IP+MAC+端口 做不了
IP+MAC+端口+VLAN 做不了
131 ARP防止IP报文攻击功能简介
如果网络中有主机通过向设备发送大量目标IP地址不能解析的IP报文来攻击设备，则会造成下面的危害：
l 设备向目的网段发送大量ARP请求报文，加重目的网段的负载。
l 设备会试图反复地对目标IP地址进行解析，增加了CPU的负担。
为避免这种IP报文攻击所带来的危害，设备提供了下列两个功能：
l 如果发送攻击报文的源是固定的，可以采用ARP源抑制功能。开启该功能后，如果网络中某主机向设备某端口连续发送目标IP地址不能解析的IP报文，当每5秒内由此主机发出IP报文触发的ARP请求报文的流量超过设置的阈值，那么对于由此主机发出的IP报文，设备不允许其触发ARP请求，直至5秒后再处理，从而避免了恶意攻击所造成的危害。
l 如果发送攻击报文的源不固定，可以采用ARP黑洞路由功能。开启该功能后，一旦接收到目标IP地址不能解析的IP报文，设备立即产生一个黑洞路由，使得设备在一段时间内将去往该地址的报文直接丢弃。等待黑洞路由老化时间过后，如有报文触发则再次发起解析，如果解析成功则进行转发，否则仍然产生一个黑洞路由将去往该地址的报文丢弃。这种方式能够有效地防止IP报文的攻击，减轻CPU的负担。
132 配置ARP防止IP报文攻击功能
1 配置ARP源抑制功能
表1-2 配置ARP源抑制功能
*** 作
命令
说明
进入系统视图
system-view
-
使能ARP源抑制功能
arp source-suppression enable
必选
缺省情况下，关闭ARP源抑制功能
配置ARP源抑制的阈值
arp source-suppression limit limit-value
可选
缺省情况下，ARP源抑制的阈值为10
133 ARP防止IP报文攻击显示和维护
在完成上述配置后，在任意视图下执行display命令可以显示配置后ARP源抑制的运行情况，通过查看显示信息验证配置的效果。
表1-3 ARP源抑制显示和维护
*** 作
命令
显示ARP源抑制的配置信息
display arp source-suppression [ | { begin | exclude | include } regular-expression ]
14 配置源MAC地址固定的ARP攻击检测功能
141 源MAC地址固定的ARP攻击检测功能简介
本特性根据ARP报文的源MAC地址进行统计，在5秒内，如果收到同一源MAC地址的ARP报文超过一定的阈值，则认为存在攻击，系统会将此MAC地址添加到攻击检测表项中。在该攻击检测表项老化之前，如果设置的检查模式为过滤模式，则会打印告警信息并且将该源MAC地址发送的ARP报文过滤掉；如果设置的模式为监控模式，则只打印告警信息，不会将该源MAC地址发送的ARP报文过滤掉。
对于网关或一些重要的服务器，可能会发送大量ARP报文，为了使这些ARP报文不被过滤掉，可以将这类设备的MAC地址配置成保护MAC地址，这样，即使该MAC地址存在攻击也不会被检测、过滤。
只对上送CPU的ARP报文进行统计。
142 配置源MAC地址固定的ARP攻击检测功能
表1-4 配置源MAC地址固定的ARP攻击检测功能
配置步骤
命令
说明
进入系统视图
system-view
-
使能源MAC地址固定的ARP攻击检测功能，并选择检查模式
arp anti-attack source-mac { filter | monitor }
必选
缺省情况下，源MAC地址固定的ARP攻击检测功能处于关闭状态
配置源MAC地址固定的ARP报文攻击检测的阈值
arp anti-attack source-mac threshold threshold-value
可选
配置源MAC地址固定的ARP防攻击检测表项的老化时间
arp anti-attack source-mac aging-time time
可选
缺省情况下，源MAC地址固定的ARP防攻击检测表项的老化时间为300秒，即5分钟
配置保护MAC地址
arp anti-attack source-mac exclude-mac mac-address&<1-n>
可选
缺省情况下，没有配置任何保护MAC地址
n的取值范围和设备相关，请以设备的实际情况为准
对于已添加到源MAC地址固定的ARP防攻击检测表项中的MAC地址，在等待设置的老化时间后，会重新恢复成普通MAC地址。
143 源MAC地址固定的ARP攻击检测显示和维护
在完成上述配置后，在任意视图下执行display命令可以显示配置后源MAC地址固定的ARP攻击检测的运行情况，通过查看显示信息验证配置的效果。
表1-5 源MAC地址固定的ARP攻击检测显示和维护
*** 作
命令
显示检测到的源MAC地址固定的ARP防攻击检测表项
display arp anti-attack source-mac [ interface interface-type interface-number ] [ | { begin | exclude | include } regular-expression ]
15 配置ARP报文源MAC地址一致性检查功能
151 ARP报文源MAC地址一致性检查功能简介
