? 检测出攻击者的时候，如果隔离时间为0，将对攻击者进行软件监控，超时为监控
? 注意
时间。在软件监控过程中，当隔离时间被配置为非零值时，将自动对软件监控的攻击者采取硬件隔离，并且把超时设置为隔离时间。监控时间在隔离时间为0的情况下才有意义。
? 如果把隔离时间从非零值改成零，将直接把相关端口的攻击者删除，而不是进行
软件监控。
63.3.4.1.4 设置受监控主机的最大数目
Step 1 Step 2 Step 3
命令 Ruijie#configure terminal Ruijie(config)#nfpp Ruijie(config-nfpp)#dhcp-guard monitored-host-limit number Ruijie(config-nfpp)#end Ruijie#show nfpp dhcp-guard summary Ruijie#copy running-config startup-config 进入全局配置模式。 作用 进入NFPP配置模式。 配置受监控主机的最大数目。 取值范围为1到4294967295，缺省情况下受监控主机的最大数目为1000个。 退回到特权模式。 核对配置参数 保存配置。 Step 4 Step 5 Step 6
如果要把配置的最大受监控主机数恢复成缺省值，在nfpp配置模式执行命令“no dhcp-guard monitored-host-limit”。 如果受监控主机数已经达到默认的1000个，此时管理员把受监控主机的最大数目设置成小于1000，不会删除已有的受监控主机，而是打印信息“%ERROR：The value that you configured is smaller than current monitored hosts 1000（配置的受监控主机数） ，please clear a part of monitored hosts.”来提醒管理员配置没有生效，需要删除部分已经被监控的主机。
? 注意 当受监控主机表满时，打印日志“% NFPP_DHCP_GUARD-4-SESSION_LIMIT: Attempt to exceed limit of 1000（配置的受监控主机数） monitored hosts.”提醒管
理员。
63.3.4.1.5 基于主机限速和识别攻击
识别主机的方法为链路层源MAC/VID/端口。每台主机都有限速水线和攻击阈值（也称为告警水线），限速水线必须低于攻击阈值。当单台主机的DHCP报文速度超过限速水线时，就丢弃超限的DHCP报文。如果单台主机的DHCP报文速度超过攻击阈值，将采取隔离措施，记录到日志中，发送TRAP。 如果检测到攻击行为，打印的日志信息格式如下：
%NFPP_DHCP_GUARD-4-DOS_DETECTED: Host
发送的TRAP报文的数据包含如下描述信息：
DHCP DoS attack from host
如果管理员把隔离时间配置成非零值，当硬件隔离成功时，打印的日志信息格式如下所示：
%NFPP_DHCP_GUARD-4-ISOLATED:Host
Host
当硬件隔离失败（原因通常是内存不足或者硬件资源不足）时，打印的日志信息格式如下所示：
%NFPP_DHCP_GUARD-4-ISOLATE_FAIL:Failed to isolate host
Failed to isolate host
? 注意 当无法为检测到的攻击者分配内存时，打印日志“%NFPP_DHCP_GUARD-4-NO_ MEMORY: Failed to alloc memory.”提醒管理员。
管理员可以在nfpp配置模式和接口配置模式下进行配置。
Step 1 Step 2 Step 3
Ruijie(config-nfpp)#dhcp-guard rate-limit per-src-mac pps Step 4
Ruijie(config-nfpp)#dhcp-guard attack-threshold per-src-mac pps 命令 Ruijie#configure terminal Ruijie(config)#nfpp 进入全局配置模式。 进入NFPP配置模式。 全局对每台主机的DHCP报文速度进行限制。 取值范围是1到9999，缺省值为5个。 “per-src-mac”是基于链路层源MAC/VID/端口识别主机。 配置攻击阈值。当某台主机的DHCP报文超过攻击阈值时，就认为是在进行攻击，立即对这台主机采取隔离措施，记录到日志，发送TRAP。 取值范围是1到9999，缺省值为10个。 “per-src-mac”是基于链路层源MAC/VID/端口识别主机。 Step 5 Step 6
Ruijie(config-nfpp)#end Ruijie#configure terminal 退回到特权模式。 进入全局配置模式。 作用 Step 7 Step 8
Ruijie(config)#interface interface-name 进入接口配置模式。 配置局部的限速水线和攻击水线，只在该配置所属端口上生效。 rate-limit-pps是限速水线，取值范围是1到9999。 attack-threshold-pps是攻击水线，取值范围是Ruijie(config-if)#nfpp dhcp-guard policy per-src-mac rate-limit-pps attack-threshold-pps 1到9999。 缺省情况是端口没有自己的限速水线和攻击水线，采用全局的限速水线和攻击水线。 “per-src-mac”是基于链路层源MAC/VID/端口识别主机。 Step 9
Ruijie(config-if)#end 退回到特权模式。 核对配置参数 保存配置。 Step 10 Ruijie#show nfpp dhcp-guard summary Step 11 Ruijie#copy running-config startup-config 63.3.4.1.6 基于端口限速和识别攻击
每个端口都有限速水线和攻击阈值，限速水线必须低于攻击阈值。当某个端口的DHCP报文速度超过限速水线时，就丢弃超限DHCP报文。如果某个端口的DHCP报文速度超过攻击阈值，将记录到日志中，发送TRAP。 当端口遭受DHCP拒绝服务攻击时，打印的警告信息格式如下：
%NFPP_DHCP_GUARD-4-PORT_ATTACKED: DHCP DoS attack was detected on port Gi4/1. (2009-07-01 13:00:00) 发送的TRAP报文的数据包含如下描述信息： DHCP DoS attack was detected on port Gi4/1.
