国家 / 地区

12-安全命令参考

17-APR命令

本章节下载  (337.31 KB)

docurl=/cn/Service/Document_Software/Document_Center/Routers/Catalog/MSR_Winet/H3C_MSR_810_WiNet/Command/Command_Manual/H3C_MSR_WiNet_CR(V7)-R0605-6W200/12/201911/1244971_30005_0.htm

17-APR命令


1 APR

说明

MSR810-W-WiNet/810-LM-WiNet/830-5BEI-WiNet/830-6EI-WiNet/830-6BHI-WiNet/830-10BHI-WiNet/830-10BEI-WiNet路由器不支持IPv6相关参数。

 

1.1  APR配置命令

1.1.1  app-group

app-group命令用来创建应用组,并进入应用组视图。如果指定的应用组已经存在,则直接进入应用组视图。

undo app-group命令用来删除指定的应用组。

【命令】

app-group group-name

undo app-group group-name

【缺省情况】

不存在应用组。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

group-name:应用组的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”或“other”。

【使用指导】

系统中最多可以定义1000个应用组。

【举例】

# 创建名称为aaa的应用组,并进入应用组视图。

<Sysname> system-view

[Sysname] app-group aaa

[Sysname-app-group-aaa]

【相关命令】

·     copy app-group

·     description

·     include application

1.1.2  application statistics enable

application statistics enable命令用来开启接口指定方向上的应用统计功能。

undo application statistics enable命令用来关闭接口指定方向上的应用统计功能。

【命令】

application statistics enable [ inbound | outbound ]

undo application statistics enable [ inbound | outbound ]

【缺省情况】

接口入方向和出方向上的应用统计功能处于关闭状态。

【视图】

三层接口视图

【缺省用户角色】

network-admin

【参数】

inbound:在接口的入方向上开启应用统计功能。

outbound:在接口的出方向上开启应用统计功能。

【使用指导】

如果不指定任何参数,则表示同时开启接口出方向和入方向上的应用统计功能。

在接口上开启应用统计功能之后,设备能够对接口上收到或者发送的报文的数目、速率按照应用协议分别进行统计,生成的统计信息可以通过display application statistics命令查看。

接口的应用统计功能会消耗大量系统内存。当系统出现内存告警时,请关闭接口的应用统计功能。

【举例】

# 在接口GigabitEthernet1/0/1上开启入方向应用统计功能。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] application statistics enable inbound

# 在接口GigabitEthernet1/0/2上开启出方向应用统计功能。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/2

[Sysname-GigabitEthernet1/0/2] application statistics enable outbound

# 在接口GigabitEthernet1/0/3上开启所有方向应用统计功能。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/3

[Sysname-GigabitEthernet1/0/3] application statistics enable

【相关命令】

·     display application statistics

1.1.3  apr set detectlen

apr set detectlen命令用来配置NBAR规则的最大检测字节数。

undo apr set detectlen命令用来恢复缺省情况。

【命令】

apr set detectlen bytes

undo apr set detectlen

【缺省情况】

不限制NBAR规则的最大检测字节数。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

bytes:表示NBAR规则的最大检测长度,取值范围为0~4294967295,单位为字节。

【使用指导】

增大检测报文载荷的最大字节数有利于提高应用的识别率。

多次执行本命令,最后一次执行的命令生效。

【举例】

# 为NBAR规则abcd配置最大检测字节数为100000。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] apr set detectlen 100000

【相关命令】

·     nbar application

1.1.4  apr signature auto-update

apr signature auto-update命令用来开启定期自动在线升级APR特征库功能,并进入自动升级配置视图。

undo apr signature auto-update命令用来关闭定期自动在线升级APR特征库功能。

【命令】

apr signature auto-update

undo apr signature auto-update

【缺省情况】

定期自动在线升级APR特征库功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

如果设备可以访问H3C官方网站上的特征库服务专区,可以采用定期自动在线升级方式来对设备上的APR特征库进行升级。

【举例】

# 开启定期自动在线升级APR特征库功能,并进入自动升级配置视图。

<Sysname> system-view

[Sysname] apr signature auto-update

[Sysname-apr-autoupdate]

【相关命令】

·     update schedule

·     override-current

1.1.5  apr signature auto-update-now

apr signature auto-update-now命令用来立即自动在线升级APR特征库。

【命令】

apr signature auto-update-now

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

执行此命令后,将立即自动在线升级设备上的APR特征库,且会备份当前的APR特征库文件。此命令的生效与否,与是否开启了定期自动在线升级APR特征库功能无关。

当管理员发现H3C官方网站上的特征库服务专区中的APR特征有更新时,可以选择立即自动在线升级方式来及时升级APR特征库版本。

【举例】

# 立即自动升级APR特征库。

<Sysname> system-view

[Sysname] apr signature auto-update-now

1.1.6  apr signature rollback

apr signature rollback命令用来回滚APR特征库版本。

【命令】

apr signature rollback { factory | last }

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

factory:表示把APR特征库回滚到出厂版本。

last:表示把APR特征库回滚到上一版本。

【使用指导】

设备使用当前APR特征库版本进行识别应用时,如果管理员发现设备识别应用的误报率较高或出现异常情况,则可以对当前APR特征库版本进行回滚。

APR特征库版本每次回滚前,设备都会备份当前版本。多次回滚上一版本将会在当前版本和上一版本之间反复切换。例如当前APR特征库版本是V2,上一版本是V1,第一次执行回滚到上一版本的操作后,特征库替换成V1版本,再执行回滚上一版本的操作则特征库重新变为V2版本。

升级APR特征库时,如果没有备份当前特征库文件,则回滚APR特征库到上一版本会失败。

【举例】

# 配置APR特征库回滚到上一版本。

<Sysname> system-view

[Sysname] apr signature rollback last

1.1.7  apr signature update

apr signature update命令用来手动离线升级APR特征库。

【命令】

apr signature update [ override-current ] file-path

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

override-current:表示覆盖当前版本的特征库文件。如果不指定本参数,则表示当前特征库在升级之后作为备份特征库保存在设备上。

file-path:指定特征库文件的路径,为1~256个字符的字符串。

【使用指导】

如果设备不能访问H3C官方网站上的特征库服务专区,管理员可以采用如下几种方式手动离线升级APR特征库版本。

·     本地升级:使用本地保存的特征库文件升级系统上的APR特征库版本。

·     FTP/TFTP升级:通过FTP或TFTP方式下载远程服务器上保存的特征库文件,并升级系统上的APR特征库版本。

特征库文件只能存储在当前主用设备上,否则设备升级特征库会失败。(集中式IRF设备)

