目  录

1 应用层检测引擎

1.1 应用层检测引擎配置命令

1.1.1 app-profile

1.1.2 authentication enable

1.1.3 block-period

1.1.4 capture-limit

1.1.5 display inspect status

1.1.6 dns-server

1.1.7 email-limit

1.1.8 email-server

1.1.9 export repeating-at

1.1.10 export url

1.1.11 import block warning-file

1.1.12 import warning-file

1.1.13 inspect activate

1.1.14 inspect auto-bypass

1.1.15 inspect block-source parameter-profile

1.1.16 inspect bypass

1.1.17 inspect bypass protocol

1.1.18 inspect cache-option maximum

1.1.19 inspect capture parameter-profile

1.1.20 inspect coverage

1.1.21 inspect cpu-threshold disable

1.1.22 inspect email parameter-profile

1.1.23 inspect file-fixed-length

1.1.24 inspect file-fixed-length enable

1.1.25 inspect file-uncompr-layer

1.1.26 inspect file-uncompr-len

1.1.27 inspect logging parameter-profile

1.1.28 inspect optimization disable

1.1.29 inspect packet maximum

1.1.30 inspect redirect parameter-profile

1.1.31 inspect signature auto-update proxy

1.1.32 inspect source-port-identify enable

1.1.33 inspect stream-fixed-length

1.1.34 inspect stream-fixed-length disable

1.1.35 inspect tcp-reassemble enable

1.1.36 inspect tcp-reassemble max-segment

1.1.37 inspect url-filter warning parameter-profile

1.1.38 inspect warning parameter-profile

1.1.39 log

1.1.40 log language

1.1.41 password

1.1.42 receiver

1.1.43 redirect-url

1.1.44 reset block warning-file

1.1.45 reset warning-file

1.1.46 secure-authentication enable

1.1.47 sender

1.1.48 username

 

1 应用层检测引擎

1.1  应用层检测引擎配置命令

1.1.1  app-profile

app-profile命令用来创建DPI应用profile，并进入DPI应用profile视图。如果指定的DPI应用profile已经存在，则直接进入DPI应用profile视图。

undo app-profile命令用来删除指定的DPI应用profile。

【命令】

app-profile profile-name

undo app-profile profile-name

【缺省情况】

不存在DPI应用profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

profile-name：表示DPI应用profile的名称，为1～63个字符的字符串，不区分大小写，且只能为字母、数字、下划线。

【使用指导】

DPI（Deep Packet Inspection，深度报文检测）应用profile是一个安全业务模板，通过在DPI应用profile中引用DPI各业务策略（例如URL过滤），并将其应用于安全策略规则中来实现报文的应用层检测功能。

【举例】

# 创建一个名称为abc的DPI应用profile，并进入DPI应用profile视图。

<Sysname> system-view

[Sysname] app-profile abc

[Sysname-app-profile-abc]

1.1.2  authentication enable

authentication enable命令用来开启发送邮件的认证功能。

undo authentication enable命令用来关闭发送邮件的认证功能。

【命令】

authentication enable

undo authentication enable

【缺省情况】

发送邮件的认证功能处于开启状态。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【使用指导】

当通过命令email-server指定的邮件服务器需要认证时，可以开启发送邮件的认证功能，否则不需要开启此功能。

【举例】

# 关闭发送邮件的认证功能。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] undo authentication enable

1.1.3  block-period

block-period命令用来配置报文源IP地址被阻断的时长。

undo block-period命令用来恢复缺省情况。

【命令】

block-period period

undo block-period

【缺省情况】

报文源IP地址被阻断的时长为1800秒。

【视图】

应用层检测引擎的源阻断动作参数profile视图

【缺省用户角色】

network-admin

【参数】

period：表示报文源IP地址被阻断的时长，取值范围为1～86400，单位为秒。

【使用指导】

如果设备上同时开启了黑名单过滤功能，则报文的源IP地址被添加到IP黑名单表项后的老化时间为源阻断动作参数profile中配置的阻断时长。阻断时长之内，后续来自该源IP地址的报文将直接被黑名单过滤功能丢弃，不再进入应用层检测引擎中检测。

如果设备上未开启黑名单过滤功能，报文的源IP地址仍会被添加到IP黑名单表项中，但IP黑名单功能并未生效，后续来自该源IP地址的报文不会被黑名单过滤功能丢弃，仍将进入应用层检测引擎中处理。

有关黑名单过滤功能的详细介绍，请参见“安全配置指导”中的“攻击检测与防范”。

【举例】

# 在名称为b1的应用层检测引擎源阻断动作参数profile中，配置报文源IP地址被阻断的时长为3600秒。

<Sysname> system-view

[Sysname] inspect block-source parameter-profile b1

[Sysname-inspect-block-source-b1] block-period 3600

【相关命令】

·     blacklist global enable（安全命令参考/攻击检测与防范）

·     inspect block-source parameter-profile

1.1.4  capture-limit

capture-limit命令用来配置捕获报文的最大字节数。

undo capture-limit命令用来恢复缺省情况。

【命令】

capture-limit kilobytes

undo capture-limit

【缺省情况】

捕获报文的最大字节数为512千字节。

【视图】

应用层检测引擎的捕获动作参数profile视图

【缺省用户角色】

network-admin

【参数】

kilobytes：表示捕获报文的最大字节数，取值范围为0～1024，单位为千字节。

【使用指导】

捕获到的报文将被缓存到设备本地，当缓存的报文字节数达到指定上限值时，系统会将缓存的报文上传到指定的URL上，并清空本地缓存，然后重新开始捕获报文。如果配置捕获报文的最大字节数为0，则系统会将捕获到的报文立刻上传到指定的URL上。

