2024年8月22日发(作者：)

维普资讯

五种方式堵截疯狂Ｐ　２　Ｐ　

■文／白海　

方法１采用ＮＡＴ连接数限制　

在Ｃｉｓｃｏ　ｌＯＳ　１２　３（４）Ｔ后的ｌＯＳ软件、　

Ｈ３Ｃ路由器上都支持ＮＡＴ的单用户限制，　

即可以对做地址转换的单个ＩＰ限制其　

ＮＡＴ的表项数，因为Ｐ２Ｐ类软件如ＢＴ的　

一

大特点就是同时会有很多的连接数，从　

而占用了大量的ＮＡＴ表项，因此应用该方　

法可有效限制ＢＴ的使用，同时Ｈ３Ｃ路由　

器还支持对不同业务流的ＮＡＴ限制。比如　

我们为ＩＰ　１９２．１６８．１．１设置最大的ＮＡＴ表　

项数为６０；正常的网络访问肯定够用了．　

但如果使用ＢＴ或者迅雷，那么很快此ＩＰ　

的ＮＡＴ表项数达到６０，一旦达到峰值，该　

ＩＰ的其他访问就无法再进行ＮＡＴ转换，必　

须等待到ＮＡＴ表项失效后，才能再次使　

用，这样有效的保护了网络的带宽，同时　

也达到了警示的作用。　

例如：　

１．以Ｃｉｓｃｏ设备为例。　

限制ＩＰ地址为１９２．１６８．１．１的主机ＮＡＴ　

的条目为６０条，配置如下：　

ｉｐ　ｎａｔ　ｔｒａｎｓｌａｔｉｏｎ　ｍａｘ－－ｅｎｔｒｉｅｓ　ｈｏｓｔ　１　９２　１　６８　１　１　６０　

如果想限制所有主机，使每台主机的　

ＮＡＴ条目为６０，可进行如下配置：　

ｉｐ　ｎａｔ　ｔｒａｎｓｌａｔｉｏｎ　ｍａｘ－－ｅｎｖｉｅｓ　ａｌｌ－ｈｏｓｔ　６０　

２．以Ｈ３Ｃ设备为例。　

内网内每台路由器仅限ｌ０个对外连接　

（不区分业务）。　

拉　

ｃ。ｎｎｅｃｔｌｏｎ一＿ＩｍＩｔ　ｅｎａｂｌｅ／／开启ＮＡＴ连接统计与限制特性功能　

ｃｏｎｎｅｃｔｉｏｎ－ｌｉｍｉｔ　ｄｅｆａｕｌｔ　ａｃｔｉｏｎ　ｐｅｒｍｉｔ　／／不在ＮＡＴ连接　

限制策略内的所有ＮＡＴ连接按缺省配置处理　

ｃｏｎｎｅｃｔｉｏｎ—ｌｉｍｉｔ　ｄｅｆａｕｌｔ　ａｍｏｕｎｔ　５０　２０　／／最大可处理５０　

个表项。超出后．只有连接数降到２０以下，才允许继续建立连接。　

＃一访问控制列表进行数据流的分类。　

一　

４６中国教育网络２０ｏ８　８　

ａｃｌ　ｎｕｍｂｅｒ　２０００　／／新建ａｃＩ对数据流进行分类　

ｒｕｌｅ　０　ｐｅｒｍｉｔ　ｓｏｕｒｃｅ　１　９２　１６８　１　０　０　０　０　２５５／／定义进行　

ＮＡＴ转换的数据流．所有源地址为１　９２　１６８　１　ｘ／２４的数据流进　

行ＮＡＴ转换。定义进行ＮＡＴ连接策略限制的数据流　内网１　９２　

１６８　１　０的所有主机。　

ｃｏｎｎｅｃｔｉｏｎ—ｌｉｍｉｔ　ｐｏｌｉｃｙ　０　／／ＮＡＴ连接限制的策略定义　

Ｉｌｍｌｔ　０　ａｃｌ　２０００　ｐｅｒ－－ｓｏｕｒｃｅ　ａｍｏｕｎｔ　１０　９　／／子规则１：内　

网１　９２　１６８　１　０的所有主机每台仅限１Ｏ个连接，当连接数超过１０　

个，禁止该主机继续建立连接该主机的ＮＡＴ连接数降到９或以　

下时才允许连接继续建立　

ｉｎｔｅｒｆａｃｅ　ＮＵＬＬ０　

ｎａｔ　ｃｏｎｎｅｃｔｉｏｎ－ｌｉｍｉｔ－ｐｏｌｉｃｙ　０　

／／指定ＮＡＴ连接限制使用的策略　

拉　

按业务类型对ＮＡＴ连接进行限制　

拉　