参数file-path的取值与手动离线升级的操作方式有关。本地升级时参数file-path取值请参见表1-1;FTP/TFTP升级时参数file-path取值请参见表1-2

表1-1 本地升级时参数file-path取值说明表

升级场景

参数file-path取值

说明

特征库文件的存储位置与当前工作路径一致

filename

可以执行pwd命令查看当前工作路径

有关pwd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”

特征库文件的存储位置与当前工作路径不一致,且在相同存储介质上

path/ filename

-

特征库文件的存储位置与当前工作路径不在相同存储介质上

path/ filename

需要先执行cd命令将工作路径切换至特征库文件所在存储介质的根目录下,再指定特征库文件的相对路径

有关cd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”

 

表1-2 FTP/TFTP升级时参数file-path取值说明表

升级场景

参数file-path取值

说明

特征库文件存储在开启FTP服务的远程服务器上

ftp://username:password@server/filename

username为登录FTP服务器的用户名,password为登录FTP服务器的密码,server为FTP服务器的IP地址或主机名

当FTP用户名和密码中使用了“:”、“@”和“/”三种特殊字符时,需要将这三种特殊字符替换为其对应的转义字符。“:”、“@”和“/”三种特殊字符对应的转义字符分别为“%3A或%3a”、“%40”和“%2F或%2f”

特征库文件存储在开启TFTP服务的远程服务器上

tftp://server/filename

server为TFTP服务器的IP地址或主机名

 

说明

当采用FTP/TFTP方式升级特征库时,如果指定的是服务器的主机名,则需要确保设备能通过静态或动态域名解析方式获得FTP/TFTP服务器的IP地址,并与之路由可达。否则设备升级特征库会失败。有关域名解析功能的详细配置请参见“三层技术-IP业务配置指导”中的“域名解析”。

 

【举例】

# 配置手动离线升级APR特征库,且采用TFTP方式,APR特征库文件的远程路径为tftp://192.168.0.10/apr-1.0.2-en.dat。

<Sysname> system-view

[Sysname] apr signature update tftp://192.168.0.10/apr-1.0.2-en.dat

# 配置手动离线升级APR特征库,且采用FTP方式,APR特征库文件的远程路径为ftp://192.168.0.10/apr-1.0.2-en.dat,用户名为user:123,密码为user@abc/123。

<Sysname> system-view

[Sysname] apr signature update ftp://user%3A123:user%40abc%2F123@192.168.0.10/apr-1.0.2-en.dat

# 配置手动离线升级APR特征库,且采用本地方式,APR特征库文件的本地路径为cfa0:/apr-1.0.23-en.dat,且当前工作路径为cfa0:。

<Sysname> system

[Sysname] apr signature update apr-1.0.23-en.dat

# 配置手动离线升级APR特征库,且采用本地方式,APR特征库文件的本地路径为cfa0:/dpi/apr-1.0.23-en.dat,且当前工作路径为cfa0:。

<Sysname> system

[Sysname] apr signature update dpi/apr-1.0.23-en.dat

# 配置手动离线升级APR特征库,且采用本地方式,APR特征库文件的本地路径为cfb0:/dpi/apr-1.0.23-en.dat,当前工作路径为cfa0:。

<Sysname> cd cfb0:/

<Sysname> system

[Sysname] apr signature update dpi/apr-1.0.23-en.dat

1.1.8  copy app-group

copy app-group命令用来在应用组中复制另一个应用组中的所有应用。

【命令】

copy app-group group-name

【视图】

应用组视图

【缺省用户角色】

network-admin

【参数】

group-name:要复制应用组的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。

【使用指导】

可以通过多次执行本命令复制多个应用组里的应用。

【举例】

# 在应用组abc中复制应用组bcd中的所有应用。

<Sysname> system-view

[Sysname] app-group abc

[Sysname-app-group-abc] copy app-group bcd

【相关命令】

·     app-group

·     include application

1.1.9  description (application group view)

description命令用来为自定义的应用组设置描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

自定义应用组的描述信息为“User-defined application group”。

【视图】

应用组视图

【缺省用户角色】

network-admin

【参数】

text:应用组的描述信息,为1~127个字符的字符串,当有空格时,必须用双引号把所有字符串引起来,区分大小写。

【使用指导】

通过合理编写描述信息,便于管理员快速理解和识别该应用组的作用,有利于后期维护。

【举例】

# 配置名称为aaa的应用组描述信息为“User defined aaa group”。

<Sysname> system-view

[Sysname] app-group aaa

[Sysname-app-group-aaa] description "User defined aaa group"

【相关命令】

·     app-group

1.1.10  description (NBAR view)

description命令用来配置自定义NBAR规则的描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

自定义NBAR规则的描述信息为“User defined application”。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

text:NBAR规则的描述信息,为1~127个字符的字符串,区分大小写。

【使用指导】

通过合理编写描述信息,便于管理员快速理解和识别本条NBAR规则的作用,有利于后期维护。

【举例】

# 配置自定义NBAR规则abcd的描述信息为“A user-defined application based on HTTP”。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] description "A user-defined application based on HTTP"

【相关命令】

·     nbar application

1.1.11  destination

destination命令用来配置自定义NBAR规则匹配的目的IP地址网段。

undo destination命令用来恢复缺省情况。

【命令】

destination { ip ipv4-address [ mask-length ] | ipv6 ipv6-address [ prefix-length ] }

undo destination

【缺省情况】

NBAR规则匹配所有目的IP地址网段。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

ip ipv4-address:指定匹配的目的IPv4地址或网段,为点分十进制格式。

mask-length:子网掩码长度,取值范围为0~32。

ipv6 ipv6-address:指定匹配的目的IPv6地址或网段。

prefix-length:IPv6地址的前缀长度,取值范围为0~128。

【使用指导】

在同一个NBAR规则视图下多次执行本命令,最后一次执行的命令生效。

暂不支持IPv6地址,规则中配置IPv6类型的目的IP地址网段后,IPv6报文无法匹配此条件。

【举例】

# 配置NBAR规则abcd匹配的目的IP地址网段为192.168.1.0/24。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] destination ip 192.168.1.0 24