【举例】

# 在名称为c1的应用层检测引擎捕获动作参数profile中，配置捕获报文的最大值为1024千字节。

<Sysname> system-view

[Sysname] inspect capture parameter-profile c1

[Sysname-inspect-capture-c1] capture-limit 1024

【相关命令】

·     export repeating-at

·     export url

·     inspect capture parameter-profile

1.1.5  display inspect status

display inspect status命令用来显示应用层检测引擎的工作状态。

【命令】

display inspect status

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示应用层检测引擎的运行状态。

<Sysname> display inspect status

Chassis 0 Slot 1:

 Running status: normal

表1-1 display inspect status命令显示信息描述表

字段	描述
Running status	应用层检测引擎的运行状态，包括如下取值： ·     bypass by configure：因为配置原因引擎无法处理报文 ·     bypass by cpu busy：因为CPU使用率过高导致引擎无法处理报文 ·     normal：引擎工作正常

 

1.1.6  dns-server

dns-server命令用来配置域名解析服务器的IPv4地址。

undo dns-server命令用来恢复缺省情况。

【命令】

dns-server ip-address

undo dns-server

【缺省情况】

未配置域名解析服务器的IPv4地址。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

ip-address：表示域名服务器的IPv4地址，为点分十进制格式。

【使用指导】

如果配置的邮件服务器的地址为主机名格式，当设备发送日志信息邮件时，需要通过域名解析服务器获取邮件服务器IP地址与主机名的映射关系。

【举例】

# 配置域名解析的服务器地址为192.168.0.1。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] dns-server 192.168.0.1

1.1.7  email-limit

email-limit命令用来配置以邮件方式输出日志的限制条件。

undo email-limit命令用来恢复缺省情况。

【命令】

email-limit interval interval max-number value

undo email-limit

【缺省情况】

5分钟内，设备最多可向外发送10封邮件。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

interval interval：指定发送邮件的间隔时间，取值范围为1～10，单位为分钟。

max-number max-number：指定间隔时间内可发送的最大邮件数量，取值范围为1～100。

【使用指导】

本命令用于对设备发送日志邮件的频率进行限制，避免过于频繁地发送邮件。

设备会将待发送的邮件进行缓存，到达指定的间隔时间时发送邮件。

当待发送的邮件数量达到本功能配置的最大值时，如果有新的邮件需要发送，设备会根据邮件的严重级别（即报文命中的IPS特征的严重级别）进行判断。如果新邮件的严重级别高于已缓存的邮件，则新邮件会覆盖已缓存中严重级别最低、最新缓存的邮件。

多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置邮件服务器5分钟内最多可发送20封邮件。

<Sysname> system-view

[Sysname] inspect email parameter-profile test

[Sysname-inspect-email-test] email-limit interval 5 max-number 20

1.1.8  email-server

email-server命令用来配置邮件服务器的地址。

undo email-server命令用来恢复缺省情况。

【命令】

email-server address-string

undo email-server

【缺省情况】

未配置邮件服务器的地址。

【视图】

应用层检测引擎的邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

address-string：表示邮件服务器的地址，为3～63个字符的字符串，区分大小写。

【使用指导】

配置的邮件服务器地址的地址既可以是邮件服务器的IP地址，也可以是邮件服务器的主机名。

采用主机名时，需要确保设备能通过静态或动态域名解析方式获得邮件服务器的IP地址，并与之路由可达。否则邮件发送会失败。有关域名解析功能的配置请参见“网络互通配置指导”中的“域名解析”。

在同一个邮件动作参数profile视图下，多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置邮件服务器地址为rndcas.123.com。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] email-server rndcas.123.com

# 配置邮件服务器地址为192.168.1.1。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] email-server 192.168.1.1

1.1.9  export repeating-at

export repeating-at命令用来配置每天定时上传捕获报文的时间。

undo export repeating-at命令用来恢复缺省情况。

【命令】

export repeating-at time

undo export repeating-at

【缺省情况】

每天凌晨1点定时上传捕获报文。

【视图】

应用层检测引擎的捕获动作参数profile视图

【缺省用户角色】

network-admin

【参数】

time：表示每天上传捕获报文的时间，格式为hh:mm:ss，取值范围为00:00:00～23:59:59。

【使用指导】

每天指定的时间到达时，无论本地缓存是否达到最大值，系统将向指定的URL上传缓存的捕获报文，并清空本地缓存。

【举例】

# 在名称为c1的应用层检测引擎捕获动作参数profile中，配置每天定时上传捕获报文的时间为凌晨2点。

<Sysname> system-view

[Sysname] inspect capture parameter-profile c1

[Sysname-inspect-capture-c1] export repeating-at 02:00:00

【相关命令】

·     capture-limit

·     export url

·     inspect capture parameter-profile

1.1.10  export url

export url命令用来配置上传捕获报文的URL。

undo export url命令用来恢复缺省情况。

【命令】

export url url-string

undo export url

【缺省情况】

未配置上传捕获报文的URL。

【视图】

应用层检测引擎的捕获动作参数profile视图

【缺省用户角色】

network-admin

【参数】

url-string：表示用于上传捕获报文的URL，为1～255个字符的字符串。

【使用指导】

本地缓存的捕获的报文字节数达到指定上限值或者每天指定的时间到达时，系统会将缓存的报文上传到指定的URL。如果未配置上传捕获报文的URL，则系统依然会上传捕获到的报文并清空本地缓存，但是会上传失败。

【举例】

# 在名称为c1的应用层检测引擎捕获动作参数profile中，配置上传捕获报文的URL为tftp://192.168.100.100/upload。

<Sysname> system-view

[Sysname] inspect capture parameter-profile c1

[Sysname-inspect-capture-c1] export url tftp://192.168.100.100/upload

【相关命令】

·     inspect capture parameter-profile

·     capture-limit

·     export repeating-at

1.1.11  import block warning-file

import block warning-file命令用来导入告警文件。

【命令】

import block warning-file file-path

【缺省情况】

设备使用缺省文件里的告警信息：The site you are accessing has a security risk and thereby is blocked.

