ADC

HTTP/2 DoS 缓解

Http/2 拒绝服务 (DoS) 攻击不再对 NetScaler 设备产生任何影响。如果设备接收的帧数超过最大限制,则设备会以静默方式关闭连接。

为了减轻攻击,HTTP 配置文件允许您更改 HTTP/2 连接中接收帧的默认配置。

HTTP/2 DoS 缓解 表显示了 HTTP/2 DoS 攻击的列表及其缓解措施。

使用命令行界面配置 HTTP/2 帧的最大限制,以减轻 DoS 攻击

在命令提示符处,键入以下内容:

set ns httpprofile <profile_name> - http2MaxEmptyFramesPerMin <positive_integer> -http2MaxPingFramesPerMin <positive_integer> -http2MaxSettingsFramesPerMin <positive_integer> -http2MaxResetFramesPerMin <positive_integer> -http2MaxRxResetFramesPerMin <value>

示例:

set ns httpprofile profile1 -http2MaxEmptyFramesPerMin 20 -http2MaxPingFramesPerMin 20 -http2MaxSettingsFramesPerMin 20 -http2MaxResetFramesPerMin 20 -http2MaxRxResetFramesPerMin 100

使用 NetScaler GUI 配置在 HTTP/2 连接中接收的帧的最大限制

按照以下步骤配置 HTTP/2 连接中接收的帧的最大限制:

  1. 在导航窗格上,展开“系统”,然后单击“配置文件”。
  2. 配置文件 页面上,选择 HTTP 配置文件 选项卡。
  3. HTTP 配置文件 选项卡页中,单击 添加
  4. 配置 HTTP 配置文件 页面中,设置以下参数。

    1. http2MaxPingFramesPerMin。设置每分钟内每个连接接收的最大 PING 帧数。如果 PING 帧的数量超过配置的限制,NetScaler 会在连接上静默丢弃数据包。

    2. http2MaxSettingsFramesPerMin。设置一分钟内每个连接接收的最大 SETTINGS 帧数。如果设置帧的数量超过配置的限制,NetScaler 会在连接上静默丢弃数据包。

    3. http2MaxResetFramesPerMin。设置一分钟内每个连接发送的最大 RESET 帧数。如果 RESET 帧的数量超过配置的限制,NetScaler 会在连接上静默丢弃数据包。

    4. http2MaxEmptyFramesPerMin。设置每分钟内每个连接发送的最大空帧数。如果空帧的数量超过配置的限制,NetScaler 会在连接上静默丢弃数据包。

    5. http2MaxRxResetFramesPerMin。设置一分钟内每个连接收到的最大 RESET 帧数。如果 RESET 帧的数量超过配置的限制,NetScaler 会丢弃连接上的数据包。

  5. 单击“确定”关闭

    HTTP/2 拒绝服务缓解 GUI 配置

HTTP/2 DoS 缓解