Это старая версия документа!

Поиск источников Flood в сети оператора

1. Настройка отправки статистики со СКАТ

Необходимо выставить в файле конфигурации /etc/dpi/fastdpi.conf следующие значения параметров:

netflow=12
netflow_dev=vlan200
netflow_timeout=10
netflow_rate_limit=900
netflow_full_collector=10.0.0.0:1500
netflow_passive_timeout=5 
netflow_active_timeout=20
netflow_full_collector_type=2
ipfix_reserved=1

где:

netflow=12 – сбор и экспорт статистики: 8 + 4 = fullnetflow + billnetflow (accounting).
netflow_dev=vlan200 – где vlan200 – название интерфейса, с которого будет отправляться статистика.
netflow_timeout=10 – период отправки в секундах.
netflow_rate_limit=900' – ограничение потока IPFIX.
netflow_full_collector=10.0.0.0:1500 – адрес коллектора со статистикой – указать корректный IP QoE.
netflow_passive_timeout=5 – время ожидания активности в сессии после которого, если не было активности, сессия считается завершенной и происходит передача по ней информации.
netflow_active_timeout=20 – время, через которое сообщается информация по длинным сессиям (т.е. фактически длинные сессии разбиваются на фрагменты данной продолжительности).
netflow_full_collector_type=2 – экспорт IPFIX на TCP коллектор.
ipfix_reserved=1 – позволяет зарезервировать необходимую память для возможности включения/изменения параметров IPFIX/Netflow.

После изменения параметров потребуется рестарт сервиса:

service fastdpi restart

2. Поиск источника Flood (BotNet)

Поиск абонентов с высоким количеством flow в секунду

Откройте отчет QoE аналитика → Сырой полный нетфлоу → Обнаружение атак → Топ абонентов → По флоу:
Укажите временные рамки:
Добавьте фильтр по направлению трафика – От абонента:
Нажмите на колонку Flow для более удобной сортировки

Найденные IP абонентов источников flood необходимо добавить в локальную AS (см. раздел 3.1)

Поиск хостов с высоким количеством flow в секунду

Откройте отчет QoE аналитика → Сырой полный нетфлоу → Обнаружение атак → Топ IP-адресов хостов → По флоу:
Укажите временные рамки.
Добавьте фильтр по направлению трафика – От абонента.
Нажмите на колонку Flow для более удобной сортировки.
Найденные IP хостов необходимо добавить в локальную AS (см. раздел 3.1)

3. Блокировка IP с помещением в автономную систему

Создание локальной AS (пример для IPv4)

Создайте копию /etc/dpi/aslocal.bin:

cp /etc/dpi/aslocal.bin /etc/dpi/aslocal.bin.backup

Сконвертировать aslocal.bin в TXT файл утилитой bin2as
```
bin2as /etc/dpi/aslocal.bin > /etc/dpi/list.txt
```
Либо если файл aslocal.bin отсутствует в /etc/dpi/, создайте:
```
vi /etc/dpi/list.txt
```
Добавить в list.txt записи вида (CIDR <пробел> номер_AS):
```
10.0.0.1/32 64525
172.16.0.0/12 64525
192.168.0.0/16 64525
```
Где 64525 - AS которую в дальнейшем будет необходимо заблокировать
Сконвертировать список CIDR-ASN из TXT в BIN при помощи утилиты as2bin:
```
cat /etc/dpi/list.txt | as2bin /etc/dpi/aslocal.bin
```
Выполнить релоад сервиса (горячий параметр):
```
service fastdpi reload
```

Подробнее о подготовке списков aslocal

Назначение правила drop для локальной AS

Создайте копию файла asnum.dscp:
```
cp /etc/dpi/asnum.dscp /etc/dpi/asnum.dscp.backup
```
Сконвертировать asnum.dscp в TXT утилитой dscp2as:
```
dscp2as /etc/dpi/asnum.dscp > /etc/dpi/asnum.txt
```
Добавить в файл asnum.txt записи вида номер_AS <пробел> drop к уже существующим записям:
```
64525 drop
```
Сконвертировать TXT в формат утилитой as2dscp:
```
cat /etc/dpi/asnum.txt | as2dscp /etc/dpi/asnum.dscp
```
Выполнить релоад сервиса (горячий параметр):
```
service fastdpi reload
```