【视图】

告警动作参数profile视图

【缺省用户角色】

network-admin

【参数】

file-path：表示告警文件的存放路径，为1～200个字符的字符串。

【使用指导】

本命令用于导入告警文件，告警文件中可配置具体告警信息。告警信息出现在设备返回给客户端浏览器的提示窗口中，用来提示用户访问的内容有病毒，并且已阻断该访问。

导入的告警文件保存在dpi/av/warning目录下，并将其命名为av-httpDeclare-xxx，其中xxx表示对应的告警动作参数profile的名称。

仅支持导入html和txt类型的告警文件。

告警文件支持以下导入方式：

·     本地导入：使用本地保存的告警文件导入。

·     FTP/TFTP导入：通过FTP/TFTP方式下载远程服务器上保存的告警文件，并导入该告警文件信息。

参数file-path的取值与导入的方式有关。本地导入时参数file-path取值请参见表1-2；FTP/TFTP导入时参数file-path取值请参见表1-3。

表1-2 本地导入时参数file-path取值说明表

导入场景	参数file-path取值	说明
告警文件的存储位置与当前工作路径一致	filename	可以执行pwd命令查看当前工作路径 有关pwd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”
告警文件的存储位置与当前工作路径不一致，且在相同存储介质上	filename	需要先执行cd命令将工作路径切换至告警文件所在目录下 有关cd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”
告警文件的存储位置与当前工作路径不在相同存储介质上	path/filename	需要先执行cd命令将工作路径切换至告警文件所在存储介质的根目录下，再指定告警文件的相对路径 有关cd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”

 

表1-3 FTP/TFTP导入时参数file-path取值说明表

导入场景	参数file-path取值	说明
告警文件存储在开启FTP服务的远程服务器上	ftp://username:password@server/filename	username为登录FTP服务器的用户名，password为登录FTP服务器的密码，server为FTP服务器的IP地址或主机名 当FTP的用户名和密码中使用了“:”、“@”和“/”三种特殊字符时，需要将这三种特殊字符替换为其对应的转义字符“%3A或%3a”、“%40”和“%2F或%2f”
告警文件存储在开启TFTP服务的远程服务器上	tftp://server/filename	server为TFTP服务器的IP地址或主机名

 

 

【举例】

# 采用TFTP的方式导入告警文件，文件远程路径为：tftp://192.168.0.1/warning.txt。

<Sysname> system-view

[Sysname] inspect warning parameter-profile warn

[Sysname-inspect-warning-warn] import block warning-file tftp://192.168.0.1/warning.txt

#采用FTP的方式导入告警文件，文件远程路径为：ftp://user:password@192.168.0.1/warning.txt，用户名为user，密码为password。

<Sysname> system-view

[Sysname] inspect warning parameter-profile warn

[Sysname-inspect-warning-warn] import block warning-file ftp://user:password@192.168.0.1/warning.txt

# 采用本地方式导入告警文件，文件本地路径为cfa0:/warning.txt，且当前工作路径为cfa0。

<Sysname> system-view

[Sysname] inspect warning parameter-profile warn

[Sysname-inspect-warning-warn] import block warning-file warning.txt

1.1.12  import warning-file

import warning-file命令用来导入URL过滤告警文件。

【命令】

import warning-file file-path

【缺省情况】

存在一个名称为uflt-xxx.html的告警文件，其中xxx表示URL过滤告警动作参数profile的名称。

【视图】

URL过滤告警动作参数profile视图

【缺省用户角色】

network-admin

【参数】

file-path：表示告警文件的存放路径，为1～200个字符的字符串。

【使用指导】

缺省告警信息文件中包含的告警信息内容如下：

Web Access Blocked

Your access to this website was denied. To access this webpage, contact Technical Support.

·     Reason：XXX

·     Category：XXX

·     URL：XXXX

其中，设备会根据实际情况显示Reason、Category和URL的具体内容。

·     Reason：表示客户端访问的URL被阻断的原因。包括如下取值。

¡     当客户端访问的URL因命中URL过滤黑名单而被阻断时，此字段将显示为：The URL of the website hit the URL blacklist.

¡     当客户端访问的URL因命中自定义URL分类而被阻断时，此字段将显示为：The URL of the website hit a user-defined URL category.

¡     当客户端访问的URL因命中预定义URL分类而被阻断时，此字段将显示为The URL of the website hit a predefined URL category.

¡     当客户端访问的URL因未命中白名单模式下的白名单而被阻断时，此字段将显示为：No matching whitelist entry was found for the website in whitelist mode.

¡     当客户端访问的URL因未匹配到任何允许访问的URL分类而被阻断时，此字段将显示为：The URL of the website did not match any accessible URL category.

¡     当客户端访问的URL因命中URL信誉特征库而被阻断时，此字段将显示为：The URL of the website hit the URL reputation signature library.

