目  录

1 报文过滤

1.1 报文过滤配置命令

1.1.1 display packet-filter

1.1.2 display packet-filter statistics

1.1.3 display packet-filter statistics sum

1.1.4 display packet-filter verbose

1.1.5 packet-filter (interface view)

1.1.6 packet-filter (service template view)

1.1.7 packet-filter default deny

1.1.8 reset packet-filter statistics

1 报文过滤

1.1  报文过滤配置命令

‌

1.1.1  display packet-filter

display packet-filter命令用来显示ACL在报文过滤中的应用情况。

【命令】

display packet-filter interface [ interface-type interface-number ] [ inbound | outbound ] [ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface [ interface-type interface-number ]：显示指定接口上ACL在报文过滤中的应用情况。interface-type interface-number表示接口类型和接口编号。若未指定接口类型和接口编号，将显示除VA接口外所有接口上ACL在报文过滤中的应用情况。有关VA接口的详细介绍，请参见“二层技术-广域网接入配置指导”中的“PPP”。当接口类型为以太网接口时，不需要指定slot参数。

inbound：显示入方向上ACL在报文过滤中的应用情况。

outbound：显示出方向上ACL在报文过滤中的应用情况。

slot slot-number：显示指定单板上ACL在报文过滤中的应用情况，slot-number表示单板所在的槽位号。若未指定本参数，将显示主用主控板上ACL在报文过滤中的应用情况。对于本产品，slot-number只能为固定取值，无论是否指定本参数，均表示整台设备。‌

【使用指导】

如果未指定inbound和outbound参数，将同时显示出、入方向上ACL在报文过滤中的应用情况。

【举例】

# 显示接口GigabitEthernet0/0/1入方向上ACL在报文过滤中的应用情况。

<Sysname> display packet-filter interface gigabitethernet 0/0/1 inbound

Interface: GigabitEthernet0/0/1

 Inbound policy:

  IPv4 ACL 2001

  IPv6 ACL 2002 (Failed)

  MAC ACL 4003

表1-1 display packet-filter命令显示信息描述表

字段	描述
Interface	ACL在指定接口上的应用情况
Inbound policy	ACL在入方向上的应用情况
Outbound policy	ACL在出方向上的应用情况
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv6 ACL 2002 (Failed)	IPv6基本ACL 2002应用失败
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit ·     Hardware-count：规则匹配硬件统计功能应用成功 ·     Hardware-count (Failed)：规则匹配硬件统计功能应用失败
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit ·     Hardware-count：规则匹配硬件统计功能应用成功 ·     Hardware-count (Failed)：规则匹配硬件统计功能应用失败
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit ·     Hardware-count：规则匹配硬件统计功能应用成功 ·     Hardware-count (Failed)：规则匹配硬件统计功能应用失败

‌‌

1.1.2  display packet-filter statistics

display packet-filter statistics命令用来显示ACL在报文过滤中应用的统计信息。

【命令】

display packet-filter statistics interface interface-type interface-number  { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ] [ brief ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface interface-type interface-number：显示指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。

inbound：显示入方向上的统计信息。

outbound：显示出方向上的统计信息。

default：显示报文过滤缺省动作的统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

brief：显示简要统计信息。

【使用指导】

如果未指定任何可选参数，将显示全部ACL在报文过滤中应用的统计信息。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示接口GigabitEthernet0/0/1入方向上全部ACL在报文过滤中应用的统计信息。

<Sysname> display packet-filter statistics interface gigabitethernet 0/0/1 inbound

Interface: GigabitEthernet0/0/1

 Inbound policy:

  IPv4 ACL 2001

   From 2019-06-04 10:25:21 to 2019-06-04 10:35:57

   rule 0 permit source 2.2.2.2 0 (2 packets)

   rule 5 permit source 1.1.1.1 0 (Failed)

   rule 10 permit vpn-instance test (No resource)

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

 

  IPv6 ACL 2000

 

  MAC ACL 4000

   rule 0 permit

 

  IPv4 default action: Deny

   From 2019-06-04 10:25:21 to 2019-06-04 10:35:57

   Totally 7 packets

 

