目  录

1 对象组

1.1 对象组配置命令

1.1.1 description

1.1.2 display object-group

1.1.3 network (IPv4 address object group view)

1.1.4 network (IPv6 address object group view)

1.1.5 network exclude

1.1.6 object-group

1.1.7 object-group rename

1.1.8 security-zone

1.1.9 service(service object group view)

 

1 对象组

1.1  对象组配置命令

1.1.1  description

description命令用来配置对象组的描述信息。

undo description命令用来恢复缺省情况。

【命令】

description text

undo description

【缺省情况】

对象组未配置任何描述信息。

【视图】

对象组视图

【缺省用户角色】

network-admin

context-admin

【参数】

text：表示对象组的描述信息，为1～127个字符的字符串，区分大小写。

【举例】

# 配置对象组的描述信息为“This is an IPv4 object-group”。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] description This is an IPv4 object-group

1.1.2  display object-group

display object-group命令用来显示对象组的内容。

【命令】

display object-group [ { { ip | ipv6 } address | service } [ default ] [ name object-group-name ] | name object-group-name ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

context-admin

context-operator

【参数】

ip address：指定对象组类型为IPv4地址对象组。

ipv6 address：指定对象组类型为IPv6地址对象组。

service：指定对象组类型为服务对象组。

default：指定默认对象组。

name：指定对象组名称。

object-group-name：对象组的名称，为1～31个字符的字符串，不区分大小写。

【举例】

# 显示所有对象组。

<Sysname> display object-group

IP address object group obj1: 0 object(in use)

 

IP address object group obj2: 6 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network range 1.1.1.1 1.1.1.2

40 network group-object obj1

50 network user-group group1

 

IPv6 address object-group obj3: 0 object(in use)

 

IPv6 address object-group obj4: 5 objects(out of use)

0 network host address 1::1:1

10 network host name host

20 network subnet 1::1:0 112

30 network range 1::1:1 1::1:2

40 network group-object obj3

 

Service object-group obj5: 0 object(in use)

 

Service object-group obj6: 6 objects(out of use)

0 service 200

10 service tcp source lt 50 destination range 30 40

20 service udp source range 30 40 destination gt 30

30 service icmp 20 20

40 service icmpv6 20 20

50 service group-object obj5

# 显示名称为obj2的对象组。

<Sysname> display object-group name obj2

IP address object-group obj2: 5 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network range 1.1.1.1 1.1.1.2

40 network group-object obj1

# 显示所有IPv4地址对象组。

<Sysname> display object-group ip address

IP address object-group obj1: 0 object(in use)

 

IP address object-group obj2: 5 objects(out of use)

0 network host address 1.1.1.1

10 network host name host

20 network subnet 1.1.1.1 255.255.255.0

30 network range 1.1.1.1 1.1.1.2

40 network group-object obj1

# 显示名称为obj4的IPv6地址对象组。

<Sysname> display object-group ipv6 address name obj4

IPv6 address object-group obj4: 5 objects(out of use)

0 network host address 1::1:1

10 network host name host

20 network subnet 1::1:0 112

30 network range 1::1:1 1::1:2

40 network group-object obj3

表1-1 display object-group命令显示信息描述表

字段	描述
in use	表明此对象组被引用，包括被ACL引用或被对象组嵌套引用
out of use	表明此对象组没有被引用

 

1.1.3  network (IPv4 address object group view)

network命令用来创建一个IPv4地址对象。

undo network命令用来删除指定的IPv4地址对象。

【命令】

[ object-id ] network { host { address ip-address | name host-name } | subnet ip-address { mask-length | mask | wildcard wildcard } | range ip-address1 ip-address2 | group-object object-group-name | user user-name [ domain domain-name ] | user-group user-group-name [ domain domain-name ] }

undo network { host { address ip-address | name host-name } | subnet ip-address { mask-length | mask | wildcard wildcard } | range ip-address1 ip-address2 | group-object object-group-name | user user-name [ domain domain-name ] | user-group user-group-name [ domain domain-name ] }

undo object-id

【缺省情况】

不存在IPv4地址对象。

【视图】

IPv4地址对象组视图

【缺省用户角色】

network-admin

context-admin

【参数】

object-id：指定对象ID，取值范围为0～4294967294。若未指定本参数，系统将按照步长10从0开始，自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22，那么自动分配的新ID将是30。