·     Category：表示客户端访问的URL所属的自定义分类、预定义分类或URL信誉的攻击分类。

·     URL：表示客户端访问的URL。

当缺省的告警信息不满足实际需求时，管理员可以自行编辑一个HTML或TXT类型的告警文件，并通过本命令导入到设备中。设备会将导入的告警文件中的内容放入缺省告警信息文件中，覆盖原有内容。当设备阻断客户端访问的URL后，会向客户端浏览器的提示框中显示更新后的告警信息。

告警文件支持以下导入方式：

·     本地导入：导入设备本地保存的告警文件。

·     FTP/TFTP导入：通过FTP/TFTP方式导入远程服务器上保存的告警文件。

多次执行本命令，最后一次执行的命令生效。

参数file-path的取值与导入的方式有关。本地导入时参数file-path取值请参见表1-4；FTP/TFTP导入时参数file-path取值请参见表1-5。

表1-4 本地导入时参数file-path取值说明表

导入场景	参数file-path取值	说明
告警文件的存储位置与当前工作路径一致	filename	可以执行pwd命令查看当前工作路径 有关pwd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”
告警文件的存储位置与当前工作路径不一致，且在相同存储介质上	filename	需要先执行cd命令将工作路径切换至告警文件所在目录下 有关cd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”
告警文件的存储位置与当前工作路径不在相同存储介质上	path/filename	需要先执行cd命令将工作路径切换至告警文件所在存储介质的根目录下，再指定告警文件的相对路径 有关cd命令的详细介绍请参见“基础配置命令参考”中的“文件系统管理”

 

表1-5 FTP/TFTP导入时参数file-path取值说明表

导入场景	参数file-path取值	说明
告警文件存储在开启FTP服务的远程服务器上	ftp://username:password@server/filename	username为登录FTP服务器的用户名，password为登录FTP服务器的密码，server为FTP服务器的IP地址或主机名 当FTP的用户名和密码中使用了“:”、“@”和“/”三种特殊字符时，需要将这三种特殊字符替换为其对应的转义字符“%3A或%3a”、“%40”和“%2F或%2f”
告警文件存储在开启TFTP服务的远程服务器上	tftp://server/filename	server为TFTP服务器的IP地址或主机名

 

 

【举例】

# 采用TFTP的方式导入URL过滤告警文件，文件远程路径为：tftp://192.168.0.1/warning.txt。

<Sysname> system-view

[Sysname] inspect url-filter warning parameter-profile warn

[Sysname-inspect-url-filter-warning-warn] import warning-file tftp://192.168.0.1/warning.txt

# 采用FTP的方式导入URL过滤告警文件，文件远程路径为：ftp://user:password@192.168.0.1/warning.txt，用户名为user，密码为password。

<Sysname> system-view

[Sysname] inspect url-filter warning parameter-profile warn

[Sysname-inspect-url-filter-warning-warn] import warning-file ftp://user:password@192.168.0.1/warning.txt

# 采用本地方式导入URL过滤告警文件，文件本地路径为cfa0:/warning.txt，且当前工作路径为cfa0。

<Sysname> system-view

[Sysname] inspect url-filter warning parameter-profile warn

[Sysname-inspect-url-filter-warning-warn] import warning-file warning.txt

1.1.13  inspect activate

inspect activate命令用来激活DPI各业务模块的策略和规则配置。

【命令】

inspect activate

【缺省情况】

DPI各业务模块的策略和规则被创建、修改和删除后会自动激活。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

 

缺省情况下，当任意一个DPI业务模块（比如URL过滤业务）发生配置变更时（即策略或规则被创建、修改和删除），系统将会检测在20秒的间隔时间内是否再次发生了配置变更，并根据判断结果执行如下操作：

·     如果间隔时间内未发生任何配置变更，则系统将在下一个间隔时间结束时执行一次激活操作，使这些策略和规则的配置生效。

·     如果间隔时间内再次发生了配置变更，则系统将继续按照间隔时间周期性地检测是否发生配置变更。

如果希望对发生变化的业务的策略或规则立即进行激活，可执行inspect activate命令手工激活。

【举例】

# 激活DPI各业务模块的策略和规则配置。

<Sysname> system-view

[Sysname] inspect activate

1.1.14  inspect auto-bypass

inspect auto-bypass enable命令用来开启应用层检测引擎自动关闭对指定协议报文的检测功能。

undo inspect auto-bypass enable命令用来关闭应用层检测引擎自动关闭对指定协议报文的检测功能。

【命令】

inspect auto-bypass enable

undo inspect auto-bypass enable

【缺省情况】

应用层检测引擎自动关闭指定协议报文的检测功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

开启本功能后，如果应用层检测引擎对某个协议报文的检测导致设备出现异常并重启的情况时，则当系统重启后，应用层检测引擎将自动关闭对该协议报文的检测功能，跳过对此协议报文的处理。

【举例】

# 开启应用层检测引擎自动关闭对指定协议报文的检测功能。

<Sysname> system-view

[Sysname] inspect auto-bypass enable

This feature might cause some functions of the DPI engine to be unavailable. Continue? [Y/N]:y

1.1.15  inspect block-source parameter-profile

inspect block-source parameter-profile命令用来创建应用层检测引擎的源阻断动作参数profile，并进入源阻断动作参数profile视图。如果指定的源阻断动作参数profile已经存在，则直接进入源阻断动作参数profile视图。

undo inspect block-source parameter-profile命令用来删除应用层检测引擎的源阻断动作参数profile。

【命令】

inspect block-source parameter-profile parameter-name

undo inspect block-source parameter-profile parameter-name

【缺省情况】

不存在源阻断动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

parameter-name：表示源阻断动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入源阻断动作参数profile视图后，可以配置对报文执行源阻断动作时采用的特定参数，比如阻断时长。

【举例】

# 创建名称为b1的应用层检测引擎源阻断动作参数profile，并进入源阻断动作参数profile视图。

<Sysname> system-view

[Sysname] inspect block-source parameter-profile b1

[Sysname-inspect-block-source-b1]

