选择区域语言: EN CN HK

11-安全命令参考

10-防火墙命令

本章节下载  (188.29 KB)

docurl=/cn/Service/Document_Software/Document_Center/Routers/Catalog/MSR/MSR_50/Command/Command_Manual/H3C_MSR_CR-R2207(V1.11)/11/201107/720090_30005_0.htm

10-防火墙命令


1 防火墙配置命令

1.1  包过滤防火墙配置命令

1.1.1  display firewall ethernet-frame-filter

【命令】

display firewall ethernet-frame-filter { all | dlsw | interface interface-type interface-number } [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

all:查看所有接口的以太网帧过滤统计信息。

dlsw:查看数据流流经DLSw模块时的以太网帧过滤统计信息。

interface interface-type interface-number:查看指定接口的以太网帧过滤统计信息。其中interface-type interface-number表示接口类型和接口编号。

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display firewall ethernet-frame-filter命令用来查看以太网帧过滤情况的统计信息。

【举例】

# 查看接口Ethernet1/1上以太网帧过滤情况的统计信息。

<Sysname> display firewall ethernet-frame-filter interface ethernet 1/1

Interface: Ethernet1/1

  In-bound Policy: acl 4000

        From 2005-06-07 14:46:59  to 2005-06-07 16:16:23

            0 packets, 0 bytes, 0% permitted,

            0 packets, 0 bytes, 0% denied,

            0 packets, 0 bytes, 0% permitted default,

            0 packets, 0 bytes, 0% denied default,

       Totally 0 packets, 0 bytes, 0% permitted,

       Totally 0 packets, 0 bytes, 0% denied.

  Out-bound Policy: acl 4000

       From 2005-06-07 15:59:23  to 2005-06-07 16:16:23

            0 packets, 0 bytes, 0% permitted,

            0 packets, 0 bytes, 0% denied,

            0 packets, 0 bytes, 0% permitted default,

            0 packets, 0 bytes, 0% denied default,

       Totally 0 packets, 0 bytes, 0% permitted,

       Totally 0 packets, 0 bytes, 0% denied.

表1-1 display firewall ethernet-frame-filter显示信息描述表

字段

描述

Interface

配置了以太网帧过滤功能的接口

In-bound Policy

表示该接口上配置了入方向的ACL规则

Out-bound Policy

表示该接口上配置了出方向的ACL规则

 

1.1.2  display firewall ipv6 statistics

【命令】

display firewall ipv6 statistics { all | interface interface-type interface-number } [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

all:查看IPv6防火墙的所有接口的过滤报文统计信息。

interface interface-type interface-number:查看IPv6防火墙的指定接口的过滤报文统计信息。其中,interface-type interface-number表示接口类型和接口编号。

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display firewall ipv6 statistics命令用来查看IPv6防火墙的过滤报文统计信息。

【举例】

# 查看IPv6防火墙的过滤报文统计信息。

<Sysname> display firewall ipv6 statistics interface ethernet 1/1

  Interface: ethernet1/1

  In-bound Policy: acl6 2000

  From 2008-06-04 10:25:21  to 2008-06-04 10:35:57

     0 packets, 0 bytes, 0% permitted

     0 packets, 0 bytes, 0% denied

     0 packets, 0 bytes, 0% permitted default

     0 packets, 0 bytes, 0% denied default

  Totally 0 packets, 0 bytes, 0% permitted

  Totally 0 packets, 0 bytes, 0% denied

表1-2 display firewall ipv6 statistics命令显示信息描述表

字段

描述

Interface

配置了IPv6包过滤功能的接口

In-bound Policy

表示该接口上配置了入方向的ACL规则

Out-bound Policy

表示该接口上配置了出方向的ACL规则

acl6

IPv6 ACL编号

0 packets, 0 bytes, 0% permitted

表示匹配到IPv6 ACL规则,且被允许通行的报文个数、字节数和比例

0 packets, 0 bytes, 0% denied

表示匹配到IPv6 ACL规则,且被拒绝通行的报文个数、字节数和比例

0 packets, 0 bytes, 0% permitted default

表示未匹配到任何IPv6 ACL规则,且根据缺省过滤规则被允许通行的报文个数、字节数和比例

0 packets, 0 bytes, 0% denied default

表示未匹配到任何IPv6 ACL规则,且根据缺省过滤规则被拒绝通行的报文个数、字节数和比例

Totally 0 packets, 0 bytes, 0% permitted

总计被允许通行的报文个数、字节数和比例

Totally 0 packets, 0 bytes, 0% denied

总计被拒绝通行的报文个数、字节数和比例

 

