這種情況，將會(huì)觸發(fā)exceed-action行為，表明BC桶內(nèi)令牌數(shù)量不夠，但是BE桶內(nèi)令牌數(shù)量足夠。

3)        BE桶內(nèi)婁前令牌數(shù)量<路由器底層實(shí)際需要傳輸?shù)臄?shù)據(jù)包的數(shù)量，將會(huì)觸發(fā)violate-action行為，表明BC和BE每個(gè)桶都不夠。

 

接下來，我們將用兩個(gè)具體的實(shí)例來說明CAR的工作原理。

實(shí)例1：

在這個(gè)例子中，traffic policing被配置為CIR 8000bit/s , BC被配置為1000byte,

初始到達(dá)一個(gè)450字節(jié)的數(shù)據(jù)包，0.25秒之后，到達(dá)一個(gè)900字節(jié)的數(shù)據(jù)包。

police被關(guān)聯(lián)在fa0/0的output方向。

 

Router(config)# class-map access-match

Router(config-cmap)# match access-group 1

Router(config-cmap)# exit

Router(config)# policy-map police-setting

Router(config-pmap)# class access-match

Router(config-pmap-c)# police 8000 1000 conform-action transmit exceed-action drop

Router(config-pmap-c)# exit

Router(config-pmap)# exit

Router(config)# interface fastethernet 0/0

Router(config-if)# service-policy output police-setting

 

     在這個(gè)例子中，初始的token buckets中裝滿1000byte的tokens,如果在初始階段到達(dá)450字節(jié)的數(shù)據(jù)包，那么需要從token bucket中流出450字節(jié)的tokens, 此時(shí)，token buckets中剩余(1000-450)byte=550字節(jié)的tokens,token bucket中的token數(shù)量有富裕，將觸發(fā)comform-action行為，450字節(jié)的數(shù)據(jù)包將被transmit。0.25秒之后，一個(gè)800字節(jié)的數(shù)據(jù)包到達(dá)，在0.25秒的時(shí)間間隔之內(nèi)，token buckets中將注入(8000bps/8)*0.25s=250字節(jié)的tokens,此時(shí)，token buckets中共剩余(550+250)byte=800字節(jié)的tokens, 由于到達(dá)的數(shù)據(jù)包的大小為900字節(jié)，需要從token buckets中流出相應(yīng)字節(jié)的token數(shù)，而此時(shí)，token buckets中的token數(shù)量不夠，將會(huì)觸發(fā)exceed-action行為，此900字節(jié)大小的數(shù)據(jù)包將被drop。

 

重要結(jié)論：通過以上分析，我們不難發(fā)現(xiàn)，數(shù)據(jù)包被傳輸還是被丟棄，實(shí)際上不僅僅取決于數(shù)據(jù)包自身的大小，還取決于兩個(gè)連續(xù)數(shù)據(jù)包之間的時(shí)間間隔。

 

實(shí)例2：

在這個(gè)例子中，traffic policing被配置為CIR 8000bit/s , BC被配置為1000bytes,BE被配置為1000bytes。

初始到達(dá)一個(gè)450字節(jié)的數(shù)據(jù)包，0.25秒之后，到達(dá)一個(gè)900字節(jié)的數(shù)據(jù)包。

0.4秒之后，到達(dá)一個(gè)1000字節(jié)的數(shù)據(jù)包，0.2秒之后，到達(dá)一個(gè)400字節(jié)的數(shù)據(jù)包。

police被關(guān)聯(lián)在fa0/0的output方向。

 

Router(config)# class-map access-match

Router(config-cmap)# match access-group 1

Router(config-cmap)# exit

Router(config)# policy-map police-setting

Router(config-pmap)# class access-match

Router(config-pmap-c)# police 8000 1000 1000 conform-action transmit exceed-action set-prec-transmit 1  violate-action drop

Router(config-pmap-c)# exit

Router(config-pmap)# exit

Router(config)# interface fastethernet 0/0

Router(config-if)# service-policy output police-setting

 