【相关命令】

·     block-period

1.1.16  inspect bypass

inspect bypass命令用来关闭应用层检测引擎功能。

undo inspect bypass命令用来开启应用层检测引擎功能。

【命令】

inspect bypass

undo inspect bypass

【缺省情况】

应用层检测引擎功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

 

应用层检测引擎对报文的检测是一个复杂且会占用一定的系统资源的过程。开启应用层检测功能后，如果出现CPU使用率过高等情况时，可以通过关闭此功能来保证设备的正常运行。

【举例】

# 关闭应用层检测引擎功能。

<Sysname> system-view

[Sysname] inspect bypass

【相关命令】

·     display inspect status

1.1.17  inspect bypass protocol

inspect bypass protocol命令用来手工关闭应用层检测引擎对指定协议报文的检测功能。

undo inspect bypass protocol命令用来手工开启应用层检测引擎对指定协议报文的检测功能。

【命令】

inspect bypass protocol { dns | ftp | ftp-data | http | https | imap | nfs | pop3 | rtmp | sip | smb | smtp | telnet | tftp } *

undo inspect bypass protocol [ dns | ftp | ftp-data | http | https | imap | nfs | pop3 | rtmp | sip | smb | smtp | telnet | tftp ] *

【缺省情况】

应用层检测引擎对所有支持的协议都进行检测。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

dns：表示关闭应用层检测引擎对DNS协议报文的检测功能。

ftp：表示关闭应用层检测引擎对FTP协议报文的检测功能。

ftp-data：表示关闭应用层检测引擎对FTP-DATA协议报文的检测功能。

http：表示关闭应用层检测引擎对HTTP协议报文的检测功能。

https：表示关闭应用层检测引擎对HTTPS协议报文的检测功能。

imap：表示关闭应用层检测引擎对IMAP协议报文的检测功能。

nfs：表示关闭应用层检测引擎对NFS协议报文的检测功能。

pop3：表示关闭应用层检测引擎对POP3协议报文的检测功能。

rtmp：表示关闭应用层检测引擎对RTMP协议报文的检测功能。

sip：表示关闭应用层检测引擎对SIP协议报文的检测功能。

smb：表示关闭应用层检测引擎对SMB协议报文的检测功能。

smtp：表示关闭应用层检测引擎对SMTP协议报文的检测功能。

telnet：表示关闭应用层检测引擎对TELNET协议报文的检测功能。

tftp：表示关闭应用层检测引擎对TFTP协议报文的检测功能。

【使用指导】

执行undo inspect bypass protocol命令时，如果不指定任何参数，则表示开启应用层检测引擎对所有协议报文的检测功能。

建议在如下场景中配置本命令关闭应用层检测引擎对指定协议报文的检测功能：

·     当组网环境中不需要对某些协议的报文进行检测时，可以关闭应用层检测引擎对该协议报文的检测，以减少对设备资源的占用，提升设备性能。

·     当应用层检测引擎对某个协议报文的检测导致设备出现异常并重启的情况时，可单独关闭引擎对该协议报文的检测功能，规避由检测该协议报文带来的问题，同时又不影响引擎对其他协议报文的检测。

【举例】

# 手工关闭应用层检测引擎对HTTP协议报文的检测功能。

<Sysname> system-view

[Sysname] inspect bypass protocol http

This feature might cause the DPI engine to be unavailable for the specified protocol. Continue? [Y/N]:y

【相关命令】

·     display inspect status

1.1.18  inspect cache-option maximum

inspect cache-option maximum命令用来配置应用层检测引擎缓存待检测规则的选项的最大数目。

undo cache-option命令用来恢复缺省情况。

【命令】

inspect cache-option maximum max-number

undo inspect cache-option

【缺省情况】

应用层检测引擎缓存待检测规则的选项的最大数目为32。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎在检测报文时，对每条TCP/UDP流缓存待检测规则的选项的最大数目，取值范围为1～254。

【使用指导】

应用层检测引擎中的检测规则是由各个DPI业务模块中的规则或特征转换而成。一个检测规则可以对应多个关键字，每个关键字可对应多个选项。仅当关键字和选项全部匹配，该检测规则才能匹配成功。

当应用层检测引擎在检测一条TCP/UDP数据流时，首先匹配上了一个关键字，此时还不能确定检测规则是否匹配成功，还需要对该关键字所对应的所有选项进行匹配。若当前报文不能匹配到某个选项，则需要将该选项缓存，以便后续报文与之匹配；若选项成功匹配，则不进行缓存，继续匹配下一个选项。直到所有选项均成功匹配，数据流才能与该检测规则成功匹配。

通常，使用缺省配置即可满足用户需求。但是在某些场景中，为了提高应用层检测引擎对TCP/UDP数据流应用或行为的识别能力和准确率，需要将应用层检测引擎当前缓存待检测选项的最大数调高，调高后，每条数据流占用的内存可能会上升。同理某些场景下，设备内存使用率偏高，可以调低此参数，提高设备性能，以保证基础的数据转发正常进行。

【举例】

# 配置应用层检测引擎缓存待检测规则的选项的最大数目为4。

<Sysname> system-view

[Sysname] inspect cache-option maximum 4

1.1.19  inspect capture parameter-profile

inspect capture parameter-profile命令用来创建应用层检测引擎的捕获动作参数profile，并进入捕获动作参数profile视图。如果指定的捕获动作参数profile已经存在，则直接进入捕获动作参数profile视图。

undo inspect capture parameter-profile命令用来删除应用层检测引擎的捕获动作参数profile。

【命令】

inspect capture parameter-profile parameter-name

undo inspect capture parameter-profile parameter-name

【缺省情况】

不存在捕获动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

profile-name：捕获动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入捕获动作参数profile视图后，可以配置执行报文捕获动作时采用的特定参数，比如本地缓存报文的最大值字节数。目前，仅IPS功能支持。