ARP报文源MAC地址一致性检查功能主要应用于网关设备上，防御以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同的ARP攻击。
配置本特性后，网关设备在进行ARP学习前将对ARP报文进行检查。如果以太网数据帧首部中的源MAC地址和ARP报文中的源MAC地址不同，则认为是攻击报文，将其丢弃；否则，继续进行ARP学习。
152 配置ARP报文源MAC地址一致性检查功能
表1-6 配置ARP报文源MAC地址一致性检查功能
配置步骤
命令
说明
进入系统视图
system-view
-
使能ARP报文源MAC地址一致性检查功能
arp anti-attack valid-check enable
必选
缺省情况下，关闭ARP报文源MAC地址一致性检查功能
16 配置ARP主动确认功能
161 ARP主动确认功能简介
ARP的主动确认功能主要应用于网关设备上，防止攻击者仿冒用户欺骗网关设备。
启用ARP主动确认功能后，设备在新建或更新ARP表项前需进行主动确认，防止产生错误的ARP表项。关于工作原理的详细介绍请参见“ARP攻击防范技术白皮书”。
162 配置ARP主动确认功能
表1-7 配置ARP主动确认功能
配置步骤
命令
说明
进入系统视图
system-view
-
使能ARP主动确认功能
arp anti-attack active-ack enable
必选
缺省情况下，关闭ARP主动确认功能
17 配置授权ARP功能
l 本特性目前仅支持三层以太网接口。
l 关于DHCP服务器和DHCP中继的介绍，请参见“三层技术-IP业务配置指导”中的“DHCP”。
171 授权ARP功能简介
所谓授权ARP（Authorized ARP），就是根据DHCP服务器生成的租约或者DHCP中继生成的安全表项同步生成ARP表项。
使能接口的授权ARP功能后：
l 系统会启动接口下授权ARP表项的老化探测功能，可以检测用户的非正常下线；
l 系统会禁止该接口学习动态ARP表项，可以防止用户仿冒其他用户的IP地址或MAC地址对网络进行攻击，保证只有合法的用户才能使用网络资源，增加了网络的安全性。
静态ARP表项可以覆盖授权ARP表项，授权ARP表项可以覆盖动态ARP表项，但是授权ARP表项不能覆盖静态ARP表项，动态ARP表项不能覆盖授权ARP表项。
172 配置授权ARP功能
表1-8 配置授权ARP功能
*** 作
命令
说明
进入系统视图
system-view
-
进入接口视图
interface interface-type interface-number
-
配置DHCP服务器（DHCP中继）支持授权ARP功能
dhcp update arp
必选
缺省情况下，DHCP服务器（DHCP中继）不支持授权ARP功能
使能授权ARP功能
arp authorized enable
必选
缺省情况下，接口下没有使能授权ARP功能
配置授权ARP表项的老化时间
arp authorized time-out seconds
可选
缺省情况下，接口下授权ARP表项的老化时间为1200秒
如果DHCP服务器（DHCP中继）不支持授权ARP功能，当配置了arp authorized enable命令后，只是会禁止该接口学习动态ARP表项，不会同步生成授权ARP表项。
173 授权ARP功能在DHCP服务器上的典型配置举例
1 组网需求
l Router A是DHCP服务器，为同一网段中的客户端动态分配IP地址，地址池网段为10110/24。通过在接口Ethernet1/1上启用授权ARP功能对客户端进行老化探测，并保证客户端的合法性。
l Router B是DHCP客户端，通过DHCP协议从DHCP服务器获取IP地址。
2 组网图
图1-1 授权ARP功能典型配置组网图
3 配置步骤
(1) 配置Router A
# 配置接口的IP地址。
<RouterA> system-view
[RouterA] interface ethernet 1/1
[RouterA-Ethernet1/1] ip address 10111 24
[RouterA-Ethernet1/1] quit
# 使能DHCP服务。
[RouterA] dhcp enable
[RouterA] dhcp server ip-pool 1
[RouterA-dhcp-pool-1] network 10110 mask 2552552550
[RouterA-dhcp-pool-1] quit
# 进入三层以太网接口视图。
[RouterA] interface ethernet 1/1
# 使能DHCP同步ARP表项功能。
[RouterA-Ethernet1/1] dhcp update arp
# 使能接口授权ARP功能。
[RouterA-Ethernet1/1] arp authorized enable
# 配置接口下授权ARP的老化时间。
[RouterA-Ethernet1/1] arp authorized time-out 120
[RouterA-Ethernet1/1] quit
(2) 配置Router B
<RouterB> system-view
[RouterB] interface ethernet 1/1
[RouterB-Ethernet1/1] ip address dhcp-alloc