     在這個(gè)例子中，初始的token buckets中裝滿1000byte的token,如果在初始階段到達(dá)450字節(jié)的數(shù)據(jù)包，那么需要從token bucket中流出450字節(jié)的tokens, 此時(shí)，token buckets中剩余(1000-450)byte=550字節(jié)的token,token bucket中的token數(shù)量有富裕，將觸發(fā)comform-action行為，450字節(jié)的數(shù)據(jù)包將被transmit。0.25秒之后，一個(gè)800字節(jié)的數(shù)據(jù)包到達(dá)，在0.25秒的時(shí)間間隔之內(nèi)，token buckets中將注入(8000bps/8)*0.25s=250字節(jié)的token,此時(shí)，token buckets中共剩余(550+250)byte=800字節(jié)的token , 由于到達(dá)的數(shù)據(jù)包的大小為900字節(jié)，需要從token buckets中流出相應(yīng)字節(jié)的token數(shù)，而此時(shí)，BC桶中的token只有800字節(jié)，數(shù)量不夠，但是BE桶中有1000字節(jié)，路由器會(huì)直接向BE桶借900字節(jié)的token,此時(shí)，BC桶中token數(shù)量不夠，但是BE桶中token數(shù)量足夠，將觸發(fā)exceed-action行為,900字節(jié)的數(shù)據(jù)包將會(huì)被set-prec-transmit 1。900字節(jié)的數(shù)據(jù)包被處理完成之后，BC桶中剩余800字節(jié)的tokens,BE桶中剩余100字節(jié)的tokens。0.4秒之后又到達(dá)一個(gè)1000字節(jié)大小的數(shù)據(jù)包，在這0.4秒之內(nèi)，BC桶中將被新注入(8000bps/8*0.4)=400bytes的token,BC桶現(xiàn)在800字節(jié)的token,BC桶最多只能容納1000字節(jié)的token,故路由器先將BC桶注滿(增加200bytes的tokens,BC桶此時(shí)共1000字節(jié)的tokens)，多余的200字節(jié)的tokens將被注入進(jìn)BE桶（增加200bytes的tokens,BE桶共300字節(jié)的tokens）。當(dāng)把1000字節(jié)的數(shù)據(jù)包傳遞之后，BC桶中的剩余的tokens數(shù)量剛好為0，BE桶中的token數(shù)量保持不變（300字節(jié)），將會(huì)觸發(fā)conform-action行為，此數(shù)據(jù)包將被transmit。0.2秒之后又到達(dá)一個(gè)400字節(jié)的數(shù)據(jù)包，在這0.2秒之內(nèi)，BC桶中將新注入(8000bps/8*0.2)=200bytes的tokens,此時(shí)BC桶中總的tokens數(shù)量為200bytes的tokens,BE桶中共有300bytes的tokens,需要傳遞的數(shù)據(jù)包為400字節(jié)，BC桶、BE桶中的tokens數(shù)量都不夠，此時(shí)，將會(huì)觸發(fā)violate-action行為，此數(shù)據(jù)包將被drop。

在深入理解了Traffic-Police的工作原理之后，接下來我們講述一個(gè)利用此技術(shù)緩解smurf攻擊的實(shí)例。

smurf攻擊的工作原理：

 

 

                  

 

            

                                             

    Internet中有兩臺(tái)真實(shí)PC，一臺(tái)H11的IP地址為1.1.1.1，另一臺(tái)H33的IP地址為3.3.3.3，R1后方的ethernet網(wǎng)絡(luò)內(nèi)有一個(gè)以太網(wǎng)段192.168.20.0/24，假設(shè)主機(jī)H11是一個(gè)攻擊者，它發(fā)起一個(gè)到子網(wǎng)192.168.20.0的ICMP echo廣播報(bào)文，報(bào)文的源IP地址被偽造成他想要攻擊的PC H33的IP地址3.3.3.3,目的地址為192.168.20.255(子網(wǎng)廣播地址),當(dāng)R1后方網(wǎng)段內(nèi)的每臺(tái)主機(jī)收到此廣播報(bào)文后，都將作出相同的響應(yīng)：返回單播報(bào)文，此報(bào)文的目的地址為3.3.3.3(此時(shí)，R1后方的ethernet網(wǎng)絡(luò)被攻擊者利用，成為一個(gè)攻擊的放大器)。這樣真實(shí)主機(jī)H33將收到192.168.20.0/24網(wǎng)段內(nèi)所有主機(jī)的ICMP echo-reply的洪泛，最終主機(jī)H33的系統(tǒng)資源將被耗盡。

 

理解了smurf攻擊的工作原理之后，我們可以用traffic-police減緩smurf攻擊。

下面的示例給出了路由器R1上的配置：

 

Router1(config)# access-list 101 permit icmp any any echo

Router1(config)# class-map DOS

Router1(config-cmap)# match access-group 101

Router1(config-cmap)# exit

Router1(config)# policy-map DENY_DOS

Router1(config-pmap)# class DOS

Router1(config-pmap-c)# police 25600 8000 conform-action transmit exceed-action drop

Router1(config-pmap-c)# exit

Router1(config-pmap)# exit

Router1(config)# interface serial 0/0

Router1(config-if)# service-policy input DENY_DOS
 

億恩科技地址(ADD)：鄭州市黃河路129號(hào)天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯(lián)系：億恩小凡
   QQ：89317007
   電話:0371-63322206