国家 / 地区

03-访问控制命令参考

04-服务资源命令

本章节下载  (142.95 KB)

docurl=/cn/Service/Document_Software/Document_Center/IP_Security/FW_VPN/F1000-S-AI/Command/Command_Manual/H3C_SecPath_CR-6W107/03/201809/1112334_30005_0.htm

04-服务资源命令


1 服务资源

说明

·          同一个VD(Virtual Device,虚拟设备)上,可以配置不同类的对象和组对象,同一类型的对象和组对象也可以配置多个,但要求所有对象以及组对象不能重名。关于VD的描述请参见“系统管理与维护配置指导”中的“VD”。

·          当组对象和其它组对象绑定时,不能循环绑定,最多能够包含两层,例如,组对象object1和组对象object2绑定,object2和object3绑定,则object3只能是对象而不能是组对象。并且,object2不能再和object1绑定。

 

1.1  服务资源配置命令

1.1.1  description

【命令】

description description-string

undo description

【视图】

主机地址对象视图/范围地址对象视图/子网地址对象视图/MAC地址对象视图/服务对象视图/IP地址组对象视图/MAC地址组对象视图/服务组对象视图

【缺省级别】

2:系统级

【参数】

description-string:表示对象/组对象的描述,为1~31个字符的字符串,区分大小写。

【描述】

description命令用来给对象/组对象配置描述信息。undo description命令用来恢复缺省情况。

缺省情况下,没有为对象/组对象配置描述信息。

【举例】

# 在缺省VD上将主机地址对象objectaddr的描述信息配置为object。

<Sysname> system-view

[Sysname] object network host objectaddr

[Sysname-object-network-objectaddr] description object

# 在名称为virdev的VD上将主机地址对象objectaddr的描述信息配置为object。

<Sysname> system-view

[Sysname] switchto vd virdev

[Sysname-vsys-virdev] object network host objectaddr

[Sysname-vsys-virdev-object-network-objectaddr] description object

1.1.2  display object name

【命令】

display object name object-name [ vd vd-name ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

object-name:表示对象名称,为1~31个字符的字符串,不区分大小写。

vd vd-name:表示VD的名称,为1~20个字符的字符串,不区分大小写。不指定该参数时,显示缺省VD的对象信息。

【描述】

display object name命令用来查看指定对象的相关信息。

【举例】

# 查看缺省VD上主机地址对象hosttest的相关信息。

<Sysname> display object name hosttest

VD name: root

Name: hosttest                                Status: Out of Use

Host IP addresses: 1.1.1.1, 1.1.1.5

display object name命令显示信息中VD name表示VD的名称(当取值为root时,表示缺省VD)。其它字段的描述可参见命令display object macdisplay object networkdisplay object service

1.1.3  display object service

【命令】

display object service [ vd vd-name ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

vd vd-name:表示VD的名称,为1~20个字符的字符串,不区分大小写。不指定该参数时,显示缺省VD的对象信息。

【描述】

display object service命令表示查看所有用户手工创建的服务对象的相关信息。

【举例】

# 查看缺省VD上所有手工创建的服务对象的相关信息。

<Sysname> display object service

3 records in total for VD root.

 

Name: 2                                       Status: Out of Use

Description: forprotocol2

Protocol: Other     Protocol Number: 2

 

Name: icmp                                    Status: Out of Use

Protocol: ICMP      Type: 20                  Message Code: 30

 

Name: tcp                                     Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 100-200

表1-1 display object service命令显示信息描述表

字段

描述

3 records in total for VD root.

指定VD上用户手工创建的服务对象的个数,其中root表示缺省VD的名称

Name

服务对象的名称

Status

该对象是否被引用,取值可能为:

·          Out of use表示未被引用

·          In use表示被引用

Description

服务对象的描述信息,使用description命令给对象配置描述后才会显示该信息

Protocol

和服务对象绑定的协议类型,可能的取值为ICMP、UDP、TCP和Other。配置service命令后才显示该信息

Source Port

和服务对象绑定的源端口,只有当协议类型为TCP、UDP时,才显示该字段

Destination Port

和服务对象绑定的目的端口,只有当协议类型为TCP、UDP时,才显示该字段

Type

和服务对象绑定的ICMP协议的类型,只有当协议类型为ICMP时,才显示该字段

Code

和服务对象绑定的ICMP协议的消息码,只有当协议类型为ICMP时,才显示该字段

Protocol number

和服务对象绑定的其它协议的协议号,只有当协议类型为Other时,才显示该字段

 

1.1.4  display object service default

【命令】

display object service default

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

【描述】

display object service default命令用来查看缺省服务的相关信息。

缺省服务是设备出厂时定义的服务,这些服务不能被修改和删除,可以被所有VD使用。

设备支持98个缺省服务,由于数量太多,具体内容这里不再赘述。

【举例】

# 在缺省VD上查看缺省服务的相关信息。

<Sysname> display object service default

98 records in total.