【相关命令】

·     nbar application

1.1.12  direction

direction命令用来配置NBAR规则的匹配方向。

undo direction命令用来恢复缺省情况。

【命令】

direction { to-client | to-server  }

undo direction

【缺省情况】

NBAR规则的匹配方向是双向的。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

to-client:表示对Server访问Client的流量进行基于NBAR规则的应用识别。

to-server:表示对Client访问Server的流量进行基于NBAR规则的应用识别。

【使用指导】

在同一个NBAR规则视图下多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置NBAR规则abcd的匹配方向为Client访问Server。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] direction to-server

【相关命令】

·     nbar application

1.1.13  disable

disable命令用来禁用该自定义NBAR规则。

undo disable命令用来恢复缺省情况。

【命令】

disable

undo disable

【缺省情况】

自定义的NBAR规则处于生效状态。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【使用指导】

当在某些网络环境中,如果一些NBAR规则暂时不会被用到,而且又不想将其从设备上删除时,可以执行本命令来禁用这些规则。

【举例】

# 禁用自定义NBAR规则abcd。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] disable

【相关命令】

·     nbar application

1.1.14  display app-group

display app-group命令用来显示应用组信息。

【命令】

display app-group [ name group-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

name group-name:显示指定名称的应用组信息。group-name表示应用组的名称,不区分大小写,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。

【使用指导】

如果不指定任何参数,则表示显示所有的应用组信息。

【举例】

# 显示系统所有应用组的信息。

<Sysname> display app-group

User-defined count:3

Group Name                         Type           Group ID

 6767                               User-defined   0x00800002

 er                                 User-defined   0x00800001

 hbc                                User-defined   0x00800003

# 显示自定义应用组名称为er的应用组的信息。

<Sysname> display app-group name er

 Group English name: er

 Group Chinese name: er

 Group ID:           0x00800001

 Type:               User-defined

 

Application count:  2

 Include application list:

 Application name                   Type           App ID

 114Travel                          Pre-defined    0x0000542c

 banc                                User-defined   0x00800001

 

pre-defined app-group count:0

 Include pre-defined app-group list:

 App-group name                     Type           App-group ID

表1-3 display app-group命令显示信息描述表

字段

描述

User-defined count

自定义应用组的个数

Group Name

自定义应用组的名称

Group English name

应用组的英文名称

Group Chinese name

应用组的中文名称

Group ID

应用组的ID号

Type

类型

Application count

应用组下包含的应用的个数

Include application list

包含的应用列表

Application name

应用组中添加应用名

App ID

应用组中添加应用的ID号

pre-defined app-group count

应用组中包含的预定义应用组的个数(暂不支持)

Include pre-defined app-group list

包含的预定义应用组列表(暂不支持)

App-group name

应用组中添加的预定义应用组名(暂不支持)

App-group ID

应用组中添加的预定义应用组的ID号(暂不支持)

 

【相关命令】

·     app-group

·     include

1.1.15  display application

display application命令用来显示应用信息。

【命令】

display application [ name application-name | pre-defined | user-defined ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

name application-name:显示指定名称的应用信息。application-name表示应用的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。

pre-defined:显示系统预定义的应用列表。

user-defined:显示用户自定义的应用列表。

【使用指导】

若不指定任何参数,则表示显示所有的应用信息。

【举例】

# 显示系统预定义的应用列表。

<Sysname> display application pre-defined

 Pre-defined count: 817

 

 Application name         Type         App ID      Tunnel  Encrypted  DetectLen

 12530WAP_Application_We  Pre-defined  0x000003ac  No      No         0

 b_HTTP

 12580_Application_HTTP   Pre-defined  0x00000312  No      No         0

 126_Web_Email_Download_  Pre-defined  0x000002b7  No      No         0

 HTTP

 126_Web_Email_Login_HTT  Pre-defined  0x000002b3  No      No         0

 P

 126_Web_Email_Read_Emai  Pre-defined  0x000002b4  No      No         0

 l_HTTP

 126_Web_Email_Receive_E  Pre-defined  0x000002b6  No      No         0

 mail_HTTP

 126_Web_Email_Send_Emai  Pre-defined  0x000002b5  No      No         0

 l_HTTP

 126_Web_Email_Upload_HT  Pre-defined  0x000002b8  No      No         0

 TP

 139_mobile_weibo_commen  Pre-defined  0x000001da  No      No         0

 t_HTTP

 139_mobile_weibo_login_  Pre-defined  0x000001d9  No      No         0

 HTTP

 139_mobile_weibo_login_  Pre-defined  0x00000444  No      No         0

---- More ----

# 显示用户自定义的应用列表。

<Sysname> display application user-defined

 User-defined count: 4

 

 Application name         Type         App ID      Tunnel  Encrypted  DetectLen

 def                      User-defined  0x00800002  No      No         0

 dfer                     User-defined  0x00800003  No      No         0

 efer                     User-defined  0x00800004  No      No         0

 fdfad                    User-defined  0x00800001  No      No         0

# 显示所有应用列表。

<Sysname> display application

 Total count:        821

 Pre-defined count:  817

 User-defined count: 4

 

 Application name         Type         App ID      Tunnel  Encrypted  DetectLen

 12530WAP_Application_We  Pre-defined  0x000003ac  No      No         0

 b_HTTP

 12580_Application_HTTP   Pre-defined  0x00000312  No      No         0

 126_Web_Email_Download_  Pre-defined  0x000002b7  No      No         0

 HTTP

 126_Web_Email_Login_HTT  Pre-defined  0x000002b3  No      No         0

 P

 126_Web_Email_Read_Emai  Pre-defined  0x000002b4  No      No         0

 l_HTTP

 126_Web_Email_Receive_E  Pre-defined  0x000002b6  No      No         0

 mail_HTTP

 126_Web_Email_Send_Emai  Pre-defined  0x000002b5  No      No         0

 l_HTTP

 126_Web_Email_Upload_HT  Pre-defined  0x000002b8  No      No         0

 TP

 139_mobile_weibo_commen  Pre-defined  0x000001da  No      No         0

 t_HTTP

 139_mobile_weibo_login_  Pre-defined  0x000001d9  No      No         0

 HTTP

 139_mobile_weibo_login_  Pre-defined  0x00000444  No      No         0

 HTTPS

 139Mail_Login_HTTP       Pre-defined  0x000001cb  No      No         0

 139Mail_Login_HTTPS      Pre-defined  0x0000038c  No      No         0

 139Mail_Login_TCP        Pre-defined  0x0000044b  No      No         0

 163TV_HTTP               Pre-defined  0x000004c3  No      No         0

 17173_Application_HTTP   Pre-defined  0x00000350  No      No         0

 178Game_Application_HTT  Pre-defined  0x00000222  No      No         0

 P

 17K_fiction_Application  Pre-defined  0x00000330  No      No         0

 _HTTP

 19lou_Login_http_stream  Pre-defined  0x000002c0  No      No         0

 

