中国移动省网异常流量防护指导方案.docxVIP

省网异常流量防护指导方案 ■版本编号 FhS 2010-06-25 目录 TOC \o 1-5 \h \z 一、 项目概述 1 \o Current Document 二、 现状分析 1 \o Current Document 三、 设备部署逻辑拓扑 2 \o Current Document 四、 路由策略设计 3 \o Current Document 牵引路由设计 3 \o Current Document 注入路由设计 4 \o Current Document 五、 流量检测设计 4 \o Current Document Netflow 配置 4 NTA 部署 5 \o Current Document 六、 ADS?M部署 5 \o Current Document 七、 内网网管部署 5 \o Current Document 八、 物理层对接 6 \o Current Document 九、 设备命名及IP地址分配 9 设备命名表 9 IP 地址 9 \o Current Document 十、路由部署 10 牵引路由 10 注入路山 10 10.2.1 ADS注入路由配置 10.2.1 ADS注入路由配置 错误！未定义书签。 10.2.2 T640注入路 10.2.2 T640注入路FtT配置 错误！未定义书签。 部署测试 部署测试 10 项目概述 在全球运营商市场竞争日趋激烈的格局下，如何通过优质的差异化服务获得客户认可， 从而获得竞争优势、开拓市场空间、扩大市场份额，成为运营商成功与否的关键。 目前，DDoS攻击已经逐渐成为了互联网屮最常见、危害性最人的攻击形式之一。DDoS 攻击不但能够给各类互联网川户和服务捉供商造成业务屮断、系统瘫痪等严重后果，同时也 严重威胁屮国移动的基础设施。 由于商业竟争、政治情绪、经济勒索等因索的驱动，DDoS攻击越來越呈现岀组织化、 规模化、专业化的特点，攻击流量动辄数G、数十G,攻击频率也人有愈演愈烈之势。在这 种紧迫形势卜，配合中国移动北京公司当前的转型战略，建设专门的DDoS攻击流量监测和 清洗平台是一个必然Z选。棊于该平台，一方面可以为移动自身的生产网络提供安全保障， 有效提高生产网络的健壮性；另一方面能够结合移动大客户的安金需求提供DDoS攻击的防 护业务，从而达到保存激增的口的。 此次中国移动北京公司网络流量监测清洗项H建设冃标对途经CMNet北京省网核心层的 异常流量（DDOS）进行流量清洗，同时不影响或较少影响正常的业务运营，并根据界常情况 生成实时和时段的界常报表。 二、现状分析 北京移动在CMNET网络出口改造后，出口兼核心的I川台T640路由器分别部署在望京、 菜市口两个局址，以口字型互联，T640在两局址间通过10GP的数据传输互联。 每台核心路由器均通过一条10GE链路上连至CMNET骨干；每个局址的口有业务通过 本地-?对M320接入，两台M320与本地的两台T640组成口字型结构；四台MX960作为SR 与望京、菜市口两个局址中各-台T640相连，承担宽带及专线用户的接入。 北京移动CMNET内部的互联路由及业务路由全部通过IGP承载，在核心层通过BGP发 布到CMENT骨干上。 CMNET核心层Router有务统自业系3层交换巾机3层中心中JuniperM320JuniperT640吗连道MX960浴亮城MX960亦庄 CMNET 核心层 Router 有务统 自业系 3层交换巾 机 3层 中心 中 Juniper M320 JuniperT640 吗连道 MX960 浴亮城 MX960 亦庄 MX960 宽带SR 业务 書制BRAS 东直门 MX960 *华为 ^ME?0 _ 三、设备部署逻辑拓扑 为增加北京移动CMNET网络的抗DDoS攻击能力，按照DDoS防护棊木思路，将防护 设备一一ADS集群部署于靠近出口的位置，考虑到在实现预期功能的前提下尽量减小在部署 中对北京移动原冇网络配置的影响，将ADS集群旁路部署在北京移动核心路由器T640上， 本项目中共两组ADS集群，在望京、菜市口两个局址各部署一组，分别与本地两的两台 T640通过10GE链路互联，通过IBGP对进入北京移动网络的流量进行牵引过滤，再将清洗 后的流量回送至T640后转发到目标网络。 为对进入北京移动的流量进行检测，将两台NTA部署于北京移动CMNET网络内，通过 Netflow对网络中的特定流量进行采样并进行分析，对各种异常流量产生告警，并可根据盂要 通告ADS集群对异常流量进行牵引过滤。 逻辑部署拓扑图见下图： Cisco 6509馮交mi新iglOGE基路 斯增CEI3路 餅19GE管理链路 ?r?4MW