报文把防火墙CPU打满了？华为CPCAR按协议分类限速保护CPU
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
防火墙转发面的性能很强，但 CPU 是拿来跑协议和管理面的：ARP、DHCP、ICMP 这类需要上送 CPU 处理的报文一旦被大量伪造，CPU 占用立刻飙升，管理页面卡死、协议失联，看着像设备"死机"。华为防火墙提供了对上送 CPU 报文的分类限速（CPCAR），主要分为协议报文 CPCAR 限速、上送 CPU 的所有协议报文限速和协议联动限速三种手段，给 CPU 穿上防护衣。下面按官方文档把配置方法整理出来。
先理解三条限速的优先关系：协议联动限速的优先级最高，如果还配置了协议报文 CPCAR 限速和上送 CPU 的所有协议报文限速，设备以协议联动限速值为准；如果没有配置协议联动限速，但同时配置了协议报文 CPCAR 限速和上送 CPU 的所有协议报文限速，设备以二者中的最小限速值为准。
第一步，进入系统视图，创建防攻击策略并进入防攻击策略视图。
system-view
cpu-defend policy policy-name
第二步，配置上送 CPU 报文的限速方式。协议报文 CPCAR 限速，按报文类型逐类设定速率：
car packet-type packet-type pps pps-value
对上送到 CPU 的所有报文统一设总限速：
car all-packets pps pps-value
缺省情况下，上送设备 CPU 的报文 CAR 速率可以通过命令 display cpu-defend configuration 查看——动手改之前先看一眼现值，调整幅度才有参照。
第三步，配置协议联动限速。先开启协议联动功能：
application-apperceive packet-type enable
配置协议连接建立时协议报文的 CPCAR 值：
linkup-car packet-type packet-type pps pps-value
配置协议联动触发惩罚的比例阈值：
linkup session anti-attack ratio-threshold rate-value-percent
缺省情况下，触发惩罚的比例阈值为 50%。
第四步（可选），开启基于会话限速的 Session-car 功能：
session-car packet-type enable
缺省情况下该功能不开启。注意依赖关系：Session-car 功能依赖协议联动功能，需要先配置 application-apperceive enable 开启协议联动功能，不开启协议联动功能的情况下无法开启 Session-car 功能。
开启后还可以配置协议连接时每个会话协议报文的承诺 CAR 速率和峰值 CAR 速率：
session-car packet-type cir cir-value [ pir pir-value ]
官方给出一条取值建议：Session-car 的峰值 CAR 速率（参数 pir 值）建议不超过协议联动的报文 CPCAR 值（参数 pps 值）。
第五步（可选），对特定类型的上送报文直接丢弃：
deny packet-type packet-type
缺省情况下，设备不会丢弃上送 CPU 的报文。对明确不需要的协议类型，这一招最干脆，但要先确认业务不依赖。
第六步，可选配置防攻击策略的描述信息，便于后期维护识别：
description description
第七步，应用防攻击策略——官方特别强调：创建防攻击策略之后，必须将策略在系统视图下应用，否则防攻击策略不会生效。应用方式有两种，批量配置：
cpu-defend-policy policy-name batch slot { start-slot [ to end-slot ] } &<1-12>
单独配置：
cpu-defend-policy policy-name [ slot slot-id ]
配置完成后怎么验证？一是用 display cpu-defend configuration 查看防攻击策略与各协议 CPCAR 配置是否按预期下发；二是观察 CPU 占用率与上送丢包统计——发生攻击时，超速的上送报文会在限速点被丢弃，CPU 占用回落到安全水位、管理面操作恢复流畅，就说明限速在起作用；调整参数后持续观察一段时间，避免限速值收得太紧把正常协议报文误伤。
CPU 是设备的大脑，分类限速就是给大脑装的减压阀。欢迎搜索关注贵州诚鑫致达科技，交流网络设备安全防护的运维经验。
企业存储选型参考｜贵州诚鑫致达
老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。