 19lou_Publish_Or_Reply_  Pre-defined  0x000002c2  No      No         0

 http_stream1

 19lou_Publish_Or_Reply_  Pre-defined  0x000002c3  No      No         0

 http_stream2

 19lou_View_http_stream   Pre-defined  0x000002c1  No      No         0

 1ting_Music_Application  Pre-defined  0x000001bc  No      No         0

 _Mobile_HTTP

 21CN_Email_Read_HTTP     Pre-defined  0x000003fb  No      No         0

 21CN_Email_Send_HTTP     Pre-defined  0x000003fc  No      No         0

---- More ----

# 显示名称为telnet的应用信息。

<Sysname> display application name telnet

 Application English Name: telnet

 Application Chinese Name: telnet

 Application ID:   0x0000000e

 Tunnel:           No

 Encrypted:        No

表1-4 display application命令显示信息描述表

字段

描述

Total count

应用总数

Pre-defined count

预定义应用总数

User-defined count

自定义应用总数

Application Name

应用名

Type

应用的类型,取值包括:

·     Pre-defined:系统预定义

·     User-defined:用户自定义

App ID/Application ID

应用协议编号

Tunnel

应用是否为隧道类型,例如L2TP为一个隧道类型的应用

Encrypted

应用是否为加密类型,例如HTTPS为一个加密类型的应用

DetectLen

检测长度,分为预定义的检测长度和自定义的检测长度

Application English Name

应用的英文名称

Application Chinese Name

应用的中文名称

 

【相关命令】

·     app-group

·     include

1.1.16  display application statistics

display application statistics命令用来显示接口上的应用统计信息。

【命令】

集中式设备-独立运行模式:

display application statistics [ direction { inbound | outbound } | interface interface-type interface-number | name application-name ] *

集中式设备-IRF模式:

display application statistics [ direction { inbound | outbound } | interface interface-type interface-number [ slot slot-number ] | name application-name ] *

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

direction:显示指定方向的应用统计信息。

inbound:显示接口入方向的应用统计信息。

outbound:显示接口出方向的应用统计信息。

interface interface-type interface-number:显示指定接口的应用统计信息。interface-type interface-number表示要显示统计信息的接口类型和接口编号。

slot slot-number:显示指定成员设备上全局接口的应用统计信息。slot-number表示设备在IRF中的成员编号。该参数仅在指定显示全局接口(例如VLAN接口、Tunnel接口)时可见。(集中式设备-IRF模式)

name application-name:显示指定名称的应用统计信息。application-name表示应用的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。

【使用指导】

如果不指定任何参数,则表示显示所有接口的应用统计信息。

只有在接口应用统计功能开启的情况下,接口才能产生相应的应用统计信息。因此,使用本命令查看接口统计信息之前,请确保接口的应用统计功能处于开启状态。

可以按应用名称、接口出方向、接口入方向、接口名称分别显示相应的应用统计信息,也可以通过指定多个参数,显示同时符合多个参数的应用统计信息。

【举例】

# 显示接口上的所有应用统计信息。

<Sysname> display application statistics

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

app2            IN   2195               18560000           300        654222

                OUT  21986666666        655555555123123101 55551      5454125111

aPP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551       5454125111

 

Interface : GigabitEthernet1/0/2

Application   In/Out Packets          Bytes               PPS         BPS

app4            IN   1900231111111    252334402111        2342222222  3411222222

                OUT  170034           270011351           3211        451134

app2            IN   2195             18560000            300         654222

                OUT  21986666666      65555555512         55551       45412

App123456981200 IN   2195             17560000            300         45161

123456789012300 OUT  21986666666      5555555551231231    55551       54541251

11111111111100

01234567890100

0123456

# 显示接口Vlan-interface1上所有应用的统计信息。

<Sysname> display application statistics interface vlan-interface 1

Interface : Vlan-interface1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

app2            IN   2195               18560000           300        654222

                OUT  21986666666        655555555123123101 55551      5454125111

APP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551      5454125111

# 显示接口GigabitEthernet1/0/1上所有的入方向应用统计信息。

<Sysname> display application statistics interface gigabitethernet 1/0/1 direction inbound

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

app2            IN   2195               18560000           300        654222

APP3            IN   2195               17560000           300        45161

# 显示接口GigabitEthernet1/0/1上所有的出方向应用统计信息。

<Sysname> display application statistics interface gigabitethernet 1/0/1 direction outbound

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      OUT  190023111111111111 252334402111111111 2342222222 3411222222

app2            OUT  2195               18560000           300        654222

APP3            OUT  2195               17560000           300        45161

# 显示应用名称为app1的统计信息。

<Sysname> display application statistics name app1

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

app1            IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

 

Interface : GigabitEthernet1/0/2

Application   In/Out Packets            Bytes              PPS        BPS

app1            IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

 

Interface : GigabitEthernet1/0/3

Application   In/Out Packets            Bytes              PPS        BPS

app1            IN   190023111111111111 252334402111111111 2342222222 3411222222

表1-5 display application statistics命令显示信息描述表

字段

描述

Interface

接口的名称

Application

应用的名称

In/Out

入方向/出方向

Packets

接口上接收或发送的报文个数

Bytes

接口上接收或发送的字节数

PPS

每秒报文数

BPS

每秒比特数

 

【相关命令】

·     app-group

·     application statistics enable

1.1.17  display application statistics top

display application statistics top命令用来按指定类型的统计排名显示接口应用统计信息。

【命令】

集中式设备-独立运行模式:

display application statistics top number { bps | bytes | packets | pps } interface interface-type interface-number

集中式设备-IRF模式:

display application statistics top number { bps | bytes | packets | pps } interface interface-type interface-number [ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

number:显示排名前number的应用统计信息,取值范围为0~4294967295。

bytes:显示接口字节数为前number的应用统计信息。

bps:显示接口比特速率统计为前number的应用统计信息。

packets:显示接口包数为前number的应用统计信息。

pps:显示接口包速率统计为前number的应用统计信息。

interface interface-type interface-number:显示指定接口的应用统计信息。interface-type interface-number指定要显示统计信息的接口类型和接口编号。

slot slot-number:显示指定成员设备上全局接口的应用统计信息。slot-number表示设备在IRF中的成员编号。该参数仅在指定显示全局接口(例如VLAN接口、Tunnel接口)时可见。(集中式设备-IRF模式)

