36、SRX设备的高级安全防护策略与配置

SRX设备的高级安全防护策略与配置

1. SYN Cookies保护机制

SYN Cookies保护是一种无状态的SYN代理，用于防御来自伪造源IP地址的SYN洪泛攻击。若源IP地址合法且能响应SYN/ACK数据包，SYN Cookie的作用不大。

1.1 SYN Cookies的优势

• 由于无状态，效率极高。收到SYN数据包时，无需进行路由查找或策略查找。
• 启用SYN Cookie后，SRX会代理所有目的地的TCP协商，用包含原始源和目标地址及端口号的特殊标记SYN/ACK数据包（通过MD5哈希）回复所有传入的SYN数据包。

1.2 配置步骤

在SRX上添加以下配置：

[edit]
juniper@SRX5800# set security flow syn-flood-protection-mode syn-cookie

2. SYN - ACK - ACK代理攻击防护

SYN - ACK - ACK代理攻击是在发送SYN/ACK后，攻击者反复发送确认数据包，试图淹没主机或连接表。可通过SYN - ACK - ACK屏幕来防止此类攻击，该屏幕会为单个源的连接数设置阈值。

2.1 配置示例

在 untrusted - internet 配置文件下配置屏幕：

[edit]
ju