# 配置防护对象的防御策略

创建防护对象后，需要为其配置防御策略，以防御网络中的攻击流量。当防护对象的流量异常或防护对象受攻击时，还可以查看其防御状态并处理异常/攻击事件。

选择“防御 > 策略配置 > 防护对象”，管理防护对象的防御策略，具体操作请参见表1，参数说明请参见表2。

表1 管理防护对象的策略
操作 | 说明
--- | ---
配置防御策略 | 单击防护对象对应的，配置AntiDDoS防御策略具体请参见配置防御模式、配置防护对象过滤器（AntiDDoS）和配置防护对象防御策略（AntiDDoS）；AntiDDoS1820-N防御策略具体请参见配置防御模式、配置防护对象过滤器（AntiDDoS1820-N/Netflow检测）和配置防护对象防御策略（AntiDDoS1820-N/Netflow检测）
部署 | 配置防护对象的策略后，需要将该配置部署到关联设备上才能生效。 选中防护对象前的复选框，单击，具体请参见部署防御策略。
拆除 | 将防护对象的策略配置从该防护对象的关联设备上删除，但在ATIC管理中心上仍保留该配置。 选中防护对象前的复选框，单击。
处理异常/攻击事件 | 当防护对象的流量异常或防护对象受攻击时，“异常状态”会显示为“异常”或“受攻击”，单击该防护对象“异常状态”列对应的具体状态，进行相应的处理，具体请参见处理异常事件或受攻击的防护对象。

表2 防护对象策略的参数说明
参数 | 说明
--- | ---
防护对象 | 创建防护对象时定义的防护对象名称，具体请参见创建防护对象。
类型 | 防护对象的类型。
设备名称 | 为防护对象提供防御的检测设备和清洗设备。
基线学习状态 | 防护对象的关联设备对其流量进行基线学习的状态。 单击具体状态，可以配置基线学习任务和查看基线学习结果，具体请参见配置基线学习。
异常状态 | 防护对象流量的状态。 “正常”：防护对象的流量正常，或者防护对象还未关联设备。 “异常”：防护对象的流量和正常的流量模型不一致，即流量值超出防御策略中配置的阈值。 “受攻击”：清洗设备上检测到流量异常后，已启用防御，开始丢包且丢包数大于一定比例。 当防护对象的“异常状态”显示为“异常”或“受攻击”且“防御状态”显示为“未防御”或“部分防御”时，需要单击“异常状态”列的具体状态，查看异常事件并进行相应的处理，具体请参见处理异常事件或受攻击的防护对象。
防御状态 | 清洗设备对防护对象的异常或攻击流量进行处理的状态。 “--”：防护对象的流量正常，无需进行防御。 “自动防御”：已针对异常流量自动启用防御。 “未防御”：防护对象的流量已经异常，但还未针对异常流量启用防御，需要手动启用防御。 “部分防御”：已针对部分异常流量手动启用防御。 “已防御”：已针对全部异常流量手动启用防御。 当防护对象的“异常状态”显示为“异常”或“受攻击”且“防御状态”显示为“未防御”或“部分防御”时，需要单击“异常状态”列的具体状态，查看异常事件并进行相应的处理，具体请参见处理异常事件或受攻击的防护对象。
引流状态 | 说明： 仅AntiDDoS设备支持此操作，AntiDDoS1820-N设备不支持。 防护对象的流量牵引至清洗设备的状态。 “引流中”：防护对象下的引流任务全部为启动状态。 “部分引流”：防护对象下有多条引流任务，部分是启动中，部分是未启动的。 “未引流”：防护对象下没有引流任务或者所有的引流任务为未启动状态。 “引流确认”：检测设备将检测到的异常流量上报ATIC，ATIC中生成引流任务，等待管理员手动确认，管理员确认后引流任务会下发到清洗设备。 在旁路部署Anti-DDoS组网中，遇到以下情况需要单击具体的引流状态，在“引流任务”页签中，查看是否尚未创建引流任务或引流任务未启用，具体请参见管理引流任务（通过ATIC）。 防护对象的引流状态为“未引流”，且异常状态为“异常”。 防护对象的引流状态为“部分引流”，且异常状态为“异常”或“受攻击”。 防护对象的引流状态为“引流确认”，异常状态为“正常”。
部署状态 | 防护对象策略的配置是否已部署到关联设备上，包括“未部署”、“部署成功”、“部分部署”、“部署失败”。 当“部署状态”为“部署失败”时，单击“部署失败”，可查看该防护对象关联的各设备上部署或拆除失败的详细信息。 当“部署状态”为“部分部署”时，单击“部分部署”，可查看该防护对象关联的各设备上未部署的最新策略。

- 配置防御模式
  为防护对象配置防御策略时，必须首先配置防御模式，包括引流模式、防御模式、动态黑名单模式、过滤器丢弃阈值、单目的IP限流和IP信誉功能等。仅Intbound支持配置防御模式，Outbound不支持。
- 过滤器
  创建过滤器，并将防护对象和过滤器关联起来，用于清洗设备对去往防护对象的流量进行静态过滤。
- 配置IP位置策略
  位置防御策略能针对某个国家或者中国的省份进行流量的放行、阻断和限流。
- 创建黑名单
  在黑名单中配置防护对象的不可信任源IP地址，由黑名单中的源IP发起的报文会直接被丢弃。
- 创建白名单
  在白名单中配置防护对象的可信任源IP地址，由白名单中的源IP发起的报文会直接被放行。
- 配置基线学习
  基线学习即学习防护对象的流量基线值，从而调整防御策略中的防御阈值。
- 配置防护对象防御策略（AntiDDoS）
  完成基本策略的配置后，防护对象的各关联设备上会分别自动生成一条基本防御策略，需要根据现网流量配置该防御策略。
- 配置防护对象防御策略（AntiDDoS1820-N/Netflow检测）
  完成基本策略的配置后，防护对象的各关联设备上会分别自动生成一条基本防御策略，对入流量进行检测。
- 配置设备全局策略
  介绍通过ATIC配置全局防御策略。仅Intbound支持配置防御模式，Outbound不支持。
- 云清洗
- 创建自定义IP位置
  当IP位置库中IP位置的划分粒度不满足需要时可以创建自定义IP位置。仅Intbound支持自定义IP位置，Outbound不支持。
- 库文件
  介绍IP信誉特征库和地区识别特征库的加载与升级。
- 信息采集
  介绍公共配置中的信息采集功能。此功能不适用于AntiDDoS1820-N设备。
- 智能防御配置
  通过部署操作，可对正常业务防御误判、攻击流量防御漏防进行智能化识别。
- 配置策略模板
  策略模板用于定义某AntiDDoS或AntiDDoS1820-N设备对应各类型的防御策略，方便该AntiDDoS或AntiDDoS1820-N设备上策略的配置。
- 部署防御策略
  通过部署操作，可将ATIC管理中心侧的配置数据下发到AntiDDoS或AntiDDoS1820-N设备。配置防护对象的防御策略后，需要将该配置部署到AntiDDoS或AntiDDoS1820-N设备上才能生效。
- 保存配置
  完成策略配置后，用户可以通过命令行配置或管理中心下发两种方式保存配置。

父主题： 配置防御策略（Inbound）

版权所有 © 华为技术有限公司