 

Name: bgp                                     Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 179

 

Name: chargen                                 Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 19

 

Name: cmd                                     Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 514

 

Name: daytime                                 Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 13

 

Name: discard_tcp                             Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 13

 

Name: uucp                                    Status: Out of Use

Protocol: UDP       Source Port: Any          Destination Port: 540

 

Name: vdo-live                                Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 7000-7010

 

Name: wais                                    Status: Out of Use

Protocol: UDP       Source Port: Any          Destination Port: 210

 

Name: winframe                                Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 1494

 

Name: x-windows                               Status: Out of Use

Protocol: TCP       Source Port: Any          Destination Port: 6000-6063

。。。。。。

本命令各字段的描述请参见表1-1

1.1.5  display object-group

【命令】

display object-group { mac | name object-group-name | network | service } [ vd vd-name ]

【视图】

任意视图

【缺省级别】

1:监控级

【参数】

mac:显示所有MAC地址组对象的相关信息。

name object-group-name:显示指定组对象的相关信息。object-group-name表示已创建的组对象的名称,为1~31个字符的字符串,不区分大小写。

network:显示所有IP地址组对象的相关信息。

service:显示所有服务组对象的相关信息。

vd vd-name:表示VD的名称,为1~20个字符的字符串,不区分大小写。不指定该参数时,显示缺省VD的对象信息。

【描述】

display object-group命令用来查看组对象的相关信息。

【举例】

# 查看缺省VD上所有MAC地址组对象的相关信息。

<Sysname> display object-group mac

1 records in total for VD root.

 

Name: groupmac                             Status: Out of use

Description: objectgroup-mac-desc

Objects: objectmac1, objectmac2

# 查看缺省VD上组对象groupaddr的信息。

<Sysname> display object-group name groupaddr

Object type: Network object group

VD name: root

Name: groupaddr                            Status: Out of use

Description: objectgroup-network-desc

Objects: objectaddr1, objectaddr2

表1-2 display object-group命令显示信息描述表

字段

描述

1 records in total for VD root.

指定VD上MAC地址组对象的个数,其中root表示缺省VD的名称

Object type

组对象的类型,取值可能为:

·          Network object group:IP地址组对象

·          MAC object group:MAC地址组对象

·          Service object group:服务组对象

VD name

VD的名称, root表示缺省VD

Name

组对象的名称

Status

该组对象是否被引用,取值可能为:

·          Out of use表示未被引用

·          In use表示被引用

Description

组对象的描述信息,使用description命令给组对象配置描述后才会显示该信息

Objects

组对象中的成员,使用object macobject networkobject service命令将组对象和对象/其它组对象绑定后才会显示该信息

 

1.1.6  object service

【命令】

object service name

undo object service name

【视图】

VD的系统视图

【缺省级别】

2:系统级

【参数】

name:服务对象的名称,为1~31个字符的字符串,不区分大小写。

【描述】

object service命令用来创建服务对象并进入服务对象视图。undo object service命令用来删除指定的服务对象。

缺省情况下,设备定义的服务对象可通过display object service default命令查看,这些服务对象不能创建,不能删除。

如果服务对象已存在,则使用该命令直接进入服务对象视图。

相关配置可参见命令service

【举例】

# 在缺省VD上创建名称为objectsrv的服务对象。

<Sysname> system-view

[Sysname] object service objectsrv

# 在名称为virdev的VD上创建名称为objectsrv的服务对象。

<Sysname> system-view

[Sysname]switchto vd virdev

[Sysname-vsys-virdev] object service objectsrv

1.1.7  object-group service

【命令】

object-group service object-group-name

undo object-group service object-group-name

【视图】

VD的系统视图

【缺省级别】

2:系统级

【参数】

object-group-name:服务组对象的名称,为1~31个字符的字符串,不区分大小写。

【描述】

object-group service命令用来创建服务组对象并进入服务组对象视图。undo object-group service命令用来删除指定的服务组对象。