ｃｏｎｎｅｃｔｉｏｎ－－Ｉｉｍｉｔ　ｅｎａｂｌｅ　

／／开启ＮＡＴ连接统计与限制特性功能　

ｃｏｎｎｅｃｔｉｏｎ－－ｌｉｍｉｔ　ｄｅｆａｕｌｔ　ａｃｔｉｏｎ　ｐｅｒｍｉｔ　／／不在ＮＡＴ连接　

限制策略内的所有ＮＡＴ连接按缺省配置处理　

ｃｏｎｎｅｃｔｉｏｎ－－ｌｉｍｉｔ　ｄｅｆａｕｌｔ　ａｍｏｕｎｔ　５０　２０　／／最大可处理５Ｏ　

个表项。超出后．只有连接数降到２Ｏ以下．才允许继续建立连接。　

拉　

ａｃｌ　ｎｕｍｂｅｒ　２０００　／／新建ａｃＩ对数据流进行分类　

ｒｕｌｅ　０　ｐｅｒｍｉｔ　ｓＧｃｒｌｃ￣１９２１６８１　０　０　Ｏ　０　２５５／／定义进行№Ｔ转换　

的数据流，所有源地址为１９２　１６８　１　ｘ／２４的数据流进行ＮＡＴ转换　

拉　

ａｃｌ　ｎｕｍｂｅｒ　３０００　／／新建ａｃＩ对数据流进行分类　

ｒｕｌｅ　０　ｐｅｒｍｉｔ　ｉｃｍｐ　／／定义进行ＮＡＴ连接策略限制的数据　

流，内网１０　１０　１０　０的所有主机发送的ＩＣＭＰ报文　

＃一定义进￣？ＮＡＴ连接策略限制的数据流．内网１０　１０　１０　０　

的所有主机发送的ＦＴＰ连接报文　

ａｃｌ　ｎｕｍｂｅｒ　３００１　／／新建ａｃＩ对数据流进行分类　

ｒｕｌｅ　０　ｐｅｒｍｉｔ　ｔｃｐ　ｓｏｕｒｃｅ　１０　１０　１０　０　０　０　０　２５５　ｄｅｓｔｉｎａｔｉｏｎ－　

ｐｏｒｔ

／／定义进￣

ｅｑ

ｆ

ｔ

ｐ　

…

．

、

。

？ＮＡＴ连接策略限制的数据流

………　……．．　一　

．

内网１０　１０　１０　０的所　

有主机发送的ＦＴＰ连接报文　

拉　

ｃｏｎｎｅｃｔｉｏｎ—ｌｉｍｉｔ　ｐｏｌｉｃｙ　０　／／ＮＡＴ连接限制的策略定义　

ｌｉｍｉｔ　Ｉ　ａｃｌ　３０００　ｐｅｒ－ｓｅｒｖｉｃｅ　ａｍｏｕｎｔ　５　０　／／子规则１内　

网１０　１０　１０　０的所有主机ｐｉｎｇ操作通过ＮＡＴ网关的连接数为５．　

如果同时超过５，抑制新连接建立．直到这５个连接表项超时删　

除。这样配置可以避免中冲击波主机对外发送大量扫描报文。　

ｌｉｍｉｔ　２　ａｃｌ　３００１　ｐｅｒ－－ｓｏｕｒｃｅ　ｐｅｒ－－ｓｅｒｖｉｃｅ　ａｍｏｕｎｔ　２０　１　９　

／／子规则２：内网每台主机可以对外发起的ｆｔｐ连接数为２Ｏ。　

ｌｉｍｉｔ　３　ａｃｌ　２０００　ｐｅｒ－ｓｏｕｒｃｅ　ａｍｏｕｎｔ　２０　１　９　／／子规则３：　

如上的规则没有匹配的．在这里进行匹配。也就是说除了ＩＣＭＰ　

报文．ＦＴＰ连接报文外．每台主机还可以建立的连接数２Ｏ。　

ｉｎｔｅｒｆａｃｅ　ＮＵＬＬ０　

ｎａｔ　ｃｏｎｎｅｃｔｉｏｎ－－ｌｉｍｉｔ—ｐｏｌｉｃｙ　０／／指定ＮＡＴ连接限制使用的策略　

方法２采用ＡＣＬ　

我们可以采用以下方式来配置ＡＣＬ，　

一

种是开放所有端口，只限制迅雷和ＢＴ的　

端口，配置如下；　

ａｃｃｅｓｓ—ｌｉｓｔ　１Ｏ１　ｄｅｎｙ　ｕｄｐ　ａｎｙ　ａｎｙ　ｒａｎｇｅ　３０７３　３０７７　

ａｃｃｅｓｓ－ｌｉｓｔ　１０１　ｄｅｎｙ　ｕｄｐ　ａｎｙ　ａｎｙ　１　５０００　

ａｃｃｅｓｓ—ｌｉｓｔ　１Ｏ１　ｄｅｎｙ　ｔｃＤ　ａｎｙ　ａｎｙ　ｒａｎｇｅ　６８８１　６８９０　