  IPv6 default action: Deny

   From 2019-06-04 10:25:41 to 2019-06-04 10:35:57

   Totally 0 packets

  MAC default action: Deny

   From 2019-06-04 10:25:34 to 2019-06-04 10:35:57

   Totally 0 packets

表1-2 display packet-filter statistics命令显示信息描述表

字段	描述
Interface	在指定接口上应用的统计信息
Inbound policy	在入方向上应用的统计信息
Outbound policy	在出方向上应用的统计信息
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv4 ACL 2002 (Failed)	IPv4基本ACL 2002应用失败
From 2019-06-04 10:25:21 to 2019-06-04 10:35:57	硬件统计的起始和终止时间
2 packets	该规则匹配了2个包（当匹配的包个数为0时不显示本字段）
No resource	该规则对应的统计资源不足。在显示统计信息时，若该规则的统计资源不足，便会显示本字段
rule 5 permit source 1.1.1.1 0 (Failed)	规则5应用失败
Totally 2 packets permitted, 0 packets denied	该ACL允许和拒绝符合条件报文的个数
Totally 100% permitted, 0% denied	该ACL允许符合条件报文的通过率和拒绝符合条件报文的丢弃率
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
Totally 7 packets	报文过滤缺省动作的硬件统计功能执行次数

‌‌

【相关命令】

·     reset packet-filter statistics

1.1.3  display packet-filter statistics sum

display packet-filter statistics sum命令用来显示ACL在报文过滤中应用的累加统计信息。

【命令】

display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac ] { acl-number | name acl-name } [ brief ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

inbound：显示入方向上ACL在报文过滤中应用的累加统计信息。

outbound：显示出方向上ACL在报文过滤中应用的累加统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中应用的累加统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中应用的累加统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

brief：显示ACL在报文过滤中应用的简要累加统计信息。

【使用指导】

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示入方向上IPv4基本ACL 2001在报文过滤中应用的累加统计信息。

<Sysname> display packet-filter statistics sum inbound 2001

Sum:

 Inbound policy:

  IPv4 ACL 2001

   rule 0 permit source 2.2.2.2 0 (2 packets)

   rule 5 permit source 1.1.1.1 0

   rule 10 permit vpn-instance test

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

# 显示入方向上IPv4基本ACL 2000在报文过滤中应用的简要累加统计信息。

<Sysname> display packet-filter statistics sum inbound 2000 brief

Sum:

 Inbound policy:

  IPv4 ACL 2000

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

表1-3 display packet-filter statistics sum命令显示信息描述表

字段	描述
Sum	ACL在报文过滤中应用的累加统计信息
Inbound policy	ACL在入方向上应用的累加统计信息
Outbound policy	ACL在出方向上应用的累加统计信息
IPv4 ACL 2001	IPv4基本ACL 2001应用的累加统计信息
2 packets	该规则匹配了2个包（当匹配的包个数为0时不显示本字段）
Totally 2 packets permitted, 0 packets denied	该ACL允许和拒绝符合条件报文的个数
Totally 100% permitted, 0% denied	该ACL允许符合条件报文的通过率和拒绝符合条件报文的丢弃率

 

【相关命令】

·     reset packet-filter statistics

1.1.4  display packet-filter verbose

display packet-filter verbose命令用来显示ACL在报文过滤中的详细应用情况。

【命令】

display packet-filter verbose interface interface-type interface-number { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ] [ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface interface-type interface-number：显示指定接口上ACL在报文过滤中的详细应用情况。interface-type interface-number表示接口类型和接口编号。当接口类型为以太网接口时，不需要指定slot参数。

inbound：显示入方向上ACL在报文过滤中的详细应用情况。

outbound：显示出方向上ACL在报文过滤中的详细应用情况。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中的详细应用情况。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中的详细应用情况。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

slot slot-number：显示指定单板上ACL在报文过滤中的详细应用情况，slot-number表示单板所在的槽位号。若未指定本参数，将显示主用主控板上ACL在报文过滤中的详细应用情况。对于本产品，slot-number只能为固定取值，无论是否指定本参数，均表示整台设备。‌

【使用指导】

若未指定acl-number、name acl-name和ACL类型（ipv6、mac）参数，将显示全部IPv4 ACL在报文过滤中的详细应用情况。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示接口GigabitEthernet0/0/1入方向上全部ACL在报文过滤中的详细应用情况。

<Sysname> display packet-filter verbose interface gigabitethernet 0/0/1 inbound

Interface: GigabitEthernet0/0/1

 Inbound policy:

  IPv4 ACL 2001

   rule 0 permit

   rule 5 permit source 1.1.1.1 0 (Failed)

   rule 10 permit vpn-instance test (Failed)

 

  IPv6 ACL 2000

   rule 0 permit

 

  MAC ACL 4000

 

  IPv4 default action: Deny

 

  IPv6 default action: Deny

 

  MAC default action: Deny

表1-4 display packet-filter verbose命令显示信息描述表

字段	描述
Interface	ACL在指定接口上的详细应用情况
Inbound policy	ACL在入方向上的详细应用情况
Outbound policy	ACL在出方向上的详细应用情况
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv4 ACL 2002 (Failed)	IPv4基本ACL 2002应用失败
rule 5 permit source 1.1.1.1 0 (Failed)	规则5应用失败
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit

‌‌

1.1.5  packet-filter (interface view)

packet-filter命令用来在接口上应用ACL进行报文过滤。

undo packet-filter命令用来取消在接口上应用ACL进行报文过滤。

【命令】

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound }

undo packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound }

【缺省情况】

接口不对报文进行过滤。

【视图】

接口视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：指定ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

inbound：对收到的报文进行过滤。

outbound：对发出的报文进行过滤。

【使用指导】

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

引用ACL时，需要注意的是：

·     若引用的ACL不存在，或者引用的ACL中没有配置规则，则表示不引用ACL进行报文过滤。

·     在引用的ACL中，若某规则指定了vpn-instance参数，则表示该规则仅对VPN报文有效；若规则未指定vpn-instance参数，则表示该规则仅对公网报文有效。

一个接口在一个方向上最多可应用32个ACL进行报文过滤。

二层以太网接口上配置packet-filter命令进行报文过滤时，设备仅检测目的地址为非本机地址的过路报文，对于目的地址为本机的报文，配置的报文过滤并不生效。

【举例】

# 应用IPv4基本ACL 2001对接口GigabitEthernet0/0/1收到的报文进行过滤。

<Sysname> system-view

[Sysname] interface gigabitethernet 0/0/1

[Sysname-GigabitEthernet0/0/1] packet-filter 2001 inbound

【相关命令】

·     display packet-filter

·     display packet-filter statistics

·     display packet-filter verbose

1.1.6  packet-filter (service template view)

packet-filter命令用来配置在无线服务模板下应用ACL进行报文过滤。

undo packet-filter命令用来取消在无线服务模板下应用ACL进行报文过滤。

【命令】

packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound }

undo packet-filter [ ipv6 ] { inbound | outbound }

【缺省情况】

无线服务模板未应用ACL来进行报文过滤。

【视图】

无线服务模板视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

acl-number：指定ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。

inbound：对收到的报文进行过滤。

outbound：对发出的报文进行过滤。

【使用指导】

在AC上配置无线服务模板并应用本命令，在AP上则需要创建本命令中应用的ACL规则，通过该无线服务模板的AP上线后，才能对符合ACL规则的报文进行过滤。

引用ACL时，需要注意的是：

·     若引用的ACL不存在，或者引用的ACL中没有配置规则，则表示不引用ACL进行报文过滤。

·     在引用的ACL中，若某规则指定了vpn-instance参数，则表示该规则仅对VPN报文有效；若规则未指定vpn-instance参数，则表示该规则仅对公网报文有效。

无线服务模板下应用ACL进行报文过滤时，只会匹配ACL规则中的主要属性：源IP地址、目的IP地址、源端口、目的端口、协议类型。

无线服务模板在一个方向上最多只能应用1个ACL进行报文过滤。

本命令只能在无线服务模板处于关闭状态时配置。

【举例】

# 对接入该无线服务模板的无线客户端应用IPv4基本ACL 2001对收到的报文进行过滤。

<Sysname> system-view

[Sysname] wlan service-template service1

[Sysname-wlan-st-service1] packet-filter 2001 inbound

1.1.7  packet-filter default deny

packet-filter default deny命令用来配置报文过滤的缺省动作为Deny，即禁止未匹配上ACL规则的报文通过。

undo packet-filter default deny命令用来恢复缺省情况。

【命令】

packet-filter default deny

undo packet-filter default deny

【缺省情况】

报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

配置报文过滤的缺省动作会在所有的应用对象下添加一个缺省动作应用，该应用也会像其它应用的ACL一样显示。

【举例】

# 配置报文过滤的缺省动作为Deny。

<Sysname> system-view

[Sysname] packet-filter default deny

【相关命令】

·     display packet-filter

·     display packet-filter statistics

·     display packet-filter verbose

1.1.8  reset packet-filter statistics

reset packet-filter statistics命令用来清除ACL在报文过滤中应用的统计信息。

【命令】

reset packet-filter statistics interface [ interface-type interface-number ] { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

interface [ interface-type interface-number ]：清除指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。若未指定接口类型和接口编号，将清除所有接口上的统计信息。

inbound：清除入方向上的统计信息。

outbound：清除出方向上的统计信息。

default：清除缺省动作在报文过滤中应用的统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：清除指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：清除指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

如果未指定default、acl-number、name acl-name和ACL类型（ipv6、mac）参数，将清除全部ACL在报文过滤中应用的统计信息。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 清除在接口GigabitEthernet0/0/1入方向上IPv4基本ACL 2001在报文过滤中应用的统计信息。

<Sysname> reset packet-filter statistics interface gigabitethernet 0/0/1 inbound 2001

【相关命令】

·     display packet-filter statistics

·     display packet-filter statistics sum