host：指定主机IPv4地址或主机名称。

address ip-address：指定主机IPv4地址。

name host-name：指定主机名称。host-name表示主机名称，为1～60字符，不区分大小写。

subnet ip-address { mask-length | mask | wildcard wildcard }：指定子网IPv4地址。mask-length表示子网掩码长度，即掩码中连续“1”的个数，取值范围为0～32。mask表示接口IPv4地址相应的子网掩码，为点分十进制格式。wildcard wildcard表示IPv4地址的通配符掩码（为0表示主机地址）。

range ip-address1 ip-address2：指定范围IPv4地址。ip-address1表示范围起始IPv4地址。ip-address2表示范围结束IPv4地址。

group-object object-group-name：指定引用IPv4地址对象组。object-group-name表示IPv4地址对象组名称，为1～31字符，不区分大小写。

user user-name：指定用户名称，为1～55字符，区分大小写。

user-group user-group-name：指定用户组名称，为1～32字符，不区分大小写。

domain domain-name：表示用户和用户组所属的身份识别域。domain-name是身份识别域的名称，为1～255个字符的字符串，不区分大小写，不能包括字符“?”。若不指定此参数，则表示用户和用户组不属于任何身份识别域。

【使用指导】

创建对象时指定ID，如果指定ID的对象不存在，则创建一条新的对象；如果指定ID的对象已存在，则对原对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同，否则该命令执行失败，并提示出错。

在配置subnet参数时，如果指定mask-length为32或者mask为255.255.255.255，则该配置被视为主机地址对象配置。

在配置range参数时，需要注意的是：

·            如果指定的ip-address1和ip-address2相同，则该配置被视为主机地址对象配置。

·            如果指定的ip-address1和ip-address2是一个子网的起始地址和结束地址，则该配置被视为子网地址对象配置。

·            如果指定的ip-address1比ip-address2大，会自动调整范围为[ ip-address2, ip-address1 ]。

在配置group-object参数时，需要注意的是：

·            如果指定名称的对象组不存在，则系统会创建此名称的IP地址对象组，相反对象组类型必须为IPv4地址对象组。

·            引用的IPv4地址对象组不能形成循环，譬如IP地址对象组a引用IPv4地址对象组b，则IP地址对象组b不能再引用IP地址对象组a。

·            引用的IPv4地址对象组最大嵌套层次为5层，譬如IP地址对象组1、2、3、4分别引用IP地址对象组2、3、4、5，则IP地址对象组5不能再引用其他IPv4地址对象组，IP地址对象组1也不能再被其他IP地址对象组引用。

【举例】

# 配置地址为192.168.0.1的IPv4主机地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network host address 192.168.0.1

# 配置名称为pc3的IPv4主机地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network host name pc3

# 配置地址为192.167.0.0，掩码长度为24的IPv4子网地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network subnet 192.167.0.0 24

# 配置地址为192.166.0.0，掩码为255.255.0.0的IPv4子网地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network subnet 192.166.0.0 255.255.0.0

# 配置地址范围为192.165.0.100到192.165.0.200的IPv4范围地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network range 192.165.0.100 192.165.0.200

# 配置引用ipgroup2对象组的地址对象。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network group-object ipgroup2

# 配置地址为192.168.x.1的不连续地址（通配符地址）对象，x表示的地址内容可变。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network subnet 192.168.0.1 wildcard 0.0.255.0

# 配置引用用户名为user1，身份识别域为domain1的用户。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network user user1 domain domain1

# 配置引用用户组名为usergroup1，身份识别域为domain1的用户组。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] network user-group usergroup1 domain domain1

1.1.4  network (IPv6 address object group view)

network命令用来创建一个IPv6地址对象。

undo network命令用来删除指定的IPv6地址对象。

【命令】

[ object-id ] network { host { address ipv6-address | name host-name } | subnet ipv6-address prefix-length | range ipv6-address ipv6-address2 | group-object object-group-name | user user-name [ domain domain-name ] | user-group user-group-name [ domain domain-name ] }

undo network { host { address ipv6-address | name host-name } | subnet ipv6-address prefix-length | range ipv6-address1 ipv6-address2 | group-object object-group-name | user user-name [ domain domain-name ] | user-group user-group-name [ domain domain-name ] }

