|
Sophos XG繼承自Cyberoam有提供簡單的DoS防護設定。
這簡單的DoS防護分為SYN/UDP/TCP/ICMP四大類的flood閥值設定，
只要超出設定值，多餘的封包就會被丟棄。
而被丟棄的封包數量則會出現在第一個頁面的DoS Attacks統計表中。
不過這個WebUI的DoS防護其實相當陽春，則了選擇來源端或目的端的啟用與否與閥值外，
無法做到其它諸如某個介面或Zone到另一個區域的細項設定。
在上了Sophos XG的Architect課程後，發現原來DoS功能有其它進階細項設定，
只不過這些細項設定必需在Console Mode下透過指令來下達。
Sophos XG DoS的進階設定包含兩個主要成員DoS Policy與DoS Rule。
就如同其它防火牆規則一樣，先在DoS Policy定義好要過濾的Protocol與閥值，
然後在DoS Rule中定義好要套用的DoS Policy與來源/目的區域，這樣就完成了∼
DoS Policy指令如下。
System dos-config add dos-policy policy-name <name> [SYN-Flood <limit> pps <per-src|per-dst|global>] [UDP-Flood <limit> pps <per-src|per-dst|global>] [ICMP-Flood <limit> pps <per-src|per-dst|global>] [IP-Flood <limit> pps <per-src|per-dst|global>]
Dos Rule指令如下。
system dos-config add dos-rule rule-name <name> [options] [rule-position <position>] dos-policy <policy-name>
舉例來說，若我們想設定每秒不能超過100個UDP封包的DoS Policy，
然後套用在LAN to DMZ的方向上，對每個來源端做限制，
其指令如下。(DMZ網段為10.1.1.0/24)
system dos-config add dos-policy policy-name UDP-Test UDP-Flood 100 pps per-src
system dos-config add dos-rule rule-name LAN-to-DMZ-UDP src-zone LAN dstip 10.1.1.0 netmask 255.255.255.0 protocol udp dos-policy UDP-Test
當套用完設定，從LAN端打出大量UDP封包到DMZ端時，大於100 pps的封包就會被XG給攔下，而顯示在DoS Attacks統計頁面中。
參考資料
順子用來打大量封包的工具是LOIC，可在 這裏 下載。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2017-03-20, 11:24
《分享》DoS進階設定
《分享》更新補充