【举例】

# 创建名称为c1的应用层检测引擎捕获动作参数profile，并进入捕获动作参数profile视图。

<Sysname> system-view

[Sysname] inspect capture parameter-profile c1

[Sysname-inspect-capture-c1]

【相关命令】

·     capture-limit

·     export repeating-at

·     export url

1.1.20  inspect coverage

inspect coverage命令用来配置应用层检测引擎检测率模式。

undo inspect coverage命令用来恢复缺省情况。

【命令】

inspect coverage { balanced | large-coverage | high-performance | user-defined }

undo inspect coverage

【缺省情况】

应用层检测引擎检测率模式为平衡模式。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

balanced：表示平衡模式。该模式下，设备会在性能和检测率之间进行调整，以达到平衡状态。

large-coverage：表示高检测率模式。该模式下，设备会适当的牺牲性能，以达到最佳的引擎检测率。

high-performance：表示最佳性能模式。该模式下，设备会适当降低引擎检测率，以保证最佳性能。

user-defined：表示自定义模式。该模式下，用户可以根据需求调整应用层检测引擎的检测长度。

【使用指导】

为了适应不同场景下对设备性能和检测率的不同需求，应用层检测引擎支持如下几种选项供选择：

·     balanced：适用于大多数场景，设备在性能和检测率之间可以达到平衡状态。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议数据流的最大检测长度均为64千字节；MD5最大检测长度为2048千字节。

·     large-coverage：适用于对检测率要求较高的场景，设备将提升检测率，但同时会对性能产生一定影响。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议数据流的最大检测长度均为128千字节；MD5最大检测长度为5120千字节。

·     high-performance：适用于对设备性能要求较高的场景，设备可在保证一定检测率的前提下，提升性能。此模式下，应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议数据流的最大检测长度均为32千字节；MD5最大检测长度为32千字节。

·     user-defined：适用于对检测率和性能有精确要求的场景。此模式下，可以自定义应用层检测引擎对各协议数据流的最大检测长度（通过inspect stream-fixed-length命令配置）和MD5最大检测长度（通过inspect md5-fixed-length命令配置）。

【举例】

# 配置应用层检测引擎检测率模式为自定义模式。

<Sysname> system-view

[Sysname] inspect coverage user-defined

【相关命令】

·     inspect stream-fixed-length enable

·     inspect file-fixed-length enable

1.1.21  inspect cpu-threshold disable

inspect cpu-threshold disable命令用来关闭CPU门限响应功能。

undo inspect cpu-threshold disable命令用来开启CPU门限响应功能。

【命令】

inspect cpu-threshold disable

undo inspect cpu-threshold disable

【缺省情况】

CPU门限响应功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

应用层检测引擎对报文的检测是一个比较复杂且会占用一定系统资源的过程。当设备的CPU利用率较高时，应用层检测引擎CPU门限响应功能会启动如下机制来缓解系统资源紧张的问题。

·     当CPU利用率达到设备上配置的CPU利用率阈值时，系统会自动关闭应用层检测引擎的检测功能来保证设备的正常运行。

·     当设备的CPU利用率恢复到或低于设备上配置的CPU利用率恢复阈值时，系统会恢复应用层检测引擎的检测功能。

在系统CPU占用率较高的情况下，不建议用户配置此命令。

【举例】

# 关闭CPU门限响应功能。

<Sysname> system-view

[Sysname] inspect cpu-threshold disable

【相关命令】

·     display inspect status

·     inspect bypass

·     inspect stream-fixed-length disable

1.1.22  inspect email parameter-profile

inspect email parameter-profile命令用来创建应用层检测引擎的邮件动作参数profile，并进入邮件动作参数profile视图。如果指定的邮件动作参数profile已经存在，则直接进入邮件动作参数profile视图。

undo inspect email parameter-profile命令删除应用层检测引擎邮件动作参数profile。

【命令】

inspect email parameter-profile parameter-name

undo inspect email parameter-profile parameter-name

【缺省情况】

不存在邮件动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

parameter-name：表示邮件动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入邮件动作参数profile视图后，可以配置执行发送邮件动作时采用的特定参数，比如邮件服务器的地址、发件人与收件人的地址和登录邮件服务器的用户名和密码等信息。

【举例】

# 创建名称为c1的应用层检测引擎邮件动作参数profile，并进入邮件动作参数profile视图。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1]

1.1.23  inspect file-fixed-length

inspect file-fixed-length命令用来配置应用层检测引擎检测文件的固定长度。

undo inspect file-fixed-length命令用来恢复缺省情况。

【命令】

inspect file-fixed-length { email | ftp | http | nfs | smb } * length-value

undo inspect file-fixed-length

【缺省情况】

应用层检测引擎对基于FTP协议、HTTP协议、NFS协议、SMB协议和与E-mail相关协议传输的文件固定检测长度均为64千字节。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