undo object-id

【缺省情况】

不存在IPv6地址对象。

【视图】

IPv6地址对象组视图

【缺省用户角色】

network-admin

context-admin

【参数】

object-id：指定对象ID，取值范围为0～4294967294。若未指定本参数，系统将按照步长10从0开始，自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22，那么自动分配的新ID将是30。

host：指定主机IPv6地址或主机名称。

address ipv6-address：指定主机IPv6地址。

name host-name：指定主机名称。host-name表示主机名称，为1～60字符，不区分大小写。

subnet ipv6-address prefix-length：指定子网IPv6地址。prefix-length：指定IPv6地址的前缀长度，取值范围为1～128。

range ipv6-address1 ipv6-address2：指定范围IPv6地址。ipv6-address1表示范围起始IPv6地址。ipv6-address2表示范围结束IPv6地址。

group-object object-group-name：指定引用IPv6地址对象组。object-group-name表示IPv6地址对象组名称，为1～31字符，不区分大小写。

user user-name：指定用户名称，为1～55字符，区分大小写。

user-group user-group-name：指定用户组名称，为1～32字符，不区分大小写。

domain domain-name：表示用户和用户组所属的身份识别域。domain-name是身份识别域的名称，为1～255个字符的字符串，不区分大小写，不能包括字符“?”。若不指定此参数，则表示用户和用户组不属于任何身份识别域。

【使用指导】

创建对象时指定ID，如果指定ID的对象不存在，则创建一条新的对象；如果指定ID的对象已存在，则对原对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同，否则该命令执行失败，并提示出错。

在配置subnet参数时，如果指定掩码长度为128，则该配置被视为主机地址对象配置。

在配置range参数时，需要注意的是：

·            如果指定的ipv6-address1和ipv6-address2相同，则该配置被视为主机地址对象配置。

·            如果指定的ipv6-address1和ipv6-address2是一个子网的起始地址和结束地址，则该配置被视为子网地址对象配置。

·            如果指定的ipv6-address1比ipv6-address2大，会自动调整范围为[ ipv6-address2, ipv6-address1 ]。

在配置group-object参数时，需要注意的是：

·            如果指定名称的对象组不存在，则系统会创建此名称的IPv6地址对象组。

·            如果指定名称的对象组存在，则对象组类型必须为IPv6地址对象组。

·            引用的IPv6地址对象组不能形成循环，譬如IPv6地址对象组a引用IPv6地址对象组b，则IPv6地址对象组b不能再引用IPv6地址对象组a。

·            引用的IPv6地址对象组最大嵌套层次为5层，譬如IPv6地址对象组1、2、3、4分别引用IPv6地址对象组2、3、4、5，则IPv6地址对象组5不能再引用其他IPv6地址对象组，IPv6地址对象组1也不能再被其他IPv6地址对象组引用。

【举例】

# 配置地址为1::1的IPv6主机地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network host address 1::1

# 配置名称为pc3的IPv6主机地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network host name pc3

# 配置地址为1:1:1::1，前缀长度为24的IPv6子网地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ip v6group] network subnet 1:1:1::1 24

# 配置地址范围为1:1:1::1到1:1:1::100 的IPv6范围地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network range 1:1:1::1 1:1:1::100

# 配置引用ipv6group2对象组的地址对象。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network group-object ipv6group2

# 配置引用用户名为user1，身份识别域为domain1的用户。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network user user1 domain domain1

# 配置引用用户组名为usergroup1，身份识别域为domain1的用户组。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ipv6group] network user-group usergroup1 domain domain1

1.1.5  network exclude

network exclude命令用来配置地址对象中排除的IPv4/IPv6地址。

undo network exclude命令用来恢复缺省情况。

【命令】

object-id network exclude ipv4-address/ipv6-address

undo object-id network exclude ipv4-address/ipv6-address

【缺省情况】

地址对象中不存在排除的IPv4/IPv6地址。

【视图】

IPv4地址对象组

IPv6地址对象组

【缺省用户角色】

network-admin

context-admin

【参数】

object-id：指定对象ID，取值范围为0～4294967294，此对象ID必须已存在。

ipv4-address/ipv6-address：表示地址对象中排除的IPv4/IPv6地址。

【使用指导】

多次执行本命令，可在某个地址对象中排除多个IPv4/IPv6地址。

【举例】

# 配置地址为192.166.0.0，掩码为255.255.0.0的IPv4子网地址对象，并配置此地址对象排除的IPv4地址为192.166.0.10。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