1.1.3  display firewall-statistics

【命令】

display firewall-statistics { all | fragments-inspect | interface interface-type interface-number } [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

all:查看IPv4防火墙的所有接口的过滤报文统计信息。

fragments-inspect:查看IPv4防火墙的分片报文检测统计信息。

interface interface-type interface-number:查看IPv4防火墙的指定接口的过滤报文统计信息。其中,interface-type interface-number表示接口类型和接口编号。

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display firewall-statistics命令用来查看IPv4防火墙的过滤报文统计信息。

相关配置可参考命令firewall fragments-inspect

可以记录的具有相同IP头16位标识的分片报文个数上限为50。

 

【举例】

# 查看分片报文检测信息。

<Sysname> display firewall-statistics fragments-inspect

  Fragments inspection is enabled.

  The high-watermark for clamping is 2000.

  The low-watermark for clamping is 1500.

  Current records for fragments inspection is 0.

表1-3 display firewall-statistics命令显示信息描述表

字段

描述

Fragments inspection is enabled

防火墙分片报文检测功能开启

The high-watermark for clamping

上限分片状态记录数目

The low-watermark for clamping

下限分片状态记录数目

Current records for fragments inspection

当前分片检测数

 

1.1.4  firewall default

【命令】

firewall default { deny | permit }

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

deny:过滤方式为禁止报文通过。

permit:过滤方式为允许报文通过。

【描述】

firewall default命令用来配置IPv4防火墙的缺省过滤方式。

缺省情况下,IPv4防火墙的缺省过滤方式为允许报文通过(permit)。

【举例】

# 配置IPv4防火墙的缺省过滤方式为禁止报文通过。

<Sysname> system-view

[Sysname] firewall default deny

1.1.5  firewall enable

【命令】

firewall enable

undo firewall enable

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

【描述】

firewall enable命令用来启用IPv4防火墙功能。undo firewall enable命令用来关闭IPv4防火墙功能。

缺省情况下,IPv4防火墙功能处于关闭状态。

【举例】

# 启用IPv4防火墙功能。

<Sysname> system-view

[Sysname] firewall enable

1.1.6  firewall ethernet-frame-filter

【命令】

firewall ethernet-frame-filter { acl-number | name acl-name } { inbound | outbound }

undo firewall ethernet-frame-filter [ { acl-number | name acl-name } ] { inbound | outbound }

【视图】

接口视图

【缺省级别】

2:系统级

【参数】

acl-number:二层访问控制列表号,取值范围为4000~4999。

name acl-name:指定二层访问控制列表的名称。其中,acl-name表示二层ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,二层ACL的名称不可以使用英文单词all。

inbound:过滤接口接收的数据包。

outbound:过滤接口转发的数据包。

【描述】

firewall ethernet-frame-filter命令用来配置接口的以太网帧过滤功能。undo firewall ethernet-frame-filter命令用来取消接口的以太网帧过滤功能。

缺省情况下,不对接口进行以太网帧过滤。

需要注意的是:

l              只有接口工作在网桥组下时,本配置才生效。

l              在接口的一个方向上,只能应用一个ACL来进行以太网帧过滤。

MSR系列路由器各款型对于本节所描述的命令及参数的支持情况有所不同,详细差异信息如下:

命令

MSR 900

MSR 20-1X

MSR 20

MSR 30

MSR 50

firewall ethernet-frame-filter

No

No

Yes

Yes

Yes

 