【使用指导】

只有在接口应用统计功能开启的情况下,接口才能产生相应的应用统计信息。因此,使用本命令查看接口统计信息之前,请确保接口的应用统计功能处于开启状态。

系统以接口上某一个应用的出方向和入方向的统计值之和为依据对应用进行排名。统计值相同的应用,再按照应用名称的字母顺序排列。

【举例】

# 显示接口GigabitEthernet1/0/1上包数为前3的应用统计信息。

<Sysname> display application statistics top 3 packets interface gigabitethernet 1/0/1

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

app2            IN   2196               18560000           300        654222

                OUT  21986666666        655555555123123101 55551      5454125111

aPP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551      5454125111

# 显示接口GigabitEthernet1/0/1字节数为前3的应用统计信息。

<Sysname> display application statistics top 3 bytes interface gigabitethernet 1/0/1

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

app2            IN   2196               18560000           300        654222

                OUT  21986666666        155555555123123101 55551      5454125111

aPP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551      5454125111

# 显示接口GigabitEthernet1/0/1包速率为前3的应用统计信息。

<Sysname> display application statistics top 3 pps interface gigabitethernet 1/0/1

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 3411222222

                OUT  170034             270011351          3211       451134

app2            IN   2196               18560000           305        654222

                OUT  21986666666        655555555123123101 55551      5454125111

aPP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551      5454125111

# 显示接口GigabitEthernet1/0/1比特速率为前3的应用统计信息。

<Sysname> display application statistics top 3 bps interface gigabitethernet 1/0/1

Interface : GigabitEthernet1/0/1

Application   In/Out Packets            Bytes              PPS        BPS

appaaaaasg      IN   190023111111111111 252334402111111111 2342222222 9411222222

                OUT  170034             270011351          3211       451134

app2            IN   2196               18560000           300        654222

                OUT  21986666666        155555555123123101 55551      5454125111

aPP3            IN   2195               17560000           300        45161

                OUT  21986666666        5555555551231231   55551      5454125111

表1-6 display application statistics top命令显示信息描述表

字段

描述

Interface

接口的名称

Application

应用的名称

In/Out

入方向/出方向

Packets

接口上接收或发送的报文个数

Bytes

接口上接收或发送的字节数

PPS

每秒报文数

BPS

每秒比特数

 

【相关命令】

·     app-group

·     application statistics enable

1.1.18  display apr signature information

display apr signature information命令用来显示当前APR特征库的版本信息。

【命令】

display apr signature information

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示当前特征库版本信息

<Sysname> display apr signature information

APR signature library information:

Type      SigVersion         ReleaseTime                    Size

Current    1.0.49             Tue Sep 13 06:54:01 2016   659744

Last        1.0.52             Wed Nov 02 07:14:03 2016   702640

Factory    1.0.0              Fri Dec 31 16:00:00  1999   77040

表1-7 display apr signature information命令显示信息描述表

字段

描述

Type

APR特征库版本,包括如下取值:

·     Current:当前版本

·     Last:上一版本

·     Factory:出厂版本

SigVersion

APR特征库版本号

ReleaseTime

APR特征库发布时间

Size

APR特征库大小,单位是Bytes

 

1.1.19  display port-mapping pre-defined

display port-mapping pre-defined命令用来显示预定义的端口映射信息。

【命令】

display port-mapping pre-defined

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示预定义的端口映射信息。

<Sysname> display port-mapping pre-defined

 Application                      Protocol Port

 tacacs-ds                        TCP      65

                                  UDP      65

 net-bios-dgm                     TCP      137, 138, 139

                                  UDP      137, 138, 139

 ftp                              TCP      21

 tftp                             UDP      69

表1-8 display port-mapping pre-defined命令显示信息描述表

字段

描述

Application

进行端口映射的应用层协议

Protocol

传输层协议类型

Port

应用层协议的端口号

 

【相关命令】

·     display port-mapping

·     port-mapping

1.1.20  display port-mapping user-defined

display port-mapping user-defined命令用来显示自定义的端口映射信息。

【命令】

display port-mapping user-defined [ application application-name | port port-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

application application-name:显示指定端口映射的应用协议。application-name表示应用协议名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。该应用层协议名称必须标准且能够被设备识别。

port port-number:显示指定应用层协议的端口。port-number表示端口号,取值范围为0~65535。

【使用指导】

若不指定任何参数,则表示显示所有的用户自定义端口映射信息。

【举例】

# 显示所有自定义的端口映射信息。

<Sysname> display port-mapping user-defined

 Application       Port  Protocol    Match Type  Match Condition

-------------------------------------------------------------

 FTP                21     TCP          ---          ---

 FTP                21     UDP          IPv4 host   10.10.10.1(vpn1)

 FTP                2121   UDP          IPv4 host   [11.10.10.1, 11.10.10.10](vpn2)

 FTP                21     UDP          IPv4 subnet 10.10.10.1/24

 FTP                21     SCTP         IPv6 host   2000:fdb8::1:00ab:853c:39ab

 HTTP               899    TCP          IPV4 ACL    2002

 HTTP               999    SCTP         IPv6 ACL    2002

表1-9 display port-mapping user-defined命令显示信息描述表

字段

描述

Application

进行端口映射的应用层协议

Port

应用层协议映射的端口号

Protocol

传输层协议类型

Match Type

匹配方式,包括以下类型:

·     ---:表示通配,即未指定匹配类型和匹配条件,所有报文都可以进行匹配

·     IPv4 host:表示基于报文的目的IPv4地址进行匹配

·     IPv6 host:表示基于报文的目的IPv6地址进行匹配

·     IPv4 subnet:表示基于报文的目的IPv4网段进行匹配

·     IPv6 subnet:表示基于报文的目的IPv6网段进行匹配

·     IPv4 ACL:表示基于IPv4 ACL进行匹配

·     IPv6 ACL:表示基于IPv6 ACL进行匹配

Match Condition

匹配条件,包括以下几种情况:

·     对于IPv4 host/IPv6 host匹配方式,显示为主机报文的目的IP地址

·     对于IPv4 subnet/IPv6 subnet匹配方式,显示为主机报文的目的网段地址

·     对于IPv4 ACL/IPv6 ACL匹配方式,显示为ACL编号

对于host和subnet类型的端口映射配置,如果指定了主机所属的VPN,则还会显示其所属的MPLS L3VPN的VPN实例名称

 

