锐捷 NFPP

作者：Gausst松鼠会 | 2024-04-28 12:23:06

踩

nfpp

NFPP 作为保护交换机自身 CPU 不受攻击，不能替代防范 ARP 欺骗相关的安全功能，设备缺省支持并打开 NFPP，建议保留开启并适当调整。

调整原则：

1 、在接入设备上，通常无需调整，因为非网关设备，没有配置网关 IP 地址也不会运行一些复杂路由，管理协议等，无需额外消耗CPU ，所以很少会遭受攻击。

2 、在汇聚设备上，默认的基于端口的限速 100PPS/ 攻击 200 PPS 阈值偏小，当端口下用户较多， ARP 攻击较多时，可能导致用户正常的ARP 报文丢弃，导致用户端丢包，需要放大。经验值调整为每端口限速 500PPS/攻击 800PPS 较为合理，其他基于 IP/MAC 的限速攻击检测无需调整。

3 、隔离功能通常不建议开启，在汇聚设备上如果用户攻击非常频繁，导致设备 CPU80%-90% 以上，此时可以考虑进行硬件隔离，并放大当前攻击的检测阈值，防止误判。因为一旦隔离将会导致这些攻击性质的用户无法上网。

一、组网需求

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/Gausst松鼠会/article/detail/502229