ASA 5510限制客户端并发连接数和流量

近期公司网站遭到大量攻击，内网ping网站ip 丢包很严重。查看asa 状态如图：

01.asdm 上面看到的攻击状态：

02. 连接状态如下：

03. 在服务器上看到的出现大量time waite 状态的连接（全是无效连接），导致web服务器很卡，严重丢包，cpu和内存正常。

04. 处理办法：

a.检测是不是web服务器有没有大量的对外的连接（非80端口）是不是中毒之类的。

b.在asa防火墙上限制客户端的并发连接数和流量：

第一种：

hostname(config)# access-list allip permit ip any any 设置需限制的访问列表

hostname(config)# class-map c_all_ip 设置类别图

hostname(config-cmap)# match access-list allip 匹配访问列表allip

hostname(config)# policy-map p_all_ip 设置策略图p_all_ip

hostname(config-pmap)# class c_all_ip 使用类别c_all_ip

hostname(config-pmap-c)# set connection per-client-max 50 （限制每客户端连接数最大50）hostname(config-pmap-c)# police output 250000 限制此类别速率bit/s

hostname(config)# service-policy p_all_ip interface outside（将策略应用到接口，每个接口只能用一个策略图policy-map）

注：

在policy-map里面使用命令set connection conn-max 10 现实最大连接数10个

set connection embryonic-conn-max 5 限制最大的半打开连接时5个

set connection per-client-max 10 限制每用户最大连接数10个

set connection per-client-embryonic-max 5 限制每用户最大半打开连接数5个

police output 10000 20000 conform-action drop 出口速率10000B，允许爆发到20000，违反规则丢弃数据包

例子：

access-list 101 extended permit tcp any host 192.168.0.115 eq www

class-map c_all_ip

match access-list 101

policy-map p_call_ip

class c_all_ip

set connection embryonic-conn-max 60 per-client-max 60

service-policy p_call_ip interface outside

超过60个连接，在asa日志上可以看到以下内容：

说明已经生效了。

第二种：

nat (inside) 1 172.16.0.0 255.255.0.0 tcp 50 50 udp 50 con enb 限连接数tcp50 ，udp50

备注：

如果，只是需要将内网一个服务器映射到公网可以这样做：

ciscoasa(config)#static (inside, outside) 211.151.*.* 192.168.0.5

ciscoasa(config)#static (inside, outside) 211.151.*.* 192.168.0.5 10000 10 //后面的10000为限制连接数，10为限制的半开连接数。

这样就可以组织一部分网络攻击了，但想根除ddos 攻击基本上不可能