(CPPr)は、ネットワーク機器のCPUを守る機能です。何も対策を立てない状況ですと、フラグメントされたパケットを大量に送付する等の方法を用いて、ネットワーク機器のCPU使用率を上昇させるDOS攻撃を行なう事ができます。このような攻撃に対する防御策として、CPU処理するパケットに対してポリシング(流量制限)をかける事によってCPUを守る事ができます。(CoPP)の使い方と設定例について紹介します。(CoPP)とは、ネットワーク機器のCPUを守る機能です。多くのネットワーク機器は、データ転送を行なう「データプレーン」とルーティングなどのソフトウェア処理を行なう「コントロールプレーン」の2層に分かれます。ルータ宛パケットや非IPはコントロールプレーンで処理されます(図中では「制御フレーム」と表記されています)。そのため、コントロールプレーン宛のパケットを大量に送付すれば、ルータのCPU使用率を上昇させDOS攻撃が可能になってしまいます。コントロールプレーン宛のパケットをポリシング(流量制限)する事で、ルータのCPUを守る事ができます。Policingを実装するには、policy-mapを作成する必要があります。policy-mapを作るにはclass-mapの定義が必要です。class-mapを定義するにはアクセスリスト(ACL)の定義が必要です。以下のようなコマンドでアクセスリストを定義しましょう。構文および設定例は以下の通りです。access-lists”コマンドなどを使用します。telnetRouter#上記は名前つき拡張アクセスリストの構文ですが、名前なしでも標準アクセスリストでも差し支えございません。作成アクセスリスト(ACL)を元に、class-map(クラスマップ)を作成します。構文および設定例は以下の通りです。class-map”コマンドなどを使用します。ACL_TELNETRouter#なお、以下のようなCBAC指定のclass-map(クラスマップ)を用いた設定はできません。in”とのエラーメッセージが出力されます。作成class-map(クラスマップ)を元に、policy-map(ポリシーマップ)を作成します。構文および設定例は以下の通りです。policy-map”コマンドを使用します。(ポリシーマップ)をcontrol-planeに対して適用します。Interfaceに対するCBWFQと同じようにservice-policyコマンドを用いて適用します。構文および設定例は以下の通りです。control-plane”コマンドを使用します。IPアドレスのみです。特別な設定はございません。初期設定全文は以下の通りです。R1_configR2_config構成ファイル(.GNS3ファイル)TELNETに対するポリシング設定TELNETのトラフィックについて、コントロールプレーンに対するポリシングを実装します。R2に対して、以下のような設定を投入して下さい。PMAP_COPP動作確認のため、R1からR2へのTELNETトラフィックを発生させます。control-plane”コマンドを実行します。Policingの設定が効いている事を推測する事ができます。前述のTELNETを用いた動作確認では、超過トラフィックが本当に破棄されているかどうかが動作確認できませんでした。(ICMP)を用いた動作確認を行ってみましょう。(ICMP)のトラフィックについて、コントロールプレーンに対するポリシングを実装します。R2に対して、以下のような設定を投入して下さい。PMAP_COPPR1からR2へのpingを送信します。pingを送信する際は、トラフィック超過を発生しやすくするようpingのsizeを適宜指定します。pingが数発に1度の割合でtimeoutが発生していることから、パケットの破棄が行なわれている事が推測できます。control-plane”の出力を確認します。packets”と書かれている事からも、トラフィック超過分が破棄されている事が読み取れます。全てのトラフィックについてコントロールプレーンに対するポリシングを実装するには、class-default(クラスデフォルト)を使用します。class-defaultに含まれるのはIPだけでなく非IPも含まれます。非IPの代表的な例は以下の通りです。)非IPも含め、ポリシングが実装可能な事を確認します。R2に対して、以下のような設定を投入して下さい。PMAP_COPP非IPに関する動作を確認するため、R1,R2間でIPXによるルーティングを設定します。R2の両方に以下のような設定を投入します。interface”コマンドを出力させます。すると、R2のIPXアドレスは”12.ca02.0bc8.0008′′である事が分かります。pingを送信します。pingを使用するには、拡張ping(対話形式のping)を使用して下さい。pingが数発に1度の割合でtimeoutが発生していることから、パケットの破棄が行なわれている事が推測できます。control-plane”の出力を確認します。packets”と書かれている事からも、トラフィック超過分が破棄されている事が読み取れます。bpsR2#以上、ここまでの設定は以下の通りになります。Lab試験では、「思いつくか、思いつかないか」発想力勝負の問題が出題される事があります。R2に接続されたサーバではネットワークプログラミングのテストを行っています。repuestを発生させ、R2のCPUリソースを枯渇させています。requestについて、秒間10,000パケットを超過したものを破棄して下さい。BGPなど)に影響を与えてはいけません。ような問題が出題されます。回答例は以下URLを参照ください。行った環境は以下の通りです。詳細説明ICMPとはネットワークを制御するためのプロトコルです。コメントをキャンセルメールアドレスが公開されることはありません。date*日本語が含まれない投稿は無視されますのでご注意ください。ネットワークチェンジニアとして。