差错报文反被借去打CPU？华为ICMPv6令牌桶给排障通道设额度

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

设备收到异常报文时会回一条ICMPv6差错报文告知对方：超时、不可达、参数问题。这份礼貌正常时是排障的好帮手，可一旦有人恶意构造大量非法报文打过来，设备就得一条条回复差错报文——CPU和吞吐量被自己的回复拖垮，攻击者一根废线缆就借走了设备的算力。华为用ipv6 icmp-error命令给差错报文发送限速，把这份礼貌控制在额定额度内。

机制是令牌桶：一个令牌代表允许发送一个ICMPv6差错报文，系统每隔一段时间向桶里放固定数量的令牌，桶满即止；发一条报文扣一个令牌，令牌扣完，后续差错报文一律丢弃，直到下一个周期补入新令牌。桶的容量和补令牌的间隔，就是两个可调的旋钮。

三种配法按需选

基础配法：进系统视图，使能IPv6转发后限制发送间隔。示例把放置令牌的间隔设为100毫秒：

<HUAWEI> system-view
[HUAWEI] ipv6 icmp-error ratelimit 100

调整桶容量，示例设为50：

<HUAWEI> system-view
[HUAWEI] ipv6 icmp-error bucket 50

两个旋钮一起拧，桶容量50、间隔100毫秒，这是容量与速率兼顾的常用写法：

<HUAWEI> system-view
[HUAWEI] ipv6 icmp-error bucket 50 ratelimit 100

缺省值是桶容量10、间隔100毫秒，官方推荐就用缺省。取值上有两点：容量范围1到200，间隔范围0到2147483647毫秒，间隔配0表示不限投放间隔——等于只限桶深不限速率；命令覆盖式生效，重复配置以后一次为准。

收进来的也要管

限速只管“发出去的”，还有配套的“收进来的”：若网络确有恶意者利用差错报文做文章，可以按类型去使能接收，例如undo ipv6 icmp port-unreachable receive（接口视图下也有对应的端口不可达、超时报文发送开关），把常被利用的几类直接关掉，双管齐下。

验证：构造大量触发差错报文的流量，观察设备CPU不再随攻击流量上涨，合法业务的差错提示依然按额度返回；display icmpv6 statistics查看收发统计核对额度效果。

礼貌要有额度，服务才不被绑架。ICMPv6差错报文是排障的耳朵，限速不是捂住耳朵，而是让它只说有价值的话。欢迎搜索关注贵州诚鑫致达科技，获取更多设备控制面安全加固的实操经验。

企业存储选型参考｜贵州诚鑫致达

用 DS918+/DS920+/DS1517+/DS1817+ 等经典机型的老用户，群晖机型参考：可平滑升级到 DS1522+ · DS1823xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。