【举例】

# 在接口Ethernet1/1上配置入方向上的以太网帧过滤规则。

<Sysname> system-view

[Sysname] bridge enable

[Sysname] bridge 1 enable

[Sysname] interface ethernet 1/1

[Sysname-Ethernet1/1] bridge-set 1

[Sysname-Etherhet1/1] firewall ethernet-frame-filter 4001 inbound

1.1.7  firewall fragments-inspect

【命令】

firewall fragments-inspect

undo firewall fragments-inspect

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

【描述】

firewall fragments-inspect命令用来打开分片报文检测开关。undo firewall fragments-inspect命令用来关闭分片报文检测开关。

缺省情况下,分片检测开关处于关闭状态。

相关配置可参考命令display firewall-statistics fragments-inspectfirewall packet-filter

【举例】

# 打开分片报文检测开关。

<Sysname> system-view

[Sysname] firewall fragments-inspect

1.1.8  firewall fragments-inspect { high | low }

【命令】

firewall fragments-inspect { high | low } { number | default }

undo firewall fragments-inspect { high | low }

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

high:指定分片报文检测门限的上限阈值。

low:指定分片报文检测门限的下限阈值。

number:分片状态记录数目,取值范围为100~10000。

default:分片状态记录数目的缺省值。若指定该参数,则会将指定的分片报文检测门限阈值恢复为缺省值。

【描述】

firewall fragments-inspect { high | low }命令用来配置分片报文检测门限。undo firewall fragments-inspect { high | low }命令用来恢复缺省情况。

缺省情况下,分片状态记录数目的上限阈值为2000,下限阈值为1500。

需要注意的是,下限阈值必须小于或等于上限阈值。

相关配置可参考命令display firewall-statistics fragments-inspectfirewall packet-filter

【举例】

# 配置分片报文检测门限的上限阈值为3000,下限阈值为缺省值。

<Sysname> system-view

[Sysname] firewall fragments-inspect high 3000

[Sysname] firewall fragments-inspect low default

1.1.9  firewall ipv6 default

【命令】

firewall ipv6 default { deny | permit }

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

deny:过滤方式为禁止报文通过。

permit:过滤方式为允许报文通过。

【描述】

firewall ipv6 default命令用来配置IPv6防火墙的缺省过滤方式。对于未匹配到任何IPv6包过滤策略中引用的ACL规则的IPv6报文,防火墙使用默认的过滤方式对其进行过滤。

缺省情况下,IPv6防火墙的缺省过滤方式为允许报文通过(permit)。

【举例】

# 配置IPv6防火墙的缺省过滤方式为禁止报文通过。

<Sysname> system-view

[Sysname] firewall ipv6 default deny

1.1.10  firewall ipv6 enable

【命令】

firewall ipv6 enable

undo firewall ipv6 enable

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

【描述】

firewall ipv6 enable命令用来启用IPv6防火墙功能。undo firewall enable命令用来关闭IPv6防火墙功能。

缺省情况下,IPv6防火墙功能处于关闭状态。

【举例】

# 启用IPv6防火墙功能。

<Sysname> system-view

[Sysname] firewall ipv6 enable

1.1.11  firewall ipv6 fragments-inspect

【命令】

firewall ipv6 fragments-inspect

undo firewall ipv6 fragments-inspect

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

【描述】

firewall ipv6 fragments-inspect命令用来打开IPv6分片报文检测开关。undo firewall ipv6 fragments-inspect命令用来关闭IPv6分片报文检测开关。

缺省情况下,IPv6分片报文检测开关处于关闭状态。

【举例】

# 打开IPv6分片报文检测开关。

<Sysname> system-view

[Sysname] firewall ipv6 fragments-inspect

1.1.12  firewall packet-filter

【命令】

firewall packet-filter { acl-number | name acl-name } { inbound | outbound } [ match-fragments { exactly | normally } ]

undo firewall packet-filter { acl-number | name acl-name } { inbound | outbound }