email：表示配置基于E-mail相关协议传输的文件的固定检测长度，支持的E-mail协议包括SMTP、POP3和IMAP。

ftp：表示配置基于FTP协议传输的文件的固定检测长度。

http：表示配置基于HTTP协议传输的文件的固定检测长度。

nfs：表示配置基于NFS协议传输的文件的固定检测长度。

smb：表示配置基于SMB协议传输的文件的固定检测长度。

length-value：文件的固定检测长度，取值范围为1～2048，单位为KB。

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

由于病毒特征一般都位于文件的前半部分，可配置文件的固定检测长度，对超过长度的文件内容不再进行检测，从而提高设备的检测效率。

如果一条数据流中包含多个文件，则每个文件均仅检测配置的固定长度内的内容。

由于文件在数据流中传输，所以配置的文件固定检测长度必须小于等于数据流固定检测长度（通过inspect stream-fixed-length命令配置）。

【举例】

# 配置应用层检测引擎检测基于HTTP协议传输的文件的固定检测长度为128KB。

<Sysname> system-view

[Sysname] inspect file-fixed-length http 128

【相关命令】

·     inspect coverage user-defined

·     inspect file-fixed-length enable

·     inspect stream-fixed-length

1.1.24  inspect file-fixed-length enable

inspect file-fixed-length enable命令用来开启应用层检测引擎检测固定长度文件功能。

undo inspect file-fixed-length enable命令用来关闭应用层检测引擎检测固定长度文件功能。

【命令】

inspect file-fixed-length enable

undo inspect file-fixed-length enable

【缺省情况】

应用层检测引擎检测固定长度文件功能处于关闭状态，不对文件检测长度进行限制。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本功能用于限制应用层检测引擎只检测每条数据流中固定长度内的文件内容，超出固定长度后的文件内容不再检测。

开启本功能后，会导致超过出固定长度的文件内容无法识别，可能会对数据过滤等业务产生影响。

【举例】

# 开启应用层检测引擎检测固定长度文件功能。

<Sysname> system-view

[Sysname] inspect file-fixed-length enable

【相关命令】

·     inspect coverage user-defined

·     inspect file-fixed-length

1.1.25  inspect file-uncompr-layer

inspect file-uncompr-layer命令用来配置可解压缩文件层数上限。

undo inspect file-uncompr-layer命令用来恢复缺省情况。

【命令】

inspect file-uncompr-layer max-layer

undo inspect file-uncompr-layer

【缺省情况】

可解压缩文件层数上限为3。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-layer：表示可解压缩文件层数上限，取值范围0～8。当此参数配置为0时，表示不对文件进行解压缩。

【使用指导】

当需要检测的内容存在多层压缩的文件时，可配置本命令设置可解压缩文件的层数。当超过配置的可解压缩文件的层数时，设备将不对超出层数上限的文件进行解压缩，直接按照压缩文件格式进行特征匹配等处理。

如果配置的层数过大，当设备频繁收到多层压缩的文件时，设备将一直解压缩一个文件，会影响后续文件的解压缩，并消耗大量的设备内存；如果配置的层数过小，可能导致压缩文件中的原始文件内容无法正确识别，从而对DPI业务（例如防病毒和数据过滤业务）的检测结果产生影响。请管理员合理配置此参数。

设备仅支持对ZIP和GZIP类型文件进行解压缩。

【举例】

# 配置最大解压缩文件层数为5。

<Sysname> system-view

[Sysname] inspect file-uncompr-layer 5

【相关命令】

·     inspect file-uncompr-len

1.1.26  inspect file-uncompr-len

inspect file-uncompr-len命令用来配置可解压缩数据上限。

undo inspect file-uncompr-len命令用来恢复缺省情况。

【命令】

inspect file-uncompr-len max-size

undo inspect file-uncompr-len

【缺省情况】

可解压缩数据上限为100MB。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-size：表示可解压缩数据上限，取值范围为1～200，单位为MB。

【使用指导】

可解压缩数据上限是指设备解压一个文件时可解压缩数据的最大值。到达上限后，该文件的剩余数据不再进行解压。

如果配置的可解压缩数据过大，当设备频繁收到过大的压缩文件时，设备将一直解压缩一个文件，会影响后续文件的解压缩，并影响设备的转发性能；如果配置的可解压缩数据过小，设备将不能识别压缩文件中的部分内容，从而对DPI业务（例如防病毒和数据过滤业务）的检测结果产生影响。请管理员合理配置此参数。

目前，仅支持解压缩ZIP格式的文件。

【举例】

# 配置最大解压缩数据大小为150MB。

<Sysname> system-view

[Sysname] inspect file-uncompr-len 150

1.1.27  inspect logging parameter-profile

inspect logging parameter-profile命令用来创建应用层检测引擎的日志动作参数profile，并进入日志动作参数profile视图。如果指定的日志动作参数profile已经存在，则直接进入日志动作参数profile视图。

undo inspect logging parameter-profile命令用来删除应用层检测引擎的日志动作参数profile。

【命令】

inspect logging parameter-profile parameter-name

undo inspect logging parameter-profile parameter-name

【缺省情况】

不存在日志动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

profile-name：日志动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入日志动作的参数profile视图后，可以配置生成报文日志时采用的特定参数，比如输出日志的方式。

【举例】

# 创建名称为log1的应用层检测引擎的日志动作参数profile，并进入日志动作参数profile视图。

<Sysname> system-view

[Sysname] inspect logging parameter-profile log1

[Sysname-inspect-logging-log1]

【相关命令】

·     log

1.1.28  inspect optimization disable

inspect optimization disable命令用来关闭指定的应用层检测引擎的优化调试功能。

undo inspect optimization disable命令用来开启指定的应用层检测引擎的优化调试功能。

【命令】

inspect optimization [ chunk | no-acsignature | raw | uncompress | url-normalization ] disable

undo inspect optimization [ chunk | no-acsignature | raw | uncompress | url-normalization ] disable