[Sysname-obj-grp-ip-ipgroup] 10 network subnet 192.166.0.0 255.255.0.0

[Sysname-obj-grp-ip-ipgroup] 10 network exclude 192.166.0.10

# 配置地址为1:1:1::1，前缀长度为24的IPv6子网地址对象，并配置此地址对象排除的IPv6地址为1:1:1::10

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

[Sysname-obj-grp-ipv6-ip v6group] 10 network subnet 1:1:1::1 24

[Sysname-obj-grp-ipv6-ip v6group] 10 network exclude 1:1:1::10

1.1.6  object-group

object-group命令用来创建一个对象组，并进入对象组视图。如果指定的对象组已经存在且类型一致，则直接进入对象组视图。

undo object-group命令用来删除指定的对象组。

【命令】

object-group { { ip | ipv6 } address | service } object-group-name

undo object-group { { ip | ipv6 } address | service } object-group-name

【缺省情况】

存在系统默认对象组。

【视图】

系统视图

【缺省用户角色】

network-admin

context-admin

【参数】

ip address：指定对象组类型为IP地址对象组。

ipv6 address：指定对象组类型为IPv6地址对象组。

service：指定对象组类型为服务对象组。

object-group-name：对象组的名称，为1～31个字符的字符串，不区分大小写，且对象组的名称必须全局唯一。

【使用指导】

在配置object-group命令时，需要注意的是：

·            如果指定名称的对象组不存在，则创建对象组并进入其视图。

·            如果指定名称的对象组存在但类型不一致，命令执行失败，并提示出错。

在配置undo object-group命令时，需要注意的是：

·            如果指定名称的对象组不存在，处理结束。

·            如果指定名称的对象组存在但类型不一致，则命令执行失败，并提示出错。

·            要删除的对象组被ACL、对象策略或者其他对象组引用，命令执行失败，并提示出错。

·            系统默认对象组不能被删除。

【举例】

# 配置名称为ipgroup的IP地址对象组。

<Sysname> system-view

[Sysname] object-group ip address ipgroup

# 配置名称为ipv6group的IPv6地址对象组。

<Sysname> system-view

[Sysname] object-group ipv6 address ipv6group

# 配置名称为servicegroup的服务对象组。

<Sysname> system-view

[Sysname] object-group service servicegroup

1.1.7  object-group rename

object-group rename命令用来重命名对象组。

【命令】

object-group rename old-object-group-name new-object-group-name

【视图】

系统视图

【缺省用户角色】

network-admin

context-admin

【参数】

old-object-group-name：被重命名对象组的名称，为1～31个字符的字符串，不区分大小写。

new-object-group-name：重命名后的对象组名称，为1～31个字符的字符串，不区分大小写，且对象组的名称必须全局唯一。

【使用指导】

只能对用户创建的对象组进行重命名，系统缺省的对象组不能被重命名。

【举例】

# 重命名IPv4地址对象组ipgroup1的名称为ipgroup2。

<Sysname> system-view

[Sysname] object-group rename ipgroup1 ipgroup2

【相关命令】

·            object-group

1.1.8  security-zone

security-zone命令用来配置地址对象组所属的安全域。

undo security-zone命令用来恢复缺省情况。

【命令】

security-zone security-zone-name

【缺省情况】

未配置地址对象组所属的安全域。

【视图】

IPv4地址对象组

IPv6地址对象组

【缺省用户角色】

network-admin

context-admin

【参数】

security-zone-name：安全域的名称，为1～31个字符的字符串，不区分大小写，不能包含字符“-” 和“%”，不能是字符串“any”。

【使用指导】

一个对象组只能属于一个安全域。

【举例】

# 配置IPv4地址对象组1所属的安全域为Local。

<Sysname> system-view

[Sysname] object-group ip address 1

[Sysname-obj-grp-ip-1] security-zone Local

【相关命令】

·            object-group { ipv4 | ipv6 }

1.1.9  service(service object group view)

service命令用来创建一个服务对象。

undo service命令用来删除指定的服务对象。

【命令】

[ object-id ] service { protocol [ { source { { eq | lt | gt } port | range port1 port2 } | destination { { eq | lt | gt } port | range port1 port2 } } * | icmp-type icmp-code | icmpv6-type icmpv6-code ] | group-object object-group-name }

