4.7 讲解CPP和NFPP技术讲解.pptx

技术讲解CPP和NFPP主讲人：赫颖学校：广东松山职业技术学院

目录CONTENTS01CPP概述02NFPP概述03配置命令

CPP概述01Partone

CPP概述CPP简介CPP：CPU保护策略（CPUProtectPolicy，CPP）是一种设备自身CPU的保护功能，用于避免网络设备的CPU收到网络上不必要和具有恶意攻击目的的数据流，提高网络设备自身安全性能，还可以通过设置QoS过滤机制来保护网络设备的控制平台（ControlPlane，简称CP）在遭受攻击和高负载的情况下仍能保持数据转发和协议状态的稳定。

CPP概述CPP应用场景CPP属于设备默认配置，自动开启，通常无需调整，只在特定场景下，例如DAI防范ARP欺骗方案下，接入交换机需要调整ARP报文的CPP阀值、网络中某一类协议报文的速率太高，比如CDP，导致CPU异常时可以进行限速控制。否则CPU正常值范围值（30%以内），都不建议修改CPP默认值。

NFPP概述02Parttwo

NFPP概述NFPP背景NFPP：网络基础保护策略(NetworkFoundationProtectionPolicy)，简称NFPP。在网络环境中经常发现一些恶意的攻击，这些攻击会给交换机带来过重的负担，引起交换机CPU利用率过高，导致交换机无法正常运行。

NFPP概述NFPP应用场景拒绝服务攻击通过发送大量报文冲击CPU，导致正常的数据无法被CPU处理，从而导致整个网络无法正常运行。NFPP可以有效地防止系统受这些攻击的影响，在受攻击情况下，保护系统各种服务的正常运行，以及保持较低的CPU负载，从而保障了整个网络的稳定运行。

配置命令03Partthree

配置命令配置命令1.CPP配置命令：Ruijie(config)#cpu-protecttypeicmpbandwidth5000//更改ICMP的PPS为5000Ruijie(config)#cpu-protecttraffic-classid3bandwidth8000//由于ICMP对应的class为3，故也需要调整class3的pps值，这里更改为8000Ruijie(config)#cpu-protectcpubandwidth10000//更改送CPU处理的PPS值为10000

配置命令配置命令2.NFPP配置命令：NFPP为默认开启，二层交换机通常无需修改，只需将上联口NFPP关闭。Ruijie(config-if-GigabitEthernet0/25)#nonfpparp-guardenableRuijie(config-if-GigabitEthernet0/25)#nonfppdhcp-guardenableRuijie(config-if-GigabitEthernet0/25)#nonfppdhcpv6-guardenableRuijie(config-if-GigabitEthernet0/25)#nonfppicmp-guardenableRuijie(config-if-GigabitEthernet0/25)#nonfppip-guardenableRuijie(config-if-GigabitEthernet0/25)#nonfppnd-guardenable

配置命令配置命令2.NFPP配置命令：核心交换机通常需要做如下调整Ruijie(config)#nfppRuijie(config-nfpp)#arp-guardattack-thresholdper-port800//设置每个端口的攻击阈值为800个，超过则丢弃并打印攻击日志Ruijie(config-nfpp)#arp-guardrate-limitper-port500//每个端口每秒限速500个arp报文，多余的ARP报文将被丢弃

配置命令配置命令2.NFPP配置命令：核心交换机通常需要做如下调整Ruijie(config-nfpp)#log-bufferentries1024//设置NFPPlog缓存的容量为1024条（默认256）Ruijie(config-nfpp)#log-bufferlogs1interval300//调整log打印频率为300S打印1次

感谢欣赏