【视图】

接口视图

【缺省级别】

2:系统级

【参数】

acl-number:基本或高级访问控制列表号,取值范围为2000~3999。

name acl-name:指定基本或高级访问控制列表的名称。其中,acl-name表示IPv4 ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,IPv4 ACL的名称不可以使用英文单词all。

inbound:过滤接口接收的数据包。

outbound:过滤接口转发的数据包。

match-fragments { exactly | normally }:指定分片的匹配模式,只有高级访问控制列表才支持该参数,缺省的匹配模式为标准匹配模式。

l              exactly:精确匹配模式。

l              normally:标准匹配模式。

【描述】

firewall packet-filter命令用来配置接口的IPv4报文过滤功能。undo firewall packet-filter命令用来取消接口的报文过滤功能。

缺省情况下,不对通过接口的报文进行过滤。

在接口的一个方向上,只能应用一个IPv4 ACL来进行报文过滤。

相关配置可参考命令firewall fragments-inspect

MSR系列路由器各款型对于本节所描述的命令及参数的支持情况有所不同,详细差异信息如下:

命令

MSR 900

MSR 20-1X

MSR 20

MSR 30

MSR 50

firewall packet-filter

No

No

Yes

Yes

Yes

 

【举例】

# 使用ACL 2001在接口Serial2/0上对出方向的报文进行过滤。

<Sysname> system-view

[Sysname] interface serial 2/0

[Sysname-Serial2/0] firewall packet-filter 2001 outbound

1.1.13  firewall packet-filter ipv6

【命令】

firewall packet-filter ipv6 { acl6-number | name acl6-name } { inbound | outbound }

undo firewall packet-filter ipv6 [ { acl6-number | name acl6-name } ] { inbound | outbound }

【视图】

接口视图

【缺省级别】

2:系统级

【参数】

acl6-number:基本或高级IPv6访问控制列表号,取值范围为2000~3999。

name acl6-name:指定基本或高级访问控制列表的名称。其中,acl6-name表示IPv6 ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,IPv6 ACL的名称不可以使用英文单词all。

inbound:过滤接口接收的数据包。

outbound:过滤接口转发的数据包。

【描述】

firewall packet-filter ipv6命令用来配置接口的IPv6报文过滤功能。undo firewall packet-filter ipv6命令用来取消接口的IPv6报文过滤功能。

缺省情况下,不对通过接口的IPv6报文进行过滤。

在接口的一个方向上,只能应用一个IPv6 ACL来进行报文过滤。

MSR系列路由器各款型对于本节所描述的命令及参数的支持情况有所不同,详细差异信息如下:

命令

MSR 900

MSR 20-1X

MSR 20

MSR 30

MSR 50

firewall packet-filter ipv6

No

No

Yes

Yes

Yes

 

【举例】

# 使用IPv6 ACL 2500在接口Ethernet1/1上对出方向的IPv6报文进行过滤。

<Sysname> system-view

[Sysname] interface ethernet 1/1

[Sysname-Ethernet1/1] firewall packet-filter ipv6 2500 outbound

1.1.14  reset firewall ethernet-frame-filter

【命令】

reset firewall ethernet-frame-filter { all | dlsw | interface interface-type interface-number }

【视图】

用户视图

【缺省级别】

1:监控级

【参数】

all:清除所有接口的以太网帧过滤统计信息。

dlsw:清除DLSw的以太网帧过滤统计信息。

interface interface-type interface-number:清除指定接口的以太网帧过滤统计信息。其中,interface-type interface-number表示接口类型和接口编号。

【描述】

reset firewall ethernet-frame-filter命令用来清除以太网帧过滤情况的统计信息。

【举例】

# 清除所有以太网帧过滤情况的统计信息。

<Sysname> reset firewall ethernet-frame-filter all

1.1.15  reset firewall ipv6 statistics

【命令】

reset firewall ipv6 statistics { all | interface interface-type interface-number }

【视图】

用户视图

【缺省级别】

1:监控级

【参数】

all:清除IPv6防火墙的所有接口的过滤报文统计信息。

interface interface-type interface-number:表示清除IPv6防火墙的指定接口的过滤报文统计信息。其中,interface-type interface-number表示接口类型和接口编号。