undo service { protocol [ { source { { eq | lt | gt } port | range port1 port2 } | destination { { eq | lt | gt } port | range port1 port2 } } * | icmp-type icmp-code | icmpv6-type icmpv6-code ] | group-object object-group-name }

undo object-id

【缺省情况】

不存在服务对象。

【视图】

服务对象组视图

【缺省用户角色】

network-admin

context-admin

【参数】

object-id：指定对象ID，取值范围为0～4294967294。若未指定本参数，系统将按照步长10从0开始，自动分配一个大于现有最大ID的最小ID。譬如现有对象的最大ID为22，那么自动分配的新ID将是30。

protocol：协议类型，可输入的形式如下：

·            数字：取值范围为0～255；

·            名称：可选取tcp（6）、udp（17）、icmp（1）或icmpv6（58）。

source：指定源端口。只在protocol为tcp或udp时有效。

destination：指定目的端口。只在protocol为tcp或udp时有效。

eq：等于指定的端口号。

lt：小于指定的端口号。

gt：大于指定的端口号。

port：指定端口号，取值范围为0～65535。

range port1 port2：在指定的两个端口号范围内。port1表示端口号1，取值范围为0～65535。port2表示端口号2，取值范围为0～65535。

icmp-type：ICMP消息类型，取值范围为0～255，只在protocol为icmp时有效。

icmp-code：ICMP消息码，取值范围为0～255。

icmpv6-type：ICMPv6消息类型，取值范围为0～255，只在protocol为icmpv6时有效。

icmpv6-code：ICMPv6消息码，取值范围为0～255。

group-object：指定引用服务对象组。object-group-name表示服务对象组名称，为1～31字符，不区分大小写。

【使用指导】

创建对象时指定ID，如果指定ID的对象不存在，则创建一条新的对象；如果指定ID的对象已存在，则对旧对象进行修改。

新创建或修改的对象不能与已有对象的内容完全相同，否则该命令执行失败，并提示出错。

在配置lt参数时，需要注意的是：

·            不能指定port为0。

·            如果指定port为1，则该配置被视为eq 0。

·            如果指定port为2～65535，则实际生效的端口号为[ 0, port-1 ]。

在配置gt参数时，需要注意的是：

·            不能指定port为65535。

·            如果指定port为65534，该配置被视为eq 65535。

·            如果指定port为0～65533，则实际生效的端口号为[ port+1, 65535 ]。

在配置range参数时，需要注意的是：

·            如果指定的port1和port2相同，则该配置被视为等于指定的端口号。

·            如果指定port1为0，则该配置被视为lt配置，譬如配置range 0 999，被视为lt 1000。

·            如果指定port2为65535，则该配置被视为gt配置，譬如配置range 50001 65535，被视为gt 50000。

·            如果指定的port1比port2大，会自动调整范围为[ port2, port1 ]。

在配置group-object参数时，需要注意的是：

·            如果指定名称的对象组不存在，则系统会创建此名称的服务对象组。

·            如果指定名称的对象组存在，则对象组类型必须为服务对象组。

·            引用的服务对象组不能形成循环，譬如服务对象组a引用端口对象组b，则服务对象组b不能再引用服务对象组a。

·            引用的服务对象组最大嵌套层次为5层，譬如服务对象组1、2、3、4分别引用服务对象组2、3、4、5，则服务对象组5不能再引用其他服务对象组，服务对象组1也不能再被其他服务对象组引用。

【举例】

# 配置协议号等于100的服务对象。

<Sysname> system-view

[Sysname] object-group service servicegroup

[Sysname-obj-grp-service-servicegroup] service 100

# 配置指定源端口和目的端口的tcp协议报文的服务对象。

<Sysname> system-view

[Sysname] object-group service servicegroup

[Sysname-obj-grp-service-servicegroup] service tcp source eq 100 destination range 10 100

# 配置icmp协议的服务对象。

<Sysname> system-view

[Sysname] object-group service servicegroup

[Sysname-obj-grp-service-servicegroup] service icmp 100 150

# 配置引用servicegroup2对象组的服务对象。

<Sysname> system-view

[Sysname] object-group service servicegroup

[Sysname-obj-grp-service-servicegroup] service group-object servicegroup2