enable	针对源地址和目的地址相同的TCP报文或源地址是环回地址的报文进行丢包，并报攻击日志。
firewall defend smurf enable	针对目的地址是出接口的广播地址的报文进行丢包，并报攻击日志。
firewall defend source-route enable	针对携带IPOPT_SSRR（严格的源站路由选项）和IPOPT_LSRR（宽松的源站路由选项）IP选项的报文进行丢包，并报攻击日志。
firewall defend route-record enable	针对携带IPOPT_RR（IP记录路由选项）IP选项的报文进行丢包，并报攻击日志。
firewall defend tracert enable	针对ICMP超时报文（ICMP TYPE为11，且CODE不为1）和端口不可达报文（ICMP TYPE为3，CODE为3）进行丢包，并报攻击日志。
firewall defend time-stamp enable	针对携带IPOPT_TIMESTAMP（IP时间戳选项）IP选项的报文进行丢包，并报攻击日志。
firewall defend ping-of-death enable	针对分片偏移+该IP报文长度-IP头首部长度大于65515的报文进行丢包，并报攻击日志。
firewall defend ip-fragment enable	针对满足DF（不可分片标记）=1 && MF（还有后续片标记）=1、DF=1 && Fragment Offset（分片偏移） != 0、DF=0 && Fragment Offset + IP报文长度 > 65535条件的报文进行丢包，并报攻击日志。
firewall defend syn-flood enable	如果入接口收到的SYN报文的速率大于max-rate值（默认为1000PPS），就启用TCP代理或反向源探测进行防御（默认使用TCP代理），并报攻击日志。
firewall defend udp-flood enable	如果入接口收到的UDP新建的速率大于max-rate值（默认500000cps），就开始进行限流，并报攻击日志。
firewall defend icmp-flood enable	如果入接口收到的ICMP新建的速率大于max-rate值（默认500000cps），就开始进行限流，并报攻击日志。如果针对一条ICMP会话的首包方向的ICMP报文速率超过base-session max-rate值（默认255pps）时开始做限流，并报攻击日志。
firewall defend syn-flood interface GigabitEthernetX/X/X max-rate 16000	由于只开启firewall defend syn-flood enable时max-rate值很小，网络中很容易超过这个值，所以需要修改为16000，以避免正常业务流量也会报攻日志。