- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
15-APR配置
本章节下载： 15-APR配置 (149.79 KB)
APR（Application Recognition）即应用层协议识别。一些基于应用的业务（例如ASPF等）在进行报文处理时需要知道报文所属的应用层协议，APR可以为这样的业务提供应用识别服务，并能够对接口上接收或者发送的某个应用层协议的报文进行数目和速率统计。APR支持以下应用识别方式：PBAR（Port Based Application Recognition，基于端口的应用层协议识别）。
PBAR根据端口与应用的映射关系识别出报文所属的应用层协议，并支持以下类型的映射关系：
· 预定义的端口与应用的映射关系：由系统预先定义。
· 自定义的端口与应用的映射关系：由管理员进行创建。
根据与应用层协议进行映射的对象范围的不同，PBAR提供以下映射机制来维护和使用自定义的端口与应用映射关系：
· 通用端口映射：对于所有报文，建立自定义端口号和应用层协议建立映射关系。例如：将2121端口映射为FTP协议，这样所有目的端口是2121的报文将被识别为FTP报文。
· 主机端口映射：对去往某些特定范围内主机的报文建立自定义端口号和应用层协议的映射。例如：将目的地址为10.110.0.0/16网段的、使用2121端口的报文映射为FTP报文。主机范围可以通过配置ACL或者指定主机地址、网段来确定。
主机端口映射还可以细分为如下类型：
¡ 基于ACL的主机端口映射：对于匹配指定ACL的报文，建立端口号与应用层协议的映射关系；
¡ 基于网段的主机端口映射：对于目的地址为指定网段的报文，建立端口号与应用层协议的映射关系；
¡ 基于IP地址的主机端口映射：对于目的地址为指定IP地址的报文，建立端口号与应用层协议的映射关系。
· 以上端口映射配置对于同一个报文的生效优先级从高到低依次为：基于IP地址、基于网段、基于ACL、通用。而对于其中的每一类，指定传输层协议名称的配置优先级高于不指定传输层协议名称的配置。
可以将具有相似特征的应用添加到一个应用组中。一个应用组，就是若干个应用的集合。如果报文被识别为属于某个应用，而该应用又属于某个应用组，则报文相当于被识别为属于某个应用组。基于应用的业务（例如ASPF等）可以对属于同一个应用组的报文做统一处理。
一个自定义应用组中可以包含多个预定义应用和自定义应用。
表1-1 APR配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
配置PBAR |
可选 |
|
|
配置应用组 |
可选 |
|
|
配置接口的应用统计功能 |
可选 |
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
配置通用端口映射 |
port-mapping application application-name port port-number [ protocol protocol-name ] |
至少选其一 缺省情况下，各应用层协议与其对应的知名端口号映射 配置映射关系时，如果指定的应用不存在就会创建这个应用 |
|
配置基于ACL的主机端口映射 |
port-mapping application application-name port port-number [ protocol protocol-name ] acl [ ipv6 ] acl-number |
|
|
配置基于网段的主机端口映射 |
port-mapping application application-name port port-number [ protocol protocol-name ] subnet { ip ipv4-address { mask-length | mask } | ipv6 ipv6-address prefix-length } [ vpn-instance vpn-instance-name ] |
|
|
配置基于IP地址的主机端口映射 |
port-mapping application application-name port port-number [ protocol protocol-name ] host { ip | ipv6 } start-ip-address [ end-ip-address ] [ vpn-instance vpn- instance-name ] |
表1-3 配置APR应用组
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建应用组，并进入应用组视图 |
app-group group-name |
缺省情况下，不存在应用组 |
|
（可选）为自定义的应用组设置描述信息 |
description text |
缺省情况下，自定义应用组的描述信息为“User-defined application group” |
|
在应用组中添加应用 |
include application application-name |
缺省情况下，应用组中不包含应用 |
|
在应用组中复制另一个应用组中的所有应用 |
copy app-group group-name |
可以通过多次执行本命令复制多个应用组里的应用 |
在接口上开启应用统计功能之后，设备能够对接口上收到或者发送的报文的数目、速率按照应用层协议分别进行统计，生成的统计信息可以通过display application statistics命令查看。
接口的应用统计功能会消耗大量系统内存。当系统出现内存告警时，请关闭接口的应用统计功能。
表1-4 配置接口的应用统计功能
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入三层接口视图 |
interface interface-type interface-number |
- |
|
开启接口的应用统计功能 |
application statistics enable [ inbound | outbound ] |
缺省情况下，接口的应用统计功能处于关闭状态 可以同时开启接口两个方向上的应用统计功能 |
在完成上述配置后，在任意视图下执行display命令可以显示配置后APR的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除APR的统计信息。
表1-5 APR显示和维护
|
操作 |
命令 |
|
显示应用组信息 |
display app-group [ name group-name ] |
|
显示应用信息 |
display application [ name application-name | pre-defined | user-defined ] |
|
显示接口上的应用统计信息 |
display application statistics [ direction { inbound | outbound } | interface interface-type interface-number | name application-name ] * |
|
按指定类型的统计排名显示接口应用统计信息 |
display application statistics top number { bps | bytes | packets | pps } interface interface-type interface-number |
|
显示预定义的端口映射信息 |
display port-mapping pre-defined |
|
显示自定义的端口映射信息 |
display port-mapping user-defined [ application application-name | port port-number ] |
|
清除指定接口或所有接口的应用统计信息 |
reset application statistics [ interface interface-type interface-number ] |
主机通过Router与外网相连，通过配置Router实现丢弃主机向外部网络发送的目的端口为8080的HTTP连接报文。
图1-1 PBAR基本组网配置组网图
# 创建应用组group1，并进入应用组视图。
<Router> system-view
[Router] app-group group1
# 添加HTTP应用。
[Router-app-group-group1] include application http
[Router-app-group-group1] quit
# 配置HTTP应用层协议与TCP协议、端口8080之间的映射。
[Router] port-mapping application http port 8080 protocol tcp
# 定义类classifier_1，匹配应用组group1。
[Router] traffic classifier classifier_1
[Router-classifier-classifier_1] if-match app-group group1
[Router-classifier-classifier_1] quit
# 定义流行为bdeny，动作为流量过滤（deny），对数据包进行丢弃。
[Router] traffic behavior bdeny
[Router-behavior-bdeny] filter deny
[Router-behavior-bdeny] quit
# 定义策略1，为类classifier_1指定流行为bdeny。
[Router] qos policy 1
[Router-qospolicy-1] classifier classifier_1 behavior bdeny
[Router-qospolicy-1] quit
# 在GigabitEthernet0/1入方向上应用QoS策略。
[Router] interface gigabitethernet 0/1
[Router-GigabitEthernet0/1] qos apply policy 1 inbound
[Router-GigabitEthernet0/1] quit
以上配置完成后，主机将不能与外部网络建立目的端口为8080的HTTP连接。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
