技术干货 2026-10-29 企业数据管家文：诚鑫技术团队本文由 AI 辅助生成，经人工审核后发布

管理口卡顿怀疑被扫：攻击溯源定位攻击源接口

整理自华为官方发布的典型配置案例。

交换机 CPU 高、ping 管理地址丢包，看一眼上送 CPU 的协议报文，里面混着大量异常流量——是谁发的、从哪个口进来的？人工逐口排查是大海捞针。官方本机防攻击体系里有现成工具：攻击溯源。它分析上送 CPU 的报文是否构成攻击，判定后自动记录攻击源（按源 MAC、源 IP、源接口加 VLAN 三个维度），以日志或告警通知管理员，还能配上惩罚自动处置。

溯源的三个维度各管一类场景：源 MAC 抓到的是那块发伪造报文的网卡，源 IP 抓到的是伪装地址的设备，源接口加 VLAN 把"从哪个口、哪个业务段进来"钉死——三个维度交叉，攻击源头基本无处遁形。缺省情况下溯源以日志方式通知管理员，嫌日志不够快就再开告警。

配置一套溯源策略

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] acl number 2001
[Switch-acl-basic-2001] rule permit source 10.1.1.0 0.0.0.255
[Switch-acl-basic-2001] quit
[Switch] acl number 2002
[Switch-acl-basic-2002] rule permit source 10.2.2.0 0.0.0.255
[Switch-acl-basic-2002] quit
[Switch] acl number 2003
[Switch-acl-basic-2003] rule permit source 10.3.3.0 0.0.0.255
[Switch-acl-basic-2003] quit

[Switch] cpu-defend policy policy1

[Switch-cpu-defend-policy-policy1] auto-defend enable

[Switch-cpu-defend-policy-policy1] auto-defend alarm enable

溯源功能缺省已使能，这里显式打开并配上告警，攻击发生时网管第一时间收到通知。

[Switch-cpu-defend-policy-policy1] auto-defend whitelist 1 acl 2002

白名单先排除自己人：网管服务器、上联设备、合法业务网段加进白名单（示例用 acl 2002 放行合法网段），命中白名单的报文无论是否攻击都不溯源、不惩罚——防误伤全靠这一步，官方建议把周边合法服务器、网络互连端口、网管设备都纳入。ACL 白名单还有个反直觉的语义要记住：命中白名单 ACL 的报文一律按合法处理，规则写 permit 还是 deny 都一样——白名单里配 ACL 别带过滤思路，只圈范围。设备另有自动白名单机制：与设备成功建立 TCP 连接的源地址会被临时免检并定期老化，正常业务多一层兜底。

[Switch-cpu-defend-policy-policy1] auto-defend action deny

惩罚措施配 deny：识别为攻击源后丢弃其相关报文。另有 error-down 一档（直接关闭攻击报文进入的接口），官方文档特意提醒：关接口会连带中断接口下的合法用户，用前掂量清楚。

[Switch] cpu-defend-policy policy1

策略在系统视图全局应用后生效。

看效果

<Switch> display auto-defend configuration
 ----------------------------------------------------------------------------   
 Name  : policy1
 Related slot : <1,8>
 auto-defend                      : enable
 auto-defend attack-packet sample : 5
 auto-defend threshold            : 60 (pps)
 auto-defend alarm                : enable
 auto-defend trace-type           : source-mac source-ip 
 auto-defend protocol             : arp icmp dhcp igmp tcp telnet 8021x nd dhcpv6 mld icmpv6   
 auto-defend action               : deny (Expired time : 300 s)
 auto-defend whitelist 1          : acl number 2002
 ----------------------------------------------------------------------------

这条回显核对策略内容是否全部下发；攻击发生后执行 display auto-defend attack-source 直接列出攻击源明细，可带 history 参数看历史记录——源 MAC、源 IP、来源接口一目了然，处置就有靶子了。溯源记录也有生命周期，必要时清理后重新统计，攻击频度的趋势才可比。

避坑两条

白名单务必先于惩罚配置：先开 deny 再补白名单，中间窗口可能误伤正常业务；
惩罚选 deny 不选关接口的理由：攻击报文往往混在正常用户流量里从同一接入口进来，关口子等于连坐，deny 只丢攻击流，业务无感；
溯源与惩罚分两步上线：先只开溯源观察几天，把白名单打磨准，再上 deny 惩罚——一步到位的上线方式，翻车概率高。

管理面安全加固与整网排查，贵州诚鑫致达科技提供上门评估，欢迎搜索联系评估。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。