1.1.21  include application

include application命令用来在应用组中添加应用。

undo include application命令用来在应用组中删除应用。

【命令】

include application application-name

undo include application application-name

【缺省情况】

应用组中不包含应用。

【视图】

应用组视图

【缺省用户角色】

network-admin

【参数】

application-name:向应用组中添加的应用的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的invalid或other。

【使用指导】

可以通过多次执行本命令为一个应用组中添加多个预定义应用和自定义应用,每个组里最多可以包含1000个自定义应用,预定义应用个数不限制。

向应用组中添加应用时,如果对应的应用不存在就会创建这个应用,但该应用的报文是否能被识别,取决于系统中是否定义了相应的识别规则,比如端口映射配置。

【举例】

# 在应用组abc中增加应用HTTP和FTP。

<Sysname> system-view

[Sysname] app-group abc

[Sysname-app-group-abc] include application http

[Sysname-app-group-abc] include application ftp

【相关命令】

·     app-group

·     copy app-group

1.1.22  nbar application

nbar application命令用来创建自定义NBAR规则,并进入NBAR规则视图。如果指定的NBAR规则已经存在,则直接进入NBAR规则视图。

undo nbar application命令用来删除指定的自定义NBAR规则。

【命令】

nbar application application-name protocol { http | tcp | udp }

undo nbar application application-name

【缺省情况】

不存在自定义NBAR规则。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

application-name:指定自定义NBAR规则的名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”、“other”和系统预定义应用的名称。

http:表示该规则用于识别基于HTTP协议的报文。

tcp:表示该规则用于识别基于TCP协议的报文。

udp:表示该规则用于识别基于UDP协议的报文。

【使用指导】

如果APR特征库中预定义的应用规则不能满足用户需求,可以使用本命令自定义NBAR规则,以及配置该应用规则的属性和特征。但不能对预定义的NBAR规则进行删除和修改。

一条自定义NBAR规则下可配置的匹配项包括如下内容:

·     匹配的目的IP地址网段

·     匹配的源IP地址网段

·     匹配的方向

·     匹配的端口号

·     匹配的特征

在一条自定义NBAR规则中匹配的特征可配置多条,但是除了匹配特征以外的其他四个匹配项分别只能配置一个。

一条自定义NBAR规则中可以同时配置多个匹配项,且只有所配置的匹配项都被匹配成功后,报文与该NBAR规则才能匹配成功。但是多个特征之间的匹配原则是或的关系。

【举例】

# 创建名称为abcd的自定义NBAR规则,并指定该规则用于识别基于HTTP协议的报文。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd]

1.1.23  override-current

override-current命令用来配置定期自动在线升级APR特征库时覆盖当前的特征文件。

undo override-current命令用来恢复缺省情况。

【命令】

override-current

undo override-current

【缺省情况】

定期自动在线升级APR特征库时不会覆盖当前的特征库文件,而是同时备份当前的特征库文件。

【视图】

自动升级配置视图

【缺省用户角色】

network-admin

【使用指导】

可以通过开启此功能解决升级APR特征库时设备内存不足的问题。在设备剩余内存充裕的情况下,不建议配置该功能,因为APR特征库升级时,如果没有备份当前特征库文件,则不能回滚到上一版本。

【举例】

# 配置定期自动在线升级APR特征库时覆盖当前的特征文件。

<Sysname> system-view

[Sysname] apr signature auto-update

[Sysname-apr-autoupdate] override-current

【相关命令】

·     apr signature auto-update

1.1.24  port-mapping

port-mapping命令用来配置通用端口映射。

undo port-mapping命令用来删除指定的通用端口映射。

【命令】

port-mapping application application-name port port-number [ protocol protocol-name ]

undo port-mapping application application-name port port-number [ protocol protocol-name ]

【缺省情况】

各应用层协议与其对应的知名端口号映射。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

application application-name:指定端口映射的应用层协议。application-name表示应用协议名称。为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。该应用层协议名称必须标准且能够被设备识别。

port port-number:指定与应用层协议映射的端口。port-number表示端口号,取值范围为0~65535。

protocol protocol-name:指定应用层协议使用的传输层协议名称,其取值及含义如下:

·     dccp:表示DCCP(Datagram Congestion Control Protocol,数据报拥塞控制协议)协议。

·     sctp:表示SCTP(Stream Control Transmission Protocol,流控制传输协议)协议。

·     tcp:表示TCP协议。

·     udp:表示UDP协议。

·     udp-lite:表示UDP-Lite协议。

【使用指导】

若不指定protocol参数,则表示所有传输层协议的指定报文均可被识别为指定应用层协议的报文。

如果报文的目的端口号与某个通用端口映射匹配,则该报文将被识别为相应的应用层协议报文。

对于端口号、传输层协议参数均相同但是应用层协议名称不相同的两个配置,新的配置会覆盖原有的配置。

指定传输层协议名称的映射优先级高于不指定传输层协议名称的映射。

【举例】

# 建立端口3456到FTP协议的通用端口映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456

【相关命令】

·     display port-mapping user-defined

1.1.25  port-mapping acl

port-mapping acl命令用来配置基于ACL的主机端口映射。

undo port-mapping acl命令用来删除指定的主机端口映射。

【命令】

port-mapping application application-name port port-number [ protocol protocol-name ] acl [ ipv6 ] acl-number

undo port-mapping application application-name port port-number [ protocol protocol-name ] acl [ ipv6 ] acl-number

【缺省情况】

各应用层协议与其对应的知名端口号映射。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

application application-name:指定端口映射的应用层协议。application-name表示应用层协议名称。为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。该应用层协议名称必须标准且能够被设备识别。

port port-number:指定与应用层协议映射的端口。port-number表示端口号,取值范围为0~65535。

protocol protocol-name:指定应用层协议使用的传输层协议名称,其取值及含义如下:

·     dccp:表示DCCP(Datagram Congestion Control Protocol,数据报拥塞控制协议)协议。

·     sctp:表示SCTP(Stream Control Transmission Protocol,流控制传输协议)协议。

·     tcp:表示TCP协议。

·     udp:表示UDP协议。

·     udp-lite:表示UDP-Lite协议。

acl [ ipv6 ] acl-number:ACL编号,取值范围为2000~2999。如果指定ipv6,则表示IPv6 ACL,否则表示IPv4 ACL。

【使用指导】

若不指定protocol参数,则表示所有传输层协议的指定报文均可被识别为指定应用层协议的报文。

对于匹配指定ACL的报文(其目的IP地址与ACL中某规则指定的源IP地址参数相匹配),如果报文的目的端口号与某个映射关系匹配,则该报文将被识别为对应的应用层协议报文。

