国家 / 地区

09-安全命令参考

09-对象组命令

本章节下载  (183.52 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Switches/00-Public/Command/Command_Manual/H3C_S125X-AF_S125-X_S98_CR(R27xx)-6W102/09/202001/1258452_30005_0.htm

09-对象组命令


1 对象组

1.1  对象组配置命令

1.1.1  description

description命令用来配置对象组的描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

对象组未配置任何描述信息。

【视图】

对象组视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

text:表示对象组的描述信息,为1~127个字符的字符串,区分大小写。

【举例】

# 配置对象组的描述信息为“This is an IPv4 object-group”。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] description This is an IPv4 object-group

1.1.2  display object-group

display object-group命令用来显示对象组的内容。

【命令】

display object-group [ { { ip | ipv6 } address | port } [ default ] [ name object-group-name ] | name object-group-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

mdc-admin

mdc-operator

【参数】

ip address:指定对象组类型为IPv4地址对象组。

ipv6 address:指定对象组类型为IPv6地址对象组。

port:指定对象组类型为端口对象组。

default:指定默认对象组。

name:指定对象组名称。

object-group-name:对象组的名称,为1~31个字符的字符串,不区分大小写。

【举例】

# 显示所有对象组。

<Sysname> display object-group

IP address object group obj1: 0 object(in use)

 

IP address object group obj2: 4 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network group-object obj1

 

IPv6 address object-group obj3: 0 object(in use)

 

IPv6 address object-group obj4: 4 objects(out of use)

0 network host address 1::1:1

10 network host name host

20 network subnet 1::1:0 112

30 network group-object obj3

 

Port object-group obj7: 0 object(in use)

 

Port object-group obj8: 3 objects(out of use)

0 port lt 20

10 port range 20 30

20 port group-object obj7

# 显示名称为obj2的对象组。

<Sysname> display object-group name obj2

IP address object-group obj2: 4 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network group-object obj1

# 显示所有IPv4地址对象组。

<Sysname> display object-group ip address

IP address object-group obj1: 0 object(in use)

 

IP address object-group obj2: 4 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network group-object obj1

# 显示名称为obj4的IPv6地址对象组。

<Sysname> display object-group ipv6 address name obj4

IPv6 address object-group obj4: 4 objects(out of use)

0 network host address 1::1:1

10 network host name host

20 network subnet 1::1:0 112

30 network group-object obj3

表1-1 display object-group命令显示信息描述表

字段

描述

in use

表明此对象组被引用,包括被ACL引用或被对象组嵌套引用

out of use

表明此对象组没有被引用

 

1.1.3  network (IPv4 address object group view)

network命令用来创建一个IPv4地址对象。

undo network命令用来删除指定的IPv4地址对象。

【命令】

[ object-id ] network { host { address ip-address | name host-name [ vpn-instance vpn-instance-name ] } | subnet ip-address { mask-length | mask } | group-object object-group-name }

undo network { host { address ip-address | name host-name [ vpn-instance vpn-instance-name ] } | subnet ip-address { mask-length | mask } | group-object object-group-name }

undo object-id

【缺省情况】

不存在IPv4地址对象。

【视图】

IPv4地址对象组视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

object-id:指定对象ID,取值范围为0~4294967294。若未指定本参数,系统将按照步长10从0开始,自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22,那么自动分配的新ID将是30。

host:指定主机IPv4地址或主机名称。

address ip-address:指定主机IPv4地址。

name host-name:指定主机名称。host-name表示主机名称,为1~60字符,不区分大小写。

vpn-instance vpn-instance-name:指定主机所属的VPN。vpn-instance-name表示VPN实例名称,为1~31个字符的字符串,区分大小写。

subnet ip-address { mask-length | mask }:指定子网IPv4地址。mask-length表示子网掩码长度,即掩码中连续“1”的个数,取值范围为0~32。mask表示接口IP地址相应的子网掩码,为点分十进制格式。

group-object object-group-name:指定引用IPv4地址对象组。object-group-name表示IPv4地址对象组名称,为1~31字符,不区分大小写。

【使用指导】

创建对象时指定ID,如果指定ID的对象不存在,则创建一条新的对象;如果指定ID的对象已存在,则对原对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同,否则该命令执行失败,并提示出错。

在配置subnet参数时,如果指定mask-length为32或者mask为255.255.255.255,则该配置被视为主机地址对象配置。

在配置group-object参数时,需要注意的是:

·            如果指定名称的对象组不存在,则系统会创建此名称的IP地址对象组,并且对象组类型必须为IPv4地址对象组。

·            引用的IPv4地址对象组不能形成循环,譬如IP地址对象组a引用IPv4地址对象组b,则IP地址对象组b不能再引用IP地址对象组a。

·            引用的IPv4地址对象组最大嵌套层次为1层,譬如IP地址对象组1引用IP地址对象组2,则IP地址对象组2不能再引用其他IPv4地址对象组,IP地址对象组1也不能再被其他IP地址对象组引用。

【举例】

# 配置地址为192.168.0.1的IPv4主机地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network host address 192.168.0.1

# 配置名称为pc3的IPv4主机地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network host name pc3

# 配置VPN实例名称为vpn1,主机名称为pc1的IPv4地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network host name pc1 vpn-instance vpn1

# 配置地址为192.167.0.0,掩码长度为24的IPv4子网地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network subnet 192.167.0.0 24

# 配置地址为192.166.0.0,掩码为255.255.0.0的IPv4子网地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network subnet 192.166.0.0 255.255.0.0

# 配置引用ipgroup2对象组的地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network group-object ipgroup2

1.1.4  network (IPv6 address object group view)

network命令用来创建一个IPv6地址对象。

undo network命令用来删除指定的IPv6地址对象。

【命令】

[ object-id ] network { host { address ipv6-address | name host-name } | subnet ipv6-address prefix-length | group-object object-group-name }

undo network { host { address ipv6-address | name host-name } | subnet ipv6-address prefix-length | group-object object-group-name }

undo object-id

【缺省情况】

不存在IPv6地址对象。

【视图】

IPv6地址对象组视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

object-id:指定对象ID,取值范围为0~4294967294。若未指定本参数,系统将按照步长10从0开始,自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22,那么自动分配的新ID将是30。

host:指定主机IPv6地址或主机名称。

address ipv6-address:指定主机IPv6地址。

name host-name:指定主机名称。host-name表示主机名称,为1~60字符,不区分大小写。

subnet ipv6-address prefix-length:指定子网IPv6地址。prefix-length:指定IPv6地址的前缀长度,取值范围为1~128。

group-object object-group-name:指定引用IPv6地址对象组。object-group-name表示IPv6地址对象组名称,为1~31字符,不区分大小写。

【使用指导】

创建对象时指定ID,如果指定ID的对象不存在,则创建一条新的对象;如果指定ID的对象已存在,则对原对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同,否则该命令执行失败,并提示出错。

在配置subnet参数时,如果指定掩码长度为128,则该配置被视为主机地址对象配置。

在配置group-object参数时,需要注意的是:

·            如果指定名称的对象组不存在,则系统会创建此名称的IPv6地址对象组。

·            如果指定名称的对象组存在,则对象组类型必须为IPv6地址对象组。

·            引用的IPv6地址对象组不能形成循环,譬如IPv6地址对象组a引用IPv6地址对象组b,则IPv6地址对象组b不能再引用IPv6地址对象组a。

·            引用的IPv6地址对象组最大嵌套层次为1层,譬如IPv6地址对象组1引用IPv6地址对象组2,则IPv6地址对象组2不能再引用其他IPv6地址对象组,IPv6地址对象组1也不能再被其他IPv6地址对象组引用。

【举例】

# 配置地址为1::1的IPv6主机地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network host address 1::1

# 配置名称为pc3的IPv6主机地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network host name pc3

# 配置地址为1:1:1::1,前缀长度为24的IPv6子网地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ip v6group] network subnet 1:1:1::1 24

# 配置引用ipv6group2对象组的地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network group-object ipv6group2

1.1.5  object-group

object-group命令用来创建一个对象组,并进入对象组视图。如果指定的对象组已经存在且类型一致,则直接进入对象组视图。

undo object-group命令用来删除指定的对象组。

【命令】

object-group { { ip | ipv6 } address | port } object-group-name

undo object-group { { ip | ipv6 } address | port } object-group-name

【缺省情况】

每类对象组都有一个名称为any的默认对象组。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

ip address:指定对象组类型为IP地址对象组。

ipv6 address:指定对象组类型为IPv6地址对象组。

port:指定对象组类型为端口对象组。

object-group-name:对象组的名称,为1~31个字符的字符串,不区分大小写。

【使用指导】

在配置object-group命令时,需要注意的是:

·            如果指定名称的对象组不存在,则创建对象组并进入其视图。

·            如果指定名称的对象组存在但类型不一致,命令执行失败,并提示出错。

在配置undo object-group命令时,需要注意的是:

·            如果指定名称的对象组不存在,系统不提示。

·            如果指定名称的对象组存在但类型不一致,则命令执行失败,并提示出错。

·            要删除的对象组被ACL或者其他对象组引用,命令执行失败,并提示出错。

·            系统默认对象组不能被删除。

【举例】

# 配置名称为ipgroup的IP地址对象组。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

# 配置名称为ipv6group的IPv6地址对象组。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

# 配置名称为portgroup的端口对象组。

<Sysname> system-view

[Sysname] object-group port portgroup

1.1.6  port (port object group view)

port命令用来创建一个端口对象。

undo port命令用来删除指定的端口对象。

【命令】

[ object-id ] port { { eq | lt | gt } port | range port1 port2 | group-object object-group-name }

undo port { { eq | lt | gt } port | range port1 port2 | group-object object-group-name }

undo object-id

【缺省情况】

不存在端口对象。

【视图】

端口对象组视图

【缺省用户角色】

network-admin

mdc-admin

【参数】

object-id:指定对象ID,取值范围为0~4294967294。若未指定本参数,系统将按照步长10从0开始,自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22,那么自动分配的新ID将是30。

eq:等于指定的端口号。

lt:小于指定的端口号。

gt:大于指定的端口号。

port:指定端口号,取值范围为0~65535。

range port1 port2:指定端口在两个端口号范围内。port1表示起始端口号,取值范围为0~65535。port2表示结束端口号,取值范围为0~65535。

group-object object-group-name:指定引用端口对象组。object-group-name表示端口对象组的名称,为1~31字符,不区分大小写。

【使用指导】

使用group-object关键字,如果指定名称的对象组不存在,则系统会创建此名称的端口对象组;如果指定名称的对象组存在,则对象组类型必须为端口对象组。

引用的端口对象组不能形成循环,譬如端口对象组a引用端口对象组b,则端口对象组b不能再引用端口对象组a。

引用的端口对象组最大嵌套层次为1层,譬如端口对象组1引用端口对象组2,则端口对象组2不能再引用其他端口对象组,端口对象组1也不能再被其他端口对象组引用。

创建对象时指定ID,如果指定ID的对象不存在,则创建一条新的对象;如果指定ID的对象已存在,则对旧对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同,否则该命令执行失败,并提示出错。

在配置lt参数时,需要注意的是:

·            不能指定port为0。

·            如果指定port为1,则该配置被视为eq 0。

·            如果指定port为2~65535,则实际生效的端口号为[ 0, port-1 ]

在配置gt参数时,需要注意的是:

·            不能指定port为65535。

·            如果指定port为65534,该配置被视为eq 65535。

·            如果指定port为0~65533,则实际生效的端口号为[ port+1, 65535 ]

在配置range参数时,需要注意的是:

·            如果指定的port1port2相同,则该配置被视为等于指定的端口号。

·            如果指定port1为0,则该配置被视为lt配置,譬如配置range 0 999,被视为lt 1000。

·            如果指定port2为65535,则该配置被视为gt配置,譬如配置range 50001 65535,被视为gt 50000。

·            如果指定的port1port2大,会自动调整范围为[ port2, port1 ]

【举例】

# 配置端口号等于100的端口对象。

<Sysname> system-view

[Sysname] object-group port portgroup

[Sysname-obj-grp-port-portgroup] port eq 100

# 配置端口号小于20的端口对象。

<Sysname> system-view

[Sysname] object-group port portgroup

[Sysname-obj-grp-port-portgroup] port lt 20

# 配置端口号大于60000的端口对象。

<Sysname> system-view

[Sysname] object-group port portgroup

[Sysname-obj-grp-port-portgroup] port gt 60000

# 配置端口号范围为1000到2000的端口对象。

<Sysname> system-view

[Sysname] object-group port portgroup

[Sysname-obj-grp-port-portgroup] port range 1000 2000

# 配置引用portgroup2对象组的端口对象。

<Sysname> system-view

[Sysname] object-group port portgroup

[Sysname-obj-grp-port-portgroup] port group-object portgroup2

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!