关于RG-S5750E系列交换机NFPP技术解析

源杭呐麻

由于计算机络体系结构的复杂性及其开放性等特征，使得络设备及数据的稳定传输成为影响络正常运行的重要问题。分析当前络设备受到的攻击主要表现之一：大量攻击报文砸向CPU，占用了整个送CPU的报文通路的带宽，严重消耗内存资源等，导致正常报文法得到处理，进而影响整个络的正常运行。

目前业界已开发了一些用于防攻击的功能模块(比如：ACL①、QOS①、CPU保护等等)，通过这些功能模块自行建立攻击检测和业务保护的机制，并提供对外的管理接口。但现得不够系统，解决问题单一，在体系上没有统一的框架。从现有的数据帧现的流程来看，缺乏从流的主干上考虑施防攻击保护。为此，我司致力开发出一套完整的络基础保护体系，称之为络基础保护策略(NetworkFoundationProtectionPolicy)，简称NFPP。NFPP技术主要对设备本身施保护，通过对报文流进行检测、限速、隔离，以保证设备及络可靠、安全、有效地运行。

交换机的功能在逻辑上可以划分为个层面：数据面、管理面、控制面。

数据面(DataPlane)：数据面是负责转发处理各种类型的数据，对交换机的性能表现起决定作用。
控制面(ControlPlane)：控制面负责控制和管理所有络协议的运行，它通过络协议提供给交换机对整个络环境中络设备、连接链路和交互状态的准确了解，并在络状况发生改变时做出及时的调整以维护络的正常运行。
管理面(ManagementPlane)：管理面是提供给络管理人员，使其能够以多种管理方式来管理设备，并支持、理解和执行管理人员对于络设备各种络协议的设置操作。
针对交换机设备而言，数据的路由和交换过程主要由硬件来完成，而CPU主要对控制流、管理流和部分硬件法处理的数据流进行处理，并同时提供交互界面供用户进行本地管理配置。

NFPP技术就是从数据面、管理面、控制面对交换机施保护，具体来说就是对送CPU的控制流、管理流、数据流种报文进行攻击检测并采取相应保护措施。

攻击检测的技术：对攻击的检测技术主要是通过将具体报文流的数量、报文特定字段的内容以及来源根据预设定的条件进行判断，或者输出报告信息，由用户进行判断处理。

施保护的技术：NFPP针对检测到的攻击流主要采取主动保护和被动保护措施。

主动保护的技术主要是对操作对象制定某些操作行为约束，按照该约束就尽可能的避免被攻击。
被动保护的技术主要是对攻击源进行抑制，抑制的方式包括拒绝、限速、隔离。
保护技术还可以分为软件保护和硬件保护两类，硬件保护在前，软件保护在后。硬件保护可以使软件保护在尽量少占用资源的情况下更高效的执行，而软件保护可以弥补硬件保护的不足，使保护策略更加细化，更加灵活。他们是一种相辅相成的关系。

NFPP检测、保护的过程

a)NFPP首先检测出报文攻击，然后通过手动或自动的方式施保护。检测可以通过设备提供数据信息进行人为判断，当判断为攻击时将施手动保护配置；也可以通过设备本身进行智能判断，而后自动的施保护配置。对于智能判断以及自动施保护配置的方式，能够支持用户预配置并按照用户的意愿自动进行。

b)所有的保护如果通过一个设备来进行，显然不是比较明智的。对于一个络而言，需要从接入设备、汇聚设备、核心设备共同进行协作来完成保护功能。为了现跨设备间的协作保护，这就需要设备间通过某种协议进行交互来达到传递攻击信息和施保护。在这个过程中往往需要设备之间提供一个安全管理平台来辅助完成。

c)对比上述的被动保护，主动保护过程相对比较简单。主动保护往往是设备启动服务之前就已经启动了。约束的条件或者方法允许用户在设备启动服务前进行配置。

结束语：如今，除了用户身份的安全、数据的安全之外，络设备的安全也日益成为业界关注的焦点，锐捷络自研的NFPP技术是目前业界支持基础安全保护策略，可现对各种络攻击的自动防御。锐捷络汇聚交换机RG-S5750E系列凭借其自身的技术势，可全面支持锐捷络NFPP技术，满足用户对络设备安全的需要。

①ACL：AccessControlList，访问控制列表

②QoS：QualityofSerce，服务质量




通过工业交换机的市场表现可以看出，其有着极强的生命力和强有力的号召力。锐捷路由器产品系列包括，核心路由器、汇聚路由器、接入路由器、移动路由器、中小网络企业级路由器以及一系列路由器应用软件产品，如需进行路由器选购或想要了解更多详细的路由器方案、路由器推荐信息，欢迎咨询锐捷网络。https://www.ruijie.com.cn/cp/jh-gyjh/