IP-7750-受攻击上网速度极慢故障处理报告.docVIP

IP 7750受攻击上网速度极慢故障处理报告 IP 7750 2010 CASE 1-3046412 作者：QACC-N 山东分公司 杜军学 【产品类别】： 7750 +TiMOS 6.1.R12 【CASE ID】： 1-3046412 适合用户 【故障级别】： Major 【关键字】： CPU利用率高 攻击 【故障现象】： 某运营商的7750下挂所有用户上网速度突然变得很慢，接到大量的投诉电话. 【告警信息】：可选 【原因分析】： 先查看内存利用率正常，CPU 利用率达到100%，其中IP STACK 就占用了90%， 上网慢很可能就是7750受到了攻击引起CPU利用率被耗尽造成的。将7750容易受攻击的ftp-server/ssh-server关闭后CPU利用率仍然没有下降，查看log,无异常现象。 【解决方法】： 只有通过抓包来找出攻击然后进行过滤。 将CPM收到的ICMP包送到filter log 102,先查ICMP攻击，再查TCP/UDP攻击。 抓包方法如下： A:zhl-7750configsyssecuritycpm-filter# info ip-filter entry 40 create action queue 40 log 102 match protocol icmp exit exit exit 2.查看log里的捕捉到的ICMP信息 发现从上百个地址往73送ICMP包，具体如下： *A:zhl-7750# show filter log 102 =============================================================================== Filter Log =============================================================================== Admin state : Enabled Destination : Memory Wrap : Enabled ------------------------------------------------------------------------------- Maximum entries configured : 1000 Number of entries logged : 1000 2010/11/29 20:01:16 Cpm Filter: 1:40 Desc: Interface: to-sdlcrs-1 Direction: Ingress Action: Forward Src MAC: 00-18-18-73-e5-e7 Dst MAC: 00-16-4d-19-16-fa EtherType: 0800 Src IP: 37 Dst IP: 73 Flags: 0 TOS: 00 TTL: 251 Protocol: ICMP Type: Echo Request Code: 0 2010/11/29 20:01:16 Cpm Filter: 1:40 Desc: Interface: to-lydcrs-1 Direction: Ingress Action: Forward Src MAC: 00-18-18-d4-14-6d Dst MAC: 00-16-4d-19-16-f9 EtherType: 0800 Src IP: 38 Dst IP: 73 Flags: 0 TOS: 00 TTL: 251 Protocol: ICMP Type: Echo Request Code: 0 2010/11/29 20:01:16 Cpm Filter: 1:40 Desc: Interface: to-sdlcrs-1 Direction: Ingress Action: Forward Src MAC: 00-18-18-73-e5-e7 Dst MAC: 00-16-4d-19-16-fa EtherType: 0800 Src IP: 39