【描述】

reset firewall ipv6 statistics命令用来清除IPv6防火墙的过滤报文统计信息。

相关配置可参考命令display firewall ipv6 statistics

【举例】

# 清除接口Ethernet1/1上IPv6防火墙的过滤报文统计信息。

<Sysname> reset firewall ipv6 statistics interface ethernet 1/1

1.1.16  reset firewall-statistics

【命令】

reset firewall-statistics { all | interface interface-type interface-number }

【视图】

用户视图

【缺省级别】

1:监控级

【参数】

all:清除IPv4防火墙的所有接口的过滤报文统计信息。

interface interface-type interface-number:表示清除IPv4防火墙的指定接口的过滤报文统计信息。其中,interface-type interface-number表示接口类型和接口编号。

【描述】

reset firewall-statistics命令用来清除IPv4防火墙的过滤报文统计信息。

【举例】

# 清除接口Ethernet1/1上IPv4防火墙的过滤报文统计信息。

<Sysname> reset firewall-statistics interface ethernet 1/1

1.2  ASPF配置命令

1.2.1  aging-time

【命令】

aging-time { fin | syn | tcp | udp } seconds

undo aging-time { fin | syn | tcp | udp }

【视图】

ASPF策略视图

【缺省级别】

2:系统级

【参数】

fin:指定等待切断TCP会话的超时时间。防火墙检测到报文中的FIN标志后,等待指定的时间后将切断TCP会话。

syn:指定TCP会话建立持续的超时时间。防火墙检测到报文中的SYN标志后,在指定的时间内如TCP会话未达到建立状态将切断会话。

tcp:指定TCP会话的空闲超时时间。

udp:指定UDP会话的空闲超时时间。

seconds指定超时时间,取值范围为5~43200,单位为秒。

【描述】

aging-time命令用来配置FIN、SYN、TCP和UDP的超时时间。undo aging-time命令用来恢复缺省情况。

缺省情况下,FIN、SYN、TCP和UDP的超时时间分别为5秒、30秒、3600秒和30秒。

在超时时间以内,系统会保留所建立的会话。

相关配置可参考命令display aspf alldisplay aspf policydisplay aspf sessiondisplay aspf interface

【举例】

# 创建策略号为1 的ASPF策略,并进入该ASPF策略视图。

<Sysname> system-view

[Sysname] aspf-policy 1

# 配置TCP的SYN状态等待时间超时值为20秒。

[Sysname-aspf-policy-1] aging-time syn 20

# 配置TCP的FIN状态等待时间超时值为10秒。

[Sysname-aspf-policy-1] aging-time fin 10

# 配置TCP空闲时间超时值为3000秒。

[Sysname-aspf-policy-1] aging-time tcp 3000

# 配置UDP空闲超时值为110秒。

[Sysname-aspf-policy-1] aging-time udp 110

1.2.2  aspf-policy

【命令】

aspf-policy aspf-policy-number

undo aspf-policy aspf-policy-number

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

aspf-policy-number:ASPF策略号,取值范围为1~99。

【描述】

aspf-policy命令用来创建ASPF策略,并进入ASPF策略视图。undo aspf-policy命令用来删除ASPF策略。

对于一个已定义的ASPF策略,可通过策略号对该策略进行应用。

【举例】

# 创建ASPF策略1,并进入该ASPF策略视图。

<Sysname> system-view

[Sysname] aspf-policy 1

[Sysname-aspf-policy-1]

1.2.3  detect

【命令】

detect protocol [ java-blocking acl-number ] [ aging-time seconds ]

undo detect protocol

【视图】

ASPF策略视图

【缺省级别】

2:系统级

【参数】

protocol:ASPF支持的协议名称,其取值及含义如下:

l              ftp:表示FTP协议,属于应用层协议;

l              http:表示HTTP协议,属于应用层协议;

l              h323:表示H323协议,属于应用层协议;

l              smtp:表示SMTP协议,属于应用层协议;

l              rtsp:表示RTSP协议,属于应用层协议;

l              tcp:表示TCP协议,属于传输层协议;

l              udp:表示UDP协议,属于传输层协议。

java-blocking acl-number:仅对HTTP协议有效,表示阻断指定网段报文的Java Applets。其中,acl-number表示IPv4基本访问控制列表号,取值范围为20002999