ａｃｃｅｓｓ－ｌｉｓｔ　１Ｏ１　ｄｅｎｙ　ｔｃｐ　ａｎｙ　ｒａｎｇｅ　６８８１　６８９０　ａｎｙ　

ａｃｃｅｓｓ－－ｌｉｓｔ　１Ｏ１　ｐｅｒｍｉｔ　ｉｐ　ａｎｙ　ａｎｙ　

说明：这种方法有其局限性，因为现在有的　

Ｐ２Ｐ软件，端口可以改变，封锁后会自动改端口，　

不同的采用Ｐ２Ｐ技术的软件使用的端口也不一　

致，甚至可以该到８０端口，如果连这个也封，那　

网络使用就无法正常工作了。　

另外一种方式是只开放有用的端口，　

封闭其他所有端口；　

ａｃｃｅｓｓ—ｌｉｓｔ　１Ｏ１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｅｑ　８０　

ａｃｃｅｓｓ－－ｌｉｓｔ　１Ｏ１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｅｑ　２１　

ａｃｃｅｓｓ－－ｌｉｓｔ　１　０１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｅｑ　２５　

ａｃｃｅｓｓ－－ｌｉｓｔ　１０１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｅｑ　１１０　

ａｃｃｅｓｓ－－ｌｉｓｔ　１０１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｅｑ　５３　

ａｃｃｅｓｓ－－ｌｉｓｔ　１０１　ｄｅｎｙ　ｉｐ　ａｎｙ　ａｎｙ　

说呱此方法是对网络进行严格的控制．对　

简单的小型网络和对用户需求不高的网络还可　

行，而如果是校园网，数据流量很复杂那么管理　

的难度将非常大，用户很多网络需求不能很好的　

满足。这种方法不建议在校园网使用，只做介绍　

和了解　

还有一种方式是对端口是１００００以上　

的流量进行限速特别是ＵＤＰ协议；因为多　

数蠕虫病毒和Ｐ２Ｐ的端口都是大于１０００００　

的，当然也有正常的应用是采用１

’…………”………～’…　

００００以上　

…一　

的端口。在校园网那个这个中环境里，如果　

我们将１００００以上的端口封闭，这样一些正　

常的应用也无法开展，不过最好也避开一　

些特殊的端口，比如，炒股、财务等等软件。　

所以折中的方法是对端口ｌ００００以上的数　

据流进行限速，例如：　

ｃｌａｓｓ－ｍａｐ　ｍａｔｃｈ－ａｌｌ　ｘｓ　＼＼定义Ｃｌａｓｓ－ｍａｐ　

ｍａｔｃｈ　ａｃｃｅｓｓ—ｇｒｏｕｐ　１　Ｏ１　Ｉ　

ｐｏｌｉｃｙ－ｍａｐ　ｘｓ　、、ｐｏｌｉｃｙ－ｍａｐ　

ｃｌａｓｓ　ｘｓ　

ｐｏｌｉｃｅ　ｃｉｒ　１００００００　ｂｃ　１０００　ｂｅ　１０００　ｃｏｎｆｏｒｍ－ａｃｔｉｏｎ　ｔｒａｎｓｍｉｔ　

ｅｘｃｅｅｄ－ａｃｔｉｏｎ　ｄｒｏｐ　ｖｉｏｌａｔｅ－ａｃｔｉｏｎ　ｄｒｏｐ　

ａｃｃｅｓｓ—ｌｉｓｔ　１　０１　ｐｅｒｍｉｔ　ｔｃｐ　ａｎｙ　ａｎｙ　ｇｔ　１　００００＼＼定义ＡＣＬ　

ａｃｃｅｓｓ—ｌｉｓｔ　１０１　ｐｅｒｍｉｔ　ｕｄｐ　ａｎｙ　ａｎｙ　ｇｔ　１００００　

ｉｎｔｅｒｆａｃｅ　ｆ０／０　＼＼应用到接口上一　

ｓｅｒｖｉｃｅ－－ｐｏｌｉｃｙ　ｉｎｐｕｔ　ｘｓ　

拉　

维普资讯