- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
07-报文过滤配置
本章节下载： 07-报文过滤配置 (217.34 KB)
目 录
报文过滤是ACL最基本的应用。例如，将ACL规则应用到指定接口的入或出方向上，从而对该接口收到或发出的报文进行过滤。
报文过滤配置任务如下：
· 应用ACL进行报文过滤。请选择以下一项任务进行配置：
· （可选）配置报文过滤日志信息或告警信息的生成与发送周期
· （可选）配置报文过滤的缺省动作
全局在一个方向上最多可应用4个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL、一个二层ACL和一个用户自定义ACL。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
(1) 进入系统视图。
system-view
(2) 全局应用ACL进行报文过滤。
packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]
缺省情况下，未配置全局的报文过滤。
一个接口在一个方向上最多可应用4个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL、一个二层ACL和一个用户自定义ACL。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
在二三层混合流量场景中，在VLAN接口出方向应用ACL进行报文过滤，带相同VLAN的三层聚合子接口出方向流量也会被匹配。
在share-mode模式下，仅相同类型的接口共享一份ACL资源。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 在接口上应用ACL进行报文过滤。
packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ] [ share-mode ]
缺省情况下，未配置接口的报文过滤。
报文过滤日志或告警信息的生成与发送周期起始于报文过滤中ACL匹配数据流的第一个数据包，报文过滤日志或告警信息包括周期内被匹配的报文数量以及所使用的ACL规则。在一个周期内：
· 对于规则匹配数据流的第一个数据包，设备会立即生成报文过滤日志或告警信息；
· 对于规则匹配数据流的其他数据包，设备将在周期结束后生成报文过滤日志或告警信息。
设备生成的报文过滤日志将发送给信息中心，有关信息中心的详细介绍，请参见“网络管理和监控配置指导”中的“信息中心”。
设备生成的告警信息将发送给SNMP，有关SNMP的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。
(1) 进入系统视图。
system-view
(2) 配置报文过滤日志信息或告警信息的生成与发送周期。
acl { logging | trap } interval interval
缺省情况下，报文过滤日志信息或告警信息的生成与发送周期为0分钟，即不记录报文过滤的日志和告警信息。
系统缺省的报文过滤动作为Permit，即允许未匹配上ACL规则的报文通过。通过本配置可更改报文过滤的缺省动作为Deny，即禁止未匹配上ACL规则的报文通过。
(1) 进入系统视图。
system-view
(2) 配置报文过滤的缺省动作为Deny。
packet-filter default deny
缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过。
可在任意视图下执行以下命令：
· 显示报文过滤的应用情况。
display packet-filter { global | interface [ interface-type interface-number ] | l2vpn-ac [ interface interface-type interface-number [ service-instance instance-id ] ] } [ inbound | outbound ] [ slot slot-number ]
· 显示报文过滤的详细应用情况。
display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ slot slot-number ]
可在任意视图下执行以下命令：
· 显示报文过滤的统计信息。
display packet-filter statistics { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ brief ]
· 显示报文过滤的累加统计信息。
display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac | user-defined ] { acl-number | name acl-name } [ brief ]
请在用户视图下执行以下命令，清除报文过滤的统计信息。
reset packet-filter statistics { global | interface [ interface-type interface-number ] } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
缺省情况下，本设备的接口处于ADM（Administratively Down）状态，请根据实际需要在对应接口视图下使用undo shutdown命令开启接口。
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。
<Device> system-view
[Device] time-range work 08:00 to 18:00 working-day
# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work
[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] quit
# 应用IPv4高级ACL 3000对接口HundredGigE1/0/1出方向上的报文进行过滤。
[Device] interface hundredgige 1/0/1
[Device-HundredGigE1/0/1] packet-filter 3000 outbound
[Device-HundredGigE1/0/1] quit
配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：
# 在财务部的PC上检查到财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Reply from 192.168.0.100: bytes=32 time=1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 1ms, Average = 0ms
由此可见，财务部的PC能够在工作时间访问财务数据库服务器。
# 在市场部的PC上检查财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
由此可见，市场部的PC不能在工作时间访问财务数据库服务器。
# 查看IPv4高级ACL 3000的配置和运行情况。
[Device] display acl 3000
Advanced IPv4 ACL 3000, 3 rules,
ACL's step is 5
rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)
rule 10 deny ip destination 192.168.0.100 0
由此可见，由于目前是工作时间，因此规则5是生效的；且由于之前使用了ping命令的缘故，规则5和规则10分别被匹配了4次。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