[RouterB-Ethernet1/1] quit
(3) Router B获得Router A分配的IP后，在Router A查看授权ARP信息。
[RouterA] display arp all
Type: S-Static D-Dynamic A-Authorized
IP Address MAC Address VLAN ID Interface Aging Type
10112 0012-3f86-e94c N/A Eth1/1 2 A
从以上信息可以获知Router A为Router B动态分配的IP地址为10112。
此后，Router B与Router A通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。
如果Router B非正常下线（比如，异常断电），待老化时间过后，Router A将删除相应的授权ARP表项。
174 授权ARP功能在DHCP中继上的典型配置举例
1 组网需求
l Router A是DHCP服务器，为不同网段中的客户端动态分配IP地址，地址池网段为101010/24。
l Router B是DHCP中继，通过在接口Ethernet1/2上启用授权ARP功能对客户端进行老化探测，并保证客户端的合法性。
l Router C是DHCP客户端，通过DHCP中继从DHCP服务器获取IP地址。
2 组网图
图1-2 授权ARP功能典型配置组网图
3 配置步骤
(1) 配置Router A
# 配置接口的IP地址。
<RouterA> system-view
[RouterA] interface ethernet 1/1
[RouterA-Ethernet1/1] ip address 10111 24
[RouterA-Ethernet1/1] quit
# 使能DHCP服务。
[RouterA] dhcp enable
[RouterA] dhcp server ip-pool 1
[RouterA-dhcp-pool-1] network 101010 mask 2552552550
[RouterA-dhcp-pool-1] gateway-list 101011
[RouterA-dhcp-pool-1] quit
[RouterA] ip route-static 101010 24 10112
(2) 配置Router B
# 使能DHCP服务。
<RouterB> system-view
[RouterB] dhcp enable
# 配置接口的IP地址。
[RouterB] interface ethernet 1/1
[RouterB-Ethernet1/1] ip address 10112 24
[RouterB-Ethernet1/1] quit
[RouterB] interface ethernet 1/2
[RouterB-Ethernet1/2] ip address 101011 24
# 配置Ethernet1/2接口工作在DHCP中继模式。
[RouterB-Ethernet1/2] dhcp select relay
[RouterB-Ethernet1/2] quit
# 配置DHCP服务器的地址。
[RouterB] dhcp relay server-group 1 ip 10111
# 配置Ethernet1/2接口对应DHCP服务器组1。
[RouterB] interface ethernet 1/2
[RouterB-Ethernet1/2] dhcp relay server-select 1
# 使能DHCP同步ARP表项功能。
[RouterB-Ethernet1/2] dhcp update arp
# 使能接口授权ARP功能。
[RouterB-Ethernet1/2] arp authorized enable
# 配置接口下授权ARP的老化时间。
[RouterB-Ethernet1/2] arp authorized time-out 120
[RouterB-Ethernet1/2] quit
(3) 配置Router C
<RouterC> system-view
[RouterC] ip route-static 10110 24 101011
[RouterC] interface ethernet 1/2
[RouterC-Ethernet1/2] ip address dhcp-alloc
[RouterC-Ethernet1/2] quit
(4) Router C获得Router A分配的IP后，在Router B查看授权ARP信息。
[RouterB] display arp all
Type: S-Static D-Dynamic A-Authorized
IP Address MAC Address VLAN ID Interface Aging Type
101012 0012-3f86-e94c N/A Eth1/2 2 A
从以上信息可以获知Router A为Router C动态分配的IP地址为101012。
此后，Router C与Router B通信时采用的IP地址、MAC地址等信息必须和授权ARP表项中的一致，否则将无法通信，保证了客户端的合法性。