aging-time seconds:表示应用层协议的空闲超时时间。其中,seconds表示协议空闲超时时间,取值范围为543200,单位为秒。

【描述】

detect命令用来为应用层协议和传输层协议配置ASPF检测。undo detect命令用来恢复缺省情况。

缺省情况下,应用层协议的超时时间为3600秒;TCP协议的超时时间为3600秒;UDP协议的超时时间为30秒。

需要注意的是:

l              当协议类型为HTTP时,允许Java阻断。

l              如果同时配置了应用层协议检测和通用TCP/UDP检测,应用层协议检测优先于通用TCP/UDP检测。

l              ASPF使用超时时间去管理协议的会话状态信息,以便决定何时终结一个会话状态信息的管理或删除一个不能正常建立的会话。设置超时时间是一个全局的配置,适用于所有的会话,可以保护系统资源不被恶意占用。

l              detect命令配置的协议空闲的超时时间,其优先级大于aging-time命令的配置。

相关配置可参考命令display aspf alldisplay aspf policydisplay aspf sessiondisplay aspf interface

【举例】

# 为HTTP协议指定ASPF策略1进行检测。同时,设置ACL 2000使ASPF策略能够过滤来自服务器10.1.1.1上的Java Applets。

<Sysname> system-view

[Sysname] acl number 2000

[Sysname-acl-basic-2000] rule permit source 10.1.1.1 0

[Sysname-acl-basic-2000] rule deny source any

[Sysname-acl-basic-2000] quit

[Sysname] aspf-policy 1

[Sysname-aspf-policy-1] detect http java-blocking 2000

1.2.4  display aspf all

【命令】

display aspf all [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display aspf all命令用来查看所有的ASPF策略和会话信息。

【举例】

# 查看所有的ASPF策略和会话信息。

<Sysname> display aspf all

[ASPF Policy Configuration]

  Policy Number 1:

    Log:                 disable

    SYN timeout:         30    s

    FIN timeout:         5     s

    TCP timeout:         3600  s

    UDP timeout:         30    s

    Detect Protocols:

      ftp  timeout 3600 s

      tcp  timeout 3600 s

 

[Interface Configuration]

   Interface                      InboundPolicy   OutboundPolicy

 ---------------------------------------------------------------

   Ethernet1/1                    none            1

[Established Sessions]

Session Initiator           Responder           Application    Status

--------------------------------------------------------------------------

73A4844 1.1.1.50:1025         2.2.2.1:21            ftp             FTP_CONXN_UP

表1-4 display aspf all命令显示信息描述表

字段

描述

[ASPF Policy Configuration]

ASPF策略的配置信息

Policy Number

ASPF策略号

SYN timeout

TCP连接的SYN状态超时值

FIN timeout

TCP会话的FIN状态超时值

TCP timeout

TCP会话的空闲时间超时值

UDP timeout

UDP会话的空闲时间超时值

Detect Protocols

检测协议

[Interface Configuration]

接口下应用ASPF策略的配置信息

Interface

应用ASPF策略的接口

InboundPolicy

入方向的ASPF策略

OutboundPolicy

出方向的ASPF策略

Session

会话ID

Initiator

发起方的IP地址及端口号

Responder

响应方的IP地址及端口号

Application

应用协议

Status

会话状态

 

1.2.5  display aspf interface

【命令】

display aspf interface [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display aspf interface命令用来查看接口上的ASPF策略信息。

【举例】

# 查看接口上的ASPF策略信息。

<Sysname> display aspf interface

[Interface Configuration]

   Interface                      InboundPolicy   OutboundPolicy

 ---------------------------------------------------------------

   Serial2/1                      1               none

表1-5 display aspf interface命令显示信息描述表

字段

描述

InboundPolicy

入方向的ASPF策略

OutboundPolicy

出方向的ASPF策略

 

1.2.6  display aspf policy

【命令】

display aspf policy aspf-policy-number [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

aspf-policy-number:ASPF策略号,取值范围为1~99。

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display aspf policy命令用来查看指定ASPF策略的信息。

【举例】

# 查看策略号为1的ASPF策略的信息。

<Sysname> display aspf policy 1

[ASPF Policy Configuration]

  Policy Number 1:

    Log:                 disable

    SYN timeout:         30    s

    FIN timeout:         5     s

    TCP timeout:         3600  s

    UDP timeout:         30    s

    Detect Protocols

      ftp  timeout 120 s

      tcp  timeout 3600 s

表1-6 display aspf policy命令显示信息描述表

字段

描述

[ASPF Policy Configuration]

ASPF策略的配置信息

Policy Number

ASPF策略号

SYN timeout

TCP连接的SYN状态超时值

FIN timeout

TCP会话的FIN状态超时值

TCP timeout

TCP会话的空闲时间超时值

UDP timeout

UDP会话的空闲时间超时值

Detect Protocols

检测协议

 

1.2.7  display aspf session

【命令】

display aspf session [ verbose ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

verbose:查看会话的详细信息。

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display aspf session命令用来查看ASPF的会话信息。

【举例】

# 查看ASPF的会话信息。

<Sysname> display aspf session

[Established Sessions]

Session Initiator           Responder        Application   Status

212BA84 169.254.1.121:1427  169.254.1.52:0   ftp-data      TCP_DOWN

7148124 100.1.1.1:1027      200.1.1.2:21     ftp           FTP_CONXN_UP

# 查看ASPF会话的详细信息。

<Sysname> display aspf session verbose

[Session 0x7148124]

   Initiator: 100.1.1.1:1027         Responder: 200.1.1.2:21

   Application protocol: ftp         Status: FTP_CONXN_UP

   Transport protocol: 6             Port: 21

   Child: 0x0                        Parent: 0x0

   Interface: Ethernet1/1            Direction: outbound

   Timeout 01:00:00                  Time left 01:00:00

   Initiator Bytes/Packets sent: 350/8

   Responder Bytes/Packets sent: 324/6

   Initiator tcp SeqNumber/AckNumber: 141385146/134665684

   Responder tcp SeqNumber/AckNumber: 134665683/141385146

表1-7 display aspf session命令显示信息描述表

字段

描述

Initiator

发起方的IP地址及端口号

Responder

响应方的IP地址及端口号

Application protocol

应用协议

Status

状态

Transport protocol

传输层的协议号

Port

应用层协议使用的端口号

Child

子会话

Parent

父会话

Interface: Ethernet1/1

Direction: outbound

ASPF策略应用在接口Etherne1/1的出方向

Timeout

为该协议设置的超时时间

Time left

超时剩余时间

Initiator Bytes/Packets sent

源发起方已发送字节/分组

Responder Bytes/Packets sent

响应方已发送字节/分组

Initiator tcp SeqNumber/AckNumber

源发起方TCP序列号/确认序列号

Responder tcp SeqNumber/AckNumber

响应方TCP序列号/确认序列号

 

1.2.8  display port-mapping

【命令】

display port-mapping [ application-name | port port-number ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

application-name:指定用于端口映射的应用的名称,其取值及含义如下:

l              ftp:表示FTP协议;

l              gtp-c:表示GTP-CGPRS Tunneling Protocol ControlGTP控制面)协议;

l              gtp-u:表示GTP-UGPRS Tunneling Protocol UserGTP用户面)协议;

l              gtp-v0:表示GTP-V0GPRS Tunneling Protocol V0)协议;

l              h323:表示H323协议;

l              http:表示HTTP协议;

l              rtsp:表示RTSP协议;

l              sccp:表示SCCP协议;

l              sip:表示SIP协议;

l              smtp:表示SMTP协议;

