Configuration du filtrage des fragments IP par déni de service (DoS) sur les commutateurs gérés de la gamme 300

Objectif

Le trafic réseau est envoyé à l’aide de plusieurs paquets appelés datagrammes.  Chaque méthode de transport (Ethernet, Token Ring, etc.) a une taille maximale de datagramme qu'il peut gérer.  Si le datagramme est trop grand pour la méthode de transmission, il est divisé en fragments plus petits.  Ce processus est appelé fragmentation IP. La plupart du trafic réseau n’a pas besoin d’être fragmenté. En fait, le trafic qui a été fragmenté peut être utilisé comme dans une attaque par déni de service (DoS).  Une attaque DoS inonde un réseau avec un trafic erroné et ralentit ou arrête le réseau. Les commutateurs gérés de la gamme 300 peuvent bloquer des fragments IP, ce qui réduit la vulnérabilité des réseaux face à une attaque DoS. Cet article explique comment configurer les paramètres de filtrage des fragments IP sur les commutateurs gérés de la gamme 300.

Note: Les filtres de fragments IP ne peuvent être utilisés que si la prévention DoS est activée.  Reportez-vous à l'article Security Suite Settings on 300 Series Managed Switches pour obtenir de l'aide.

Périphériques pertinents

Commutateurs gérés · série SF/SG 300

Version du logiciel

•1.3.0.62

Ajouter un filtre de fragments IP

Étape 1. Connectez-vous à l'utilitaire de configuration Web et choisissez Security > Denial Of Service Prevention > IP Fragments Filtering. La page IP Fragments Filtering s'ouvre :

Étape 2. Cliquez sur Add pour ajouter un nouveau filtre de fragments IP. La fenêtre Add IP Fragments Filtering apparaît.

Étape 3. Sélectionnez la case d'option correspondant à l'interface souhaitée dans le champ Interface.  Il s'agit de l'emplacement physique auquel le filtre sera affecté.

· Port : port physique du commutateur.  Sélectionnez un port spécifique dans la liste déroulante Port.

· LAG : groupe de ports qui agissent en tant que port unique.  Sélectionnez un LAG spécifique dans la liste déroulante LAG.

Étape 4. Sélectionnez la case d'option correspondant à l'adresse IPv4 souhaitée à filtrer dans le champ IP Address.

· User Defined : saisissez une adresse IP à filtrer.

· Toutes les adresses : toutes les adresses IPv4 sont filtrées.

Note: Si vous avez sélectionné Toutes les adresses à l'étape 4, passez à l'étape 6.

Étape 5. Sélectionnez la case d'option correspondant à la méthode utilisée pour définir le masque de sous-réseau de l'adresse IP dans le champ Network Mask.

· Mask : saisissez le masque de réseau dans le champ Network mask.

· Prefix Length : saisissez la longueur du préfixe (entier compris entre 0 et 32) dans le champ Prefix length.

Étape 6. Cliquez sur Apply pour enregistrer vos modifications, puis cliquez sur Close pour fermer la fenêtre Add IP Fragments Filtering.