- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
06-报文过滤配置
本章节下载： 06-报文过滤配置 (193.97 KB)
目 录
报文过滤是ACL最基本的应用。例如，将ACL规则应用到指定接口的入或出方向上，从而对该接口收到或发出的报文进行过滤。
报文过滤配置任务如下：
· 应用ACL进行报文过滤。请选择以下一项任务进行配置：
· （可选）配置报文过滤的缺省动作
全局在一个方向上最多可应用4个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL、一个二层ACL和一个用户自定义ACL。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
(1) 进入系统视图。
system-view
(2) 全局应用ACL进行报文过滤。
packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]
缺省情况下，未配置全局的报文过滤。
一个接口在一个方向上最多可应用4个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL、一个二层ACL和一个用户自定义ACL。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 在接口上应用ACL进行报文过滤。
packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound [ extension ] | outbound } [ hardware-count ] [ share-mode ]
缺省情况下，未配置接口的报文过滤。
系统缺省的报文过滤动作为Permit，即允许未匹配上ACL规则的报文通过。通过本配置可更改报文过滤的缺省动作为Deny，即禁止未匹配上ACL规则的报文通过。
本命令对MPLS报文不生效。如需使用报文过滤功能禁止MPLS报文通过，请在相应ACL中配置匹配MPLS报文的规则且指定规则的动作为deny。
(1) 进入系统视图。
system-view
(2) 配置报文过滤的缺省动作为Deny。
packet-filter default deny
缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过。
可在任意视图下执行以下命令：
· 显示报文过滤的应用情况。
display packet-filter { global | interface [ interface-type interface-number ] } [ inbound | outbound ] [ slot slot-number ]
· 显示报文过滤的详细应用情况。
display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ slot slot-number ]
可在任意视图下执行以下命令：
· 显示报文过滤的统计信息。
display packet-filter statistics { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ brief ]
· 显示报文过滤的累加统计信息。
display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac | user-defined ] { acl-number | name acl-name } [ brief ]
请在用户视图下执行以下命令，清除报文过滤的统计信息。
reset packet-filter statistics { global | interface [ interface-type interface-number ] ] } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
缺省情况下，本设备的接口处于ADM（Administratively Down）状态，请根据实际需要在对应接口视图下使用undo shutdown命令开启接口。
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。
<Device> system-view
[Device] time-range work 08:00 to 18:00 working-day
# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work
[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] quit
# 应用IPv4高级ACL 3000对接口HundredGigE1/0/1出方向上的报文进行过滤。
[Device] interface hundredgige 1/0/1
[Device-HundredGigE1/0/1] packet-filter 3000 outbound
[Device-HundredGigE1/0/1] quit
配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：
# 在财务部的PC上检查到财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Reply from 192.168.0.100: bytes=32 time=1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 1ms, Average = 0ms
由此可见，财务部的PC能够在工作时间访问财务数据库服务器。
# 在市场部的PC上检查财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
由此可见，市场部的PC不能在工作时间访问财务数据库服务器。
# 查看IPv4高级ACL 3000的配置和运行情况。
[Device] display acl 3000
Advanced IPv4 ACL 3000, 3 rules,
ACL's step is 5
rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)
rule 10 deny ip destination 192.168.0.100 0
由此可见，由于目前是工作时间，因此规则5是生效的；且由于之前使用了ping命令的缘故，规则5和规则10分别被匹配了4次。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