l              sqlnet:表示SQLNET协议。

port port-number:指定应用协议映射的端口。其中,port-number表示映射端口号,取值范围为065535

|:使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍,请参见“基础配置指导”中的“CLI”。

begin:从包含指定正则表达式的行开始显示。

exclude:只显示不包含指定正则表达式的行。

include:只显示包含指定正则表达式的行。

regular-expression:表示正则表达式,为1~256个字符的字符串,区分大小写。

【描述】

display port-mapping命令用来查看端口映射信息。

相关配置可参考命令port-mapping

【举例】

# 查看端口映射的所有信息。

<Sysname> display port-mapping

  SERVICE    PORT       ACL        TYPE

 -------------------------------------------------

  ftp          21                  system defined

  gtp-c      2123                  system defined

  gtp-u      2152                  system defined

  gtp-v0     3386                  system defined

  h323       1720                  system defined

  http         80                  system defined

  rtsp        554                  system defined

  sccp       2000                  system defined

  sip        5060                  system defined

  smtp         25                  system defined

  sqlnet     1521                  system defined

表1-8 display port-mapping命令显示信息描述表

字段

描述

SERVICE

进行端口映射的应用层协议

PORT

应用层协议映射的端口号

ACL

指定主机范围的ACL号

TYPE

端口映射类型,包括系统预定义和用户自定义两种类型

 

1.2.9  firewall aspf

【命令】

firewall aspf aspf-policy-number { inbound | outbound }

undo firewall aspf aspf-policy-number { inbound | outbound }

【视图】

接口视图

【缺省级别】

2:系统级

【参数】

aspf-policy-number:ASPF策略号,取值范围为1~99。

inbound:对接口入方向的报文应用ASPF策略。

outbound:对接口出方向的报文应用ASPF策略。

【描述】

firewall aspf命令用来在接口上应用ASPF策略。undo firewall aspf命令用来删除接口上的ASPF策略。

缺省情况下,接口上没有应用ASPF策略。

MSR系列路由器各款型对于本节所描述的命令及参数的支持情况有所不同,详细差异信息如下:

命令

MSR 900

MSR 20-1X

MSR 20

MSR 30

MSR 50

firewall aspf

No

No

Yes

Yes

Yes

 

【举例】

# 在接口Ethernet1/1的出方向上配置ASPF策略。

<Sysname> system-view

[Sysname] interface ethernet 1/1

[Sysname-Ethernet1/1] firewall aspf 1 outbound

1.2.10  log enable

【命令】

log enable

undo log enable

【视图】

ASPF策略视图

【缺省级别】

2:系统级

【参数】

【描述】

log enable命令用来使能ASPF会话日志功能。undo log enable命令用来关闭ASPF日志功能。

缺省情况下,ASPF会话日志功能处于关闭状态。

相关配置可参考命令display aspf alldisplay aspf policydisplay aspf sessiondisplay aspf interface

【举例】

# 使能ASPF会话日志功能。

<Sysname> system-view

[Sysname] aspf-policy 1

[Sysname-aspf-policy-1] log enable

1.2.11  port-mapping

【命令】

port-mapping application-name port port-number [ acl acl-number ]

undo port-mapping [ application-name port port-number [ acl acl-number ] ]

【视图】

系统视图

【缺省级别】

2:系统级

【参数】

application-name:端口映射的应用名称,其取值及含义如下:

l              ftp:表示FTP协议;

l              gtp-c:表示GTP-CGPRS Tunneling Protocol ControlGTP控制面)协议;

l              gtp-u:表示GTP-UGPRS Tunneling Protocol UserGTP用户面)协议;

l              gtp-v0:表示GTP-V0GPRS Tunneling Protocol V0)协议;

l              h323:表示H323协议;

l              http:表示HTTP协议;

l              rtsp:表示RTSP协议;

l              sccp:表示SCCP协议;

l              sip:表示SIP协议;

l              smtp:表示SMTP协议;

l              sqlnet:表示SQLNET协议。

port port-number:应用层协议的端口。其中port-number表示端口号,取值范围为065535

acl acl-number:用来指定主机范围的IPv4访问控制列表。其中,acl-number表示基本访问控制列表号,取值范围为20002999

【描述】

port-mapping命令用来配置端口到应用层协议的映射。undo port-mapping命令用来删除端口映射项。

缺省情况下,没有端口到应用层协议的映射关系。

相关配置可参考命令display port-mapping

【举例】

# 建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping ftp port 3456

1.2.12  reset aspf session

【命令】

reset aspf session

【视图】

用户视图

【缺省级别】

2:系统级

【参数】

【描述】

reset aspf session命令用来清除ASPF的会话。

【举例】

# 清除ASPF的会话。

<Sysname> reset aspf session

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!