管理员可以在nfpp配置模式和接口配置模式下进行配置。
Step 1 Step 2 Step 3 Step 4
命令 Ruijie#configure terminal Ruijie(config)#nfpp Ruijie(config-nfpp)#dhcp-guard rate-limit per-port pps Ruijie(config-nfpp)#dhcp-guard attack-threshold per-port pps Ruijie(config-nfpp)#end Ruijie#configure terminal 进入全局配置模式。 进入NFPP配置模式。 对每个端口的DHCP报文速度进行限制。 取值范围是1到9999，缺省值为150个。 配置攻击阈值，当某个端口的DHCP报文超过阈值时，记录到日志，发送TRAP。 取值范围是1到9999，缺省值为300个。 退回到特权模式。 进入全局配置模式。 作用 Step 5 Step 6
Step 7 Step 8
Ruijie(config)#interface interface-name Ruijie(config-if)#nfpp dhcp-guard policy per-port rate-limit-pps attack-threshold-pps 进入接口配置模式。 配置局部的限速水线和攻击水线，只在该配置所属端口上生效。 rate-limit-pps是限速水线，取值范围是1到9999。 attack-threshold-pps是攻击水线，取值范围是1到9999。 缺省情况是端口没有自己的限速水线和攻击水线，采用全局的限速水线和攻击水线。 Step 9
Ruijie(config-if)#end 退回到特权模式。 核对配置参数 保存配置。 Step 10 Ruijie#show nfpp dhcp-guard summary Step 11 Ruijie#copy running-config startup-config
? 注意
基于链路层源MAC地址限速优先于基于端口限速处理。
63.3.4.1.7 清除受监控主机
已被隔离的主机在一段时间后自动恢复，如果管理员要手动清除该主机，可以在特权模式下用以下命令清除。
Step 1
命令 Ruijie#clear nfpp dhcp-guard hosts [vlan vid] [interface interface-id] [mac-address] 作用 不带参数表示清除所有已被检测到攻击的主机，带参数表示清除符合条件的主机。 63.3.4.1.8 查看DHCP抗攻击的相关信息
? 查看
DHCP抗攻击的配置参数
? 查看受监控主机的信息
查看DHCP抗攻击的配置参数
使用show nfpp dhcp-guard summary查看DHCP抗攻击的配置参数：
Step 1
命令 Ruijie#show nfpp dhcp-guard summary 作用 查看DHCP抗攻击配置参数 下面是一个例子：
Ruijie# show nfpp dhcp-guard summary
（Format of column Rate-limit and Attack-threshold is per-src-ip/per-src-mac/per-port.）
Interface Status Isolate-period Rate-limit Attack-threshold Global Enable 300 -/5/150 -/10/300 G 0/1 Enable 180 -/6/- -/8/-
G 0/2 Disable 200 -/5/30 -/10/50
Maximum count of monitored hosts: 1000 Monitor period：300s
? 字段Interface为Global表示全局配置。 ? 字段Status表示是否打开抗攻击功能。
? 字段Rate-limit的格式为（对源IP地址的限速水线/对源MAC地址的限速水线/端
? 说明 口的限速水线值），字段Attack-threshold的显示格式类似。“-”表示没有配置。举例说明：
（1） “-/5/150”表示对源MAC地址的限速水线是5，对每个端口的限速水线
是150。 （2） G 0/1这一行的字段Rate-limit为“-/6/-”，表示端口G 0/1对源MAC
地址的限速水线是6，没有配置对端口的限速水线。
查看受监控主机的信息
Step 1 Step 2
命令 Ruijie#show nfpp dhcp-guard hosts statistics 作用 查看受监控主机表的统计信息，包括主机总数、隔离成功的主机数量和隔离失败的主机数量。 查看已被检测到攻击的主机。 Ruijie#show nfpp dhcp-guard hosts [vlan vid] 不带参数表示显示所有已被检测到攻击的主机，[interface interface-id] [mac-address ] 带参数则只显示符合条件的主机。 Ruijie# show nfpp dhcp-guard hosts statistics success fail total ------ ---- ----- 100 20 120 表示：“总共有120台主机被监控，其中100台主机隔离成功，20台主机隔离失败”。
Ruijie# show nfpp dhcp-guard hosts If column 1 shows '*', it means \failed to isolate host\VLAN interface MAC address remain-time(s) ---- -------- ----------- ------------- *1 Gi0/1 0000.0000.0001 110 2 Gi0/2 0000.0000.2222 61 Total：2 host(s)
Ruijie# show nfpp dhcp-guard hosts vlan 1 interface g 0/1 0000.0000.0001 If column 1 shows '*', it means \failed to isolate host\