极简网络之终端清静手艺剖析

极简网络是面向下一代园区网络设计的解决计划，目的是资助客户解决恒久保存于古板网络中的诸多问题，在终端应用网络时的清静性包管方面也有优异的支持。

#交流机

宣布时间：2014-08-21
点击量：
点赞：

分享至

我想谈论

极简网络是面向下一代园区网络设计的解决计划，目的是资助客户解决恒久保存于古板网络中的诸多问题，例如运维管理事情重大，终端用户体验包管缺乏，新营业安排希望缓慢等问题。其中，在终端应用网络时的清静性包管方面也有优异的支持，详细体现在如下四个场景中：

1、避免未认证终端的ARP诱骗

由于WEB认证，需要先让装备学习到终端ARP，终端才华做WEB认证，而这时代仿冒未认证终端做ARP诱骗，就会导致终端无法完成认证历程。针对该问题，RG-N18000系列交流机当爆发ARP冲突时，会为每个终端保存2分钟的认证时间。确保终端在这时代有足够的时间认证乐成。

2、避免IP地址冲突

为了检测终端间IPv4和IPv6地址冲突的情形，而IPv4主机地址冲突检测机制依赖终端的免费ARP的广播，IPv6主机地址冲突检测机制依赖IPv6的MAD的广播检测机制。这些都可能造成对其他装备的诱骗攻击。RG-N18000系列交流机接纳ARP和ND代理机制来解决既阻止攻击又能提醒终端保存地址的情形，即当终端发出的ARP请求与交流机上的认证天生的静态ARP地址或者ND地址冲突的情形，由交流机代理被冲突的终端发出免费ARP和ND报文。

3、避免终端的报文洪水攻击

即终端向RG-N18000系列交流机提倡大宗的ARP、ND、ICMP报文攻击（包括终端环路的情形），交流机的NFPP和CPP机制可以检测和发明这些终端，并对这些终端实验硬件隔离。详细机制拜见CPP和NFPP的设置指南。

4、避免终端的DHCP扫描攻击

即终端向RG-N18000系列交流机提倡大宗的DHCP请求报文攻击（包括终端环路的情形），导致DHCP Server的地址池资源耗尽，N18k支持基于PORT+VID限制（也就是单个终端）地址学习数目，从而确保地址资源不会被某些终端攻击而耗尽。