ICG3000F单包攻击防范和异常流攻击防范

ICG3000F 内网口 G0/0/1 开启单包攻击防范、异常流攻击防范，NAS 被拦截
故障根因
组网：G0/0/0=WAN 运营商；G0/0/1 是内网 Trusted 口，直接在内网入接口开启攻击防范策略。
异常流攻击防范：检测连接速率、新建连接数。NAS（SMB/445）多终端同时访问，瞬间大量 TCP 新建连接，触发异常流阈值，NASIP 被加入黑名单，直接阻断访问。
单包攻击防范：包含端口扫描检测。内网多主机访问 NAS 不同端口，设备行为识别为端口扫描，触发丢弃动作。
⚠️设计建议：攻击防范策略建议部署在 WAN 外网接口 G0/0/0，内网口一般不建议开启丢弃动作，内网服务器、NAS 极易出现业务流量误判拦截。
第一步：确认拦截证据（优先执行）
bash
#查看接口攻击防范记录，看NASIP是否被识别异常流/扫描
display attack-defense attack-record interface GigabitEthernet 0/0/1
display attack-defense abnormal-flow statistics interface GigabitEthernet 0/0/1
#查看黑名单，确认NASIP是否被打入黑名单
display attack-defense blacklist
Web 页面：【监控 - 攻击防范日志】，看事件类型：异常流 / 端口扫描，源 / 目的 IP 为 NAS 地址。
如果 NAS 被打入黑名单，可以临时清除黑名单恢复业务：
bash
reset attack-defense blacklist
三种解决方案（按推荐优先级）
✅方案 1：NAS IP 做攻击防范豁免（最优，原有防护全部保留）
把 NAS 的 IP 加入攻击防范例外列表，NAS 的报文跳过单包攻击、异常流全部检测，其余内网主机仍然正常防护。
命令行示例：
shell
system-view
#1、定义NAS地址对象
object ip host NAS-Server 192.168.1.20 #替换你的NAS真实IP

#2、进入攻击防范策略（默认default策略）
attack-defense policy default
#配置豁免，该IP不执行攻击防范检测
exempt ip-object NAS-Server
save
Web 配置路径：策略→安全防护→攻击防范→策略管理→default策略→例外列表，添加 NAS 地址对象。
效果：内网其他终端流量依旧做单包、异常流检测；NAS 服务器流量直接跳过检测，不会被误拦截。
✅方案 2：不想做豁免，调大异常流阈值（保留检测，放宽阈值）
不豁免 NAS，调大新建连接速率阈值，适配 NAS 多并发访问场景。
shell
attack-defense policy default
#调大异常流新建连接速率阈值，根据内网终端规模调整
abnormal-flow connect-rate threshold 8000
#单包攻击中端口扫描检测阈值同步放大
scan-detect port-scan threshold 200
缺点：内网规模变化还需要重新调参，阈值设置过大防护能力下降；优先推荐方案 1。
⚠️方案 3：修改接口部署位置（架构优化）
攻击防范策略从内网 G0/0/1 口移除，仅在 WAN 口 G0/0/0 应用攻击防范策略。
攻击防范（单包攻击、异常流泛洪）主要防护来自互联网的攻击；内网信任域一般不需要开启丢弃动作，只开启告警即可。
shell
interface GigabitEthernet 0/0/1
undo attack-defense apply policy
interface GigabitEthernet 0/0/0
attack-defense apply policy default
⚠️注意：如果内网存在病毒主机横向扫描，内网口仅保留告警，不要配置 drop 丢弃动作。
重要踩坑说明
攻击防范策略是入方向生效，G0/0/1 内网口，流量从交换机进入 ICG，在内网接口入方向就检测拦截，NAS 返回报文命中防护规则直接丢弃，终端无法访问 NAS。
黑名单老化时间：一旦触发异常流 / 扫描，NASIP 会进入黑名单，老化时间内全部报文丢弃，即使业务恢复，也要等黑名单老化或者手动清除。
SMB/NAS 多终端并发访问是典型误判场景，445 端口大量新建连接，极易触发异常流、端口扫描检测。
快速测试验证
配置完豁免之后，多台电脑同时读写 NAS，观察：
bash
display attack-defense abnormal-flow statistics interface GigabitEthernet 0/0/1
NASIP 不再产生攻击记录，业务访问正常。
补充建议生产最佳实践
WAN 外网接口 G0/0/0：完整开启单包攻击 + 异常流攻击防范，动作 drop+logging。
内网 Trust 接口 G0/0/1：攻击防范策略不绑定，或者仅设置告警 logging，不要 drop；内网服务器 / NAS 使用 exempt 例外列表。
定期查看攻击防范日志，确认误拦截情况。