如果Router C非正常下线（比如，异常断电），待老化时间过后，Router B将删除相应的授权ARP表项。
18 配置ARP自动扫描、固化功能
181 ARP自动扫描、固化功能简介
ARP自动扫描功能一般与ARP固化功能配合使用：
l 启用ARP自动扫描功能后，设备会对局域网内的邻居自动进行扫描（向邻居发送ARP请求报文，获取邻居的MAC地址，从而建立动态ARP表项）。
l ARP固化功能用来将当前的ARP动态表项（包括ARP自动扫描生成的动态ARP表项）转换为静态ARP表项。通过对动态ARP表项的固化，可以有效的防止攻击者修改ARP表项。
推荐在网吧这种环境稳定的小型网络中使用这两个功能。
182 配置ARP自动扫描、固化功能
表1-9 配置ARP自动扫描、固化功能
*** 作
命令
说明
进入系统视图
system-view
-
进入接口视图
interface interface-type interface-number
-
启动ARP自动扫描功能
arp scan [ start-ip-address to end-ip-address ]
必选
退回系统视图
quit
-
配置ARP固化功能
arp fixup
可选
l 对于已存在ARP表项的IP地址不进行扫描。
l 扫描 *** 作可能比较耗时，用户可以通过Ctrl_C来终止扫描（在终止扫描时，对于已经收到的邻居应答，会建立该邻居的动态ARP表项）。
l 固化后的静态ARP表项与配置产生的静态ARP表项相同。
l 通过arp fixup命令将当前的动态ARP表项转换为静态ARP表项后，后续学习到的动态ARP表项可以通过再次执行arp fixup命令进行固化。
l 固化生成的静态ARP表项数量同样受到设备可以支持的静态ARP表项数目的限制，由于静态ARP表项数量的限制可能导致只有部分动态ARP表项被固化。
l 通过固化生成的静态ARP表项，可以通过命令行undo arp ip-address [ -instance-name ]逐条删除，也可以通过命令行reset arp all或reset arp static全部删除。
情况不同，投入资金不同，方案也不同，提问题要首先说明自己的情况！首先可以肯定一下，能做到。
1、模拟摄像头并且不使用电脑。
如果是模拟摄像头，而且不使用电脑的情况下，可是使用硬盘录像机或视频分割器（当然这两个价格都很贵，万元级别或更高的样子）硬盘录像机或视频分割器都可以把20路视频合并显示在液晶显示器上。
2模拟摄像头并且使用电脑。
这个情况下可以购买视频采集卡，一般来说买卡的时候会赠送视频监控软件，可以把多路视频全屏显示在在显示器上。
3、模拟摄像头加视频服务器DVS
这个情况下，可以通过网络的方式，使用浏览器直接观看。
4、网络数字摄像机
这个情况下，也可以通过网络的方式，使用浏览器直接观看。
5、USB摄像头
这个情况下只能使用电脑进行查看，你可以到网上找得具有监控功能的软件，把20路视频现在在同一个屏幕上。同时显示20路视频对电脑的要求比较高。
欢迎到我的空间来做客。南京一共有3家，看你哪家离你比较近，自己选择一下。
维修站名称： 阳光雨露信息技术服务（北京）有限公司南京站
联系电话： 025-83218706/8701/8703/8708
维修站地址： 南京市高楼门45号一层
维修产品： 服务器、笔记本、NewThinkCentre、台式
乘车路线： 到南京联想维修站可以坐11路15路20路28路1路保泰街（鼓楼广场）下，右下（过交通银行）大约5分钟路程到，26路30路47路46路52路保泰街下正对街到，48路丹凤街下，一直往北10分钟路程到，坐地铁到鼓楼银行下---走到保泰街10分钟
维修站名称： 北京源晨动力技术服务有限公司南京站
联系电话： 025-52415026、52415046、52415629
维修站地址： 江苏省南京市雨花台区共青团路37号
维修产品： NewThinkCentre、台式、笔记本
乘车路线： 路线一：乘河奥线、105区间、游2、游4、26、88、105、305、到雨花新村下, 往北20米即可看到； 路线二：乘安丹线、安铜线、137路、164路、到雨花西路北站下，向东走50米红绿灯向南拐入共青团路往前150米即可看到； 路线三: 乘宁谷线、宁井线、安铜线、东奥线、安丹线、游2、游4、26路、88路、105路、105路区间、137路、164路、305路、317路到雨花台站下向西走20米红绿灯向南拐入共青团路往前150米即可看到；路线四: 乘地铁到中华门站下从3号出口往东50米红绿灯向南拐入共青团路往前150米即可看到；
维修站名称： 上海申铁信息工程有限公司南京分公司南京站
联系电话： 025-84069470/84069477
维修站地址： 江苏省南京市太平北路120号-1
维修产品： 台式、NewThinkCentre、笔记本
乘车路线： A 乘坐3路，52路，44路，140路，游1路，31路，95路，到四牌楼汽车站下车后，在马路东边，向北走200米左右即到。 B 乘坐地铁一号线，可换乘6路，91路，或乘坐47路，95路，珍珠饭店附近浮桥站下，朝鸡鸣寺方向走400米即到
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）