对于端口号、传输层协议、ACL参数均相同但是应用层协议名称不相同的两个配置,新的配置会覆盖原有的配置。

指定传输层协议名称的映射优先级高于不指定传输层协议名称的映射。

【举例】

# 为匹配ACL 2000的报文,建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456 acl 2000

【相关命令】

·     display port-mapping user-defined

1.1.26  port-mapping host

port-mapping host命令用来设置基于IP地址的主机端口映射。

undo port-mapping host命令用来删除指定IP地址的主机端口映射。

【命令】

port-mapping application application-name port port-number [ protocol protocol-name ] host { ip | ipv6 } start-ip-address [ end-ip-address ] [ vpn-instance vpn-instance-name ]

undo port-mapping application application-name port port-number [ protocol protocol-name ] host { ip | ipv6 } start-ip-address [ end-ip-address ] [ vpn-instance vpn-instance-name ]

【缺省情况】

各应用层协议与其对应的知名端口号映射。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

application application-name:指定端口映射的应用层协议。application-name表示应用层协议名称,为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。该应用层协议名称必须标准且能够被设备识别。

port port-number:指定与应用层协议映射的端口。port-number表示端口号,取值范围为0~65535。

protocol protocol-name:指定应用层协议使用的传输层协议名称,其取值及含义如下:

·     dccp:表示DCCP(Datagram Congestion Control Protocol,数据报拥塞控制协议)协议。

·     sctp:表示SCTP(Stream Control Transmission Protocol,流控制传输协议)协议。

·     tcp:表示TCP协议。

·     udp:表示UDP协议。

·     udp-lite:表示UDP-Lite协议。

ip:指定基于IPv4地址的主机端口映射。

ipv6:指定基于IPv6地址的主机端口映射。

start-ip-address [ end-ip-address ]:表示IPv4地址范围或IPv6地址范围。start-ip-address表示起始IP地址,end-ip-address表示终止IP地址。如果仅配置start-ip-address,则表示单个主机;如果同时配置start-ip-addressend-ip-address,则表示位于start-ip-addressend-ip-address范围内的所有主机,其中的end-ip-address必须大于等于start-ip-address

vpn-instance vpn-instance-name:表示报文所属的VPN。vpn-instance-name为MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果不指定该参数,则表示报文属于公网。

【使用指导】

若不指定protocol参数,则表示所有传输层协议的指定报文均可被识别为指定应用层协议的报文。

对于目的地址为指定地址或指定范围的地址的报文,如果报文的目的端口号与某个映射关系匹配,则该报文将被识别为对应的应用层协议报文。

对于应用协议、端口号、传输层协议参数均相同的配置,要求各配置中指定的IP地址或者IP地址范围不能重叠。

对于端口号、传输层协议、IP地址或地址范围参数均相同但是应用层协议名称不相同的两个配置,新的配置会覆盖原有的配置。

指定传输层协议名称的映射优先级高于不指定传输层协议名称的映射。

【举例】

# 为目的IP地址范围为1.1.1.1~1.1.1.10的IPv4报文,建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456 host ip 1.1.1.1 1.1.1.10

# 为目的IP地址为1::1的IPv6报文,建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456 host ipv6 1::1

【相关命令】

·     display port-mapping user-defined

1.1.27  port-mapping subnet

port-mapping subnet命令用来配置基于网段的主机端口映射。

undo port-mapping subnet命令用来删除指定网段的主机端口映射。

【命令】

port-mapping application application-name port port-number [ protocol protocol-name ] subnet { ip ipv4-address { mask-length | mask } | ipv6 ipv6-address prefix-length } [ vpn-instance vpn-instance-name ]

undo port-mapping application application-name port port-number [ protocol protocol-name ] subnet { ip ipv4-address { mask-length | mask } | ipv6 ipv6-address prefix-length } [ vpn-instance vpn-instance-name ]

【缺省情况】

各应用层协议与其对应的知名端口号映射。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

application application-name:指定端口映射的应用层协议。application-name表示应用层协议名称。为1~63个字符的字符串,不区分大小写,不允许为系统保留的“invalid”和“other”。该应用层协议名称必须标准且能够被设备识别。

port port-number:指定与应用层协议映射的端口。port-number表示端口号,取值范围为0~65535。

protocol protocol-name:指定应用层协议使用的传输层协议名称,其取值及含义如下:

·     dccp:表示DCCP(Datagram Congestion Control Protocol,数据报拥塞控制协议)。

·     sctp:表示SCTP(Stream Control Transmission Protocol,流控制传输协议)。

·     tcp:表示TCP协议。

·     udp:表示UDP协议。

·     udp-lite:表示UDP-Lite协议。

ip:指定基于IPv4网段的主机端口映射。

ipv4-address { mask-length | mask }:指定IPv4网段。其中,ipv4-address表示IPv4地址;mask-length表示子网掩码长度,取值范围为1~32;mask表示子网掩码,为点分十进制格式。

ipv6:指定基于IPv6网段的主机端口映射。

ipv6-address prefix-length:指定IPv6网段。其中,ipv6-address表示IPv6地址;prefix-length表示IPv6前缀长度,取值范围为1~128。

vpn-instance vpn-instance-name:表示主机所属的VPN。vpn-instance-name为MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。如果不指定该参数,则表示主机属于公网。

【使用指导】

若不指定protocol参数,则表示所有传输层协议的指定端口的报文均被识别为指定应用层协议的报文。

对于目的地址为指定网段的报文,如果报文的目的端口号与某个映射关系匹配,则该报文将被识别为对应的应用层协议报文。

PBAR以最精确的网络范围对报文进行匹配,即如果配置了多条网段映射关系,且各映射关系中指定的网段范围互相包含,则使用网络范围最小的映射配置进行匹配。

对于端口号、传输层协议、IP网段参数均相同但是应用层协议名称不相同的两个配置,新的配置会覆盖原有的配置。

指定传输层协议名称的映射优先级高于不指定传输层协议名称的映射。

【举例】

# 为目的网段地址为1.1.1.0/24的IPv4主机报文,建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456 subnet ip 1.1.1.0 24

# 为目的网段地址为1:: /120的IPv6主机报文,建立端口3456到FTP协议的映射。

<Sysname> system-view

[Sysname] port-mapping application ftp port 3456 subnet ipv6 1:: 120

【相关命令】

·     display port-mapping user-defined

1.1.28  reset application statistics

reset application statistics命令用来清除指定接口或所有接口的应用统计信息。

【命令】

reset application statistics [ interface interface-type interface-number ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

interface interface-type interface-number:清除指定接口上的应用统计信息。interface-type interface-number表示接口类型和接口编号。如果不指定此参数,则表示清除所有接口上的应用统计信息。