缺省情况下,设备上没有服务组对象。

如果服务组对象已存在,则使用该命令直接进入服务组对象视图。

【举例】

# 在缺省VD上创建名称为groupsrv的服务组对象。

<Sysname> system-view

[Sysname] object-group service groupsrv

# 在名称为virdev的VD上创建名称为groupsrv的服务组对象。

<Sysname> system-view

[Sysname] switchto vd virdev

[Sysname-vsys-virdev] object-group service groupsrv

1.1.8  service

【命令】

service { protocol | icmp icmp-type icmp-code | { tcp | udp } [ source-port source-port-start [ source-port-end ] ] [ destination-port destination-port-start [ destination-port-end ] ] }

undo service

【视图】

服务对象视图

【缺省级别】

2:系统级

【参数】

protocol:表示协议号,取值范围为0~255,不能为1、6和17。

icmp icmp-type icmp-code:表示ICMP协议,其中icmp-type表示ICMP协议的类型码,取值范围为0~255;icmp-code表示ICMP协议的消息码,取值范围为0~255。

tcp:表示TCP协议。

udp:表示UDP协议。

source-port source-port-start [ source-port-end ]:表示TCP/UDP协议源端口,不指定该参数时,表示所有端口。其中:

·              source-port-start表示TCP/UDP协议源端口的起始端口,取值范围为0~65535;

·              source-port-end表示TCP/UDP协议源端口的结束端口,取值范围为0~65535,source-port-end必须大于source-port-start

destination-port destination-port-start [ destination-port-end ]:表示TCP/UDP协议目的端口,不指定该参数时,表示所有端口。其中:

·              destination-port-start表示TCP/UDP协议目的端口的起始端口,取值范围为0~65535。

·              destination-port-end表示TCP/UDP协议目的端口的结束端口,取值范围为0~65535,destination-port-end必须大于destination-port-start

【描述】

service命令用来将服务对象和具体协议绑定。undo service命令用来恢复缺省情况。

缺省情况下,新创建的服务没有和具体协议绑定。

【举例】

# 在缺省VD创建服务对象objectsrv,该服务绑定TCP协议,对TCP连接使用的源端口不限定,目的端口限定为21。

<Sysname> system-view

[Sysname] object service objectsrv

[Sysname-obj-service-objectsrv] service tcp destination-port 21

# 在名称为virdev的VD上创建服务对象objectecho,该服务绑定ICMP协议,消息类型为8,消息码为0。

<Sysname> system-view

[Sysname] switchto vd virdev

[Sysname-vsys-virdev] object service objectecho

[Sysname-vsys-virdev-obj-service-objectecho] service icmp 8 0

1.1.9  service-object

【命令】

service-object object-name

undo service-object [ object-name ]

【视图】

服务组对象视图

【缺省级别】

2:系统级

【参数】

object-name:表示设备上已存在的服务对象或服务组名称,为1~31个字符的字符串,不区分大小写。不指定该参数时,表示所有成员。

【描述】

service-object命令用来将服务组对象和服务对象/其它服务组对象绑定。undo service-object命令用来删除绑定关系,不带参数时,表示恢复到缺省情况。

缺省情况下,服务组对象没有和服务对象/其它服务组对象绑定。

同一服务组对象可以和多个服务对象/服务组对象绑定,多次执行该命令即可。

【举例】

# 在缺省VD上将服务组对象groupsrv和服务对象objectsrv1、objectsrv2绑定。

<Sysname> system-view

[Sysname] object-group service groupsrv

[Sysname-obj-grp-service-groupsrv] service-object objectsrv1

[Sysname-obj-grp-service-groupsrv] service-object objectsrv2

# 在名称为virdev的VD上将服务组对象groupsrv和服务对象objectsrv1、objectsrv2绑定。

<Sysname> system-view

[Sysname] switchto vd virdev

[Sysname-vsys-virdev] object-group service groupsrv

[Sysname-vsys-virdev-obj-grp-service-groupsrv] service-object objectsrv1

[Sysname-vsys-virdev-obj-grp-service-groupsrv] service-object objectsrv2

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!