【实战指南】H3C路由器配置防范SIP INVITE Flood攻击

【实战指南】H3C路由器配置防范SIP INVITE Flood攻击

引用

CSDN

1.

https://blog.csdn.net/qq_37802488/article/details/145615909

SIP Flood攻击是VoIP和视频会议系统常见的安全威胁，通过大量伪造的SIP请求（如INVITE或REGISTER）来耗尽服务器资源。本文将详细介绍如何使用H3C路由器配置防范SIP INVITE Flood攻击，通过流量阈值控制和客户端验证机制，有效保护企业网络免受此类攻击的影响。

SIP Flood攻击的危害与防御背景

SIP（Session Initiation Protocol）作为多媒体会话的核心信令协议，广泛应用于VoIP、视频会议等场景。然而，其开放性和灵活性也使其成为攻击目标，尤其是SIP Flood攻击——攻击者通过大量伪造的SIP请求（如INVITE或REGISTER）淹没服务器，导致资源耗尽、服务中断，甚至引发巨额话费盗打等风险。

在防御层面，H3C路由器提供了基于流量阈值检测和客户端验证的防攻击策略，本文将详解如何通过配置H3C路由器有效拦截SIP INVITE Flood攻击。

H3C路由器防御SIP Flood的核心机制

• 流量阈值控制：限制每秒处理的SIP请求数量，丢弃超出阈值的流量。
• 客户端验证：通过发送OPTIONS探针验证客户端合法性，拦截未通过验证的请求。

H3C路由器配置实战步骤

以下配置基于H3C Comware V7系统，适用于企业边界路由器或防火墙。

实验环境

• sip服务器：172.20.1.20，使用freeswitch进行测试
• 路由器：LAN172.20.1.1、WAN192.168.4.110
• NAT Server：172.20.1.20:5060—>192.168.4.110:5060

步骤1：创建防攻击策略

[H3C] attack-defense policy sip_flood_policy
[H3C-attack-defense-policy-sip_flood_policy] sip-flood detect non-specific
[H3C-attack-defense-policy-sip_flood_policy] sip-flood action logging drop client-verify
[H3C-attack-defense-policy-sip_flood_policy] sip-flood threshold 10

参数说明：

• threshold 10：基于目的IP设置每秒允许的SIP请求阈值为10，超出则触发拦截。基于源IP就把threshold改成source-threshold
• client-verify：启用客户端验证功能。

步骤2：应用策略到公网接口

[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] attack-defense apply policy sip_flood_policy

作用：将策略绑定到路由器的对外接口（如连接公网的GE1/0/1），实时监控入站流量。

步骤3：配置客户端验证

[H3C] client-verify sip protected ip 192.168.4.110 # 指定受保护的SIP服务器公网IP
[H3C] interface GigabitEthernet1/0/1
[H3C-GigabitEthernet1/0/1] client-verify sip enable

验证机制：

• 当某IP触发阈值时，路由器拦截其请求，并向该IP发送OPTIONS探针。
• 客户端需在响应中携带与探针匹配的branch值，否则视为非法并永久拦截。

步骤4：验证配置效果

• 流量监控：通过display attack-defense statistics查看拦截记录。
• 攻击前丢弃的数据包总数是6557，第二次发送每秒100个sip invite请求过去，拦截了90个
• 抓包分析：使用Wireshark捕获流量，确认恶意请求被丢弃，仅合法流量到达服务器。
• 防泛洪攻击策略验证：
• 发起方1秒钟内发送1000条invite消息
• 路由器过滤之后仅收到10条invite消息，与设定的阈值效果一致
• SIP客户端验证功能：
• 客户端1秒内发送多条invite请求，路由器判定可能存在攻击行为先不转发invite消息给服务器，而是给客户端发送options报文，没有响应后续报文也不会转发
• 客户端响应options报文，将options 的branch带在200 OK里面，路由器收到后判断是合法的客户端，则后续invite报文会进行转发