【举例】

# 清除接口GigabitEthernet1/0/1上的应和统计信息。

<Sysname> reset application statistics interface gigabitethernet 1/0/1

# 清除所有统计信息。

<Sysname> reset application statistics

【相关命令】

·     application statistics enable

·     display application statistics

1.1.29  service-port

service-port命令用来配置自定义NBAR规则匹配的端口号。

undo service-port命令用来恢复缺省情况。

【命令】

service-port { port-num | range start-port end-port }

undo service-port

【缺省情况】

NBAR规则匹配所有端口号。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

port-num:指定规则匹配的端口号,取值范围为0~65535。

range:指定规则匹配的端口号范围。

start-port:表示起始端口号,取值范围为0~65535。

end-port:表示终止端口号,取值范围为0~65535。

【使用指导】

本命令配置的端口号用来匹配报文的源端口和目的端口。首先匹配报文的目的端口,当目的端口匹配失败后,再匹配源端口,只要其中一类端口与配置的端口号匹配成功就算此报文与此条件匹配成功。

在同一个NBAR规则视图下多次执行本命令,最后一次执行的命令生效。

【举例】

# 配置NBAR规则abcd的端口号范围为2001~2004。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] service-port range 2001 2004

【相关命令】

·     direction

1.1.30  signature

signature命令用来配置自定义NBAR规则的特征。

undo signature命令用来在取消自定义NBAR规则的特征。

【命令】

signature [ signature-id ] [ field field-name ] [ offset offset-value ] { hex hex-vector | regex regex-pattern | string string }

undo signature signature-id

【缺省情况】

NBAR规则中不存在特征。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

signature-id:指定NBAR规则特征的索引号。取值范围为1~65535。若未指定本参数,系统将按照步长从5开始,自动分配一个大于上次自动分配ID的最小编号,步长为5,每次分配ID时都要将此ID记录到曾经分配过的ID中。譬如现有规则的最大编号为28,那么第一次自动分配的新编号将是5,而当下一次在此自动分配时,新编号将是10,以此类推。

field field-name:表示在指定的协议域中去匹配特征,field-name表示协议域名称,且这些协议域是系统预定义的,不可自定义。只有基于HTTP协议的NBAR规则中的特征才能指定协议域,不指定协议域表示在整个HTTP报文中匹配特征。

offset offset-value:表示在数据起始位置的偏移指定字节后的内容中去匹配特征,offset-value表示字节偏移量,取值范围为0~65535,单位为字节。如果未指定本参数,将从数据起始位置后的所有内容中去匹配特征。如果指定了协议域,则偏移值从协议域的起始位置计算。

hex hex-vector:指定16进制向量特征。取值范围为6~254个字符的字符串,输入参数必须在两个竖杠(|)之间。

regex regex-pattern:指定正则表达式特征,为3~512个字符的字符串,支持所有可输入字符,区分大小写。

string string:指定字符串特征,为3~512个字符的字符串,支持所有可输入字符,区分大小写。

【使用指导】

对于一个自定义应用,允许配置多个特征,特征可以是字符串、16进制向量或者正则表达式,不同特征之间是逻辑或的关系。

【举例】

# 为NBAR规则abcd配置字符串特征为abcdefg。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] signature 1 string abcdefg

# 为NBAR规则ddd配置16进制向量特征为123456。

<Sysname> system-view

[Sysname] nbar application ddd protocol http

[Sysname-nbar-application-ddd] signature 2 hex |123456|

【相关命令】

·     nbar application

1.1.31  source

source命令用来配置自定义NBAR规则匹配的源IP地址网段。

undo source命令用来恢复缺省情况。

【命令】

source { ip ipv4-address [ mask-length ] | ipv6 ipv6-address [ prefix-length ] }

undo source

【缺省情况】

不存在源IP地址网段限制。

【视图】

NBAR规则视图

【缺省用户角色】

network-admin

【参数】

ip ipv4-address:指定匹配的源IPv4地址或网段,为点分十进制格式。

mask-length:子网掩码长度,取值范围为0~32。

ipv6 ipv6-address:指定匹配的源IPv6地址或网段。

prefix-length:IPv6地址的前缀长度,取值范围为0~128。

【使用指导】

在同一个NBAR规则视图下多次执行本命令,最后一次执行的命令生效。

暂不支持IPv6地址,规则中配置IPv6类型的源IP地址网段后,IPv6报文无法匹配此条件。

【举例】

# 配置应用abcd的源网段。

<Sysname> system-view

[Sysname] nbar application abcd protocol http

[Sysname-nbar-application-abcd] source ip 192.168.2.0 24

【相关命令】

·     nbar application

1.1.32  update schedule

update schedule命令用来配置定期自动升级APR特征库的时间。

undo update schedule命令用来恢复缺省情况。

【命令】

update schedule { daily | weekly { fri | mon | sat | sun | thu | tue | wed } } start-time time tingle minutes

undo update schedule

【缺省情况】

设备会在每天02:01:00至04:01:00之间自动升级APR特征库。

【视图】

自动升级配置视图

【缺省用户角色】

network-admin

【参数】

daily:表示自动升级周期为每天。

weekly:表示以一周为周期,在指定一天进行自动升级。

fri:表示星期五。

mon:表示星期一。

sat:表示星期六。

sun:表示星期日。

thu:表示星期四。

tue:表示星期二。

wed:表示星期三。

start-time time:指定自动升级开始时间,time的格式为hh:mm:ss,取值范围为00:00~23:59:59。

tingle minutes:指定抖动时间,即实际自动升级开始时间的偏差范围,取值范围为0~120,单位为分钟。在start-time指定时间的前后各偏移抖动时间的一半作为自动升级的时间范围,例如,指定自动升级的开始时间为01:00:00,抖动时间为60分钟,则自动升级的时间范围为00:30:00至01:30:00。

【举例】

# 配置定期自动升级APR特征库的时间为每周一的23:10:00,抖动时间为10分钟。

<Sysname> system-view

[Sysname] apr signature auto-update

[Sysname-apr-autoupdate] update schedule weekly mon start-time 23:10:00 tingle 10

【相关命令】

·     apr signature auto-update

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!