【缺省情况】

应用层检测引擎的所有优化调试功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

chunk：表示应用层检测引擎对Chunk格式报文进行解码的优化调试功能。

no-acsignature：表示应用层检测引擎对没有关键字检测规则进行检测的优化调试功能。

raw：表示应用层检测引擎对未经解码TCP/UDP的应用层载荷字段进行检测的优化调试功能。

uncompress：表示应用层检测引擎对HTTP Body字段进行解压缩的优化调试功能。

url-normalization：表示应用层检测引擎对HTTP URL字段进行正规化校准的优化调试功能。

【使用指导】

如果不指定任何参数，则表示关闭或开启应用层检测引擎的所有优化调试功能。

有关应用层检测引擎的各种优化调试功能的详细介绍如下：

·     应用层检测引擎对Chunk格式报文进行解码的优化调试功能：Chunk是HTTP协议载荷(Body)的一种传输方式，对于以Chunk方式传输的HTTP协议的载荷，需要先对其进行解码以获取真正的载荷内容。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，关闭应用层检测引擎解码Chunk格式报文的功能，可以提高设备的吞吐量。但是配置关闭应用层检测引擎解码Chunk格式报文的功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

·     应用层检测引擎对没有关键字检测规则进行检测的优化调试功能：没有关键字的检测规则是指此规则不是基于字符串匹配进行检测，而是基于报文的端口号、错误码等字段进行检测。缺省情况下应用层检测引擎对没有关键字的检测规则进行检测，但是在某些场景下，如果设备的吞吐量较差，不能满足客户基本的通信需求，此时可以配置应用层检测引擎对没有关键字的检测规则不进行检测，以提高设备的性能，保证用户最基础的网络通信。

·     应用层检测引擎对未经解码TCP/UDP的应用层载荷字段进行检测的优化调试功能：有些TCP/UDP数据流的应用层协议（例如HTTP、SMTP、POP3、IMAP4）涉及编码和解码处理，而对该类数据流的应用层内容的检测需要在对报文载荷进行解码之后进行。如果当前设备的处理性能不能满足用户基本的通信需求，可以通过该命令取消对未解码的应用层载荷字段的检测，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对报文载荷内容的应用或行为的识别能力会受到影响。

·     应用层检测引擎对HTTP Body字段进行解压缩的优化调试功能：如果报文的HTTP Body字段是压缩编码，应用层检测引擎需要先对HTTP Body字段进行解压缩后，才能对此字段的内容进行检测。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，可以通过配置此命令来取消对HTTP Body字段的压缩编码进行解压缩处理，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

·     应用层检测引擎对HTTP URL字段进行正规化校准的优化调试功能：对HTTP URL字段进行正规化校准功能是指把URL中绝对路径字调整为常规路径格式，对特殊的路径字段进行调整和正确性检查。例如报文URL中绝对路径部分输入的是test/dpi/../index.html，正规化处理后是test/index.html。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，可以通过配置此命令来取消对HTTP URL字段进行正规化校准处理，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

【举例】

# 关闭应用层检测引擎的所有优化调试功能。

<Sysname> system-view

[Sysname] inspect optimization disable

1.1.29  inspect packet maximum

inspect packet maximum命令用来配置应用层检测引擎可检测有载荷内容的报文的最大数目。

undo inspect packet命令用来恢复缺省情况。

【命令】

inspect packet maximum max-number

undo inspect packet

【缺省情况】

应用层检测引擎可检测有载荷内容的报文的最大数目为32。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎检测有载荷内容的报文的最大数目，取值范围为1～254。

【使用指导】

应用层检测引擎在对一个数据流的第一个有载荷内容的报文进行检测时，如果没有匹配上任何检测规则，则需要继续检测此数据流的第二个有载荷内容的报文，以此类推。如果直到设备设置的最大报文检测个数还未匹配上任何检测规则，则表示对此数据流匹配失败，并直接允许此数据流通过。

通常，使用缺省配置即可满足应用需求。但是在某些应用场景中，应用层检测引擎在检测有载荷内容的报文的个数达到指定的个数之后，仍然不能识别当前报文应用层信息的应用或行为，此时需要调高这个参数。调高此参数后，设备的吞吐量性能会下降，但是应用识别的成功率会增加。同理在设备吞吐量较差，不能满足客户需求的应用场景中，此时需要调低这个参数，调低参数后，吞吐量会增加，但是应用识别成功率会降低。

【举例】

# 配置应用层检测引擎可检测有载荷内容的报文的最大数目为16。

<Sysname> system-view

[Sysname] inspect packet maximum 16

1.1.30  inspect redirect parameter-profile

inspect redirect parameter-profile命令用来创建应用层检测引擎的重定向动作参数profile，并进入重定向动作参数profile视图。如果指定的重定向动作参数profile已经存在，则直接进入重定向动作参数profile视图。

undo inspect redirect parameter-profile命令用来删除应用层检测引擎的重定向动作参数profile。

【命令】

inspect redirect parameter-profile parameter-name

undo inspect redirect parameter-profile parameter-name

【缺省情况】

不存在重定向动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

parameter-name：重定向动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入重定向动作参数profile视图后，可以配置对报文执行重定向动作时采用的特定参数，比如对报文重定向的URL。

【举例】

# 创建名称为r1的应用层检测引擎重定向动作参数profile，并进入重定向动作参数profile视图。

<Sysname> system-view

[Sysname] inspect redirect parameter-profile r1

[Sysname-inspect-redirect-r1]

1.1.31  inspect signature auto-update proxy

inspect signature auto-update proxy命令用来配置DPI业务特征库在线升级所使用的代理服务器。

undo inspect signature auto-update proxy命令用来恢复缺省情况。

【命令】

inspect signature auto-update proxy { domain domain-name | ip ip-address } [ port port-number ] [ user user-name password { cipher | simple } string ]

undo inspect signature auto-update proxy

【缺省情况】

未配置DPI业务特征库在线升级所使用的代理服务器。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

domain domain-name：指定代理服务器的域名。domain-name表示代理服务器的域名，为3～63个字符的字符串，不区分大小写。

ip ip-address：指定代理服务器的IP地址，仅支持IPv4类型地址。

port port-number：指定代理服务器的端口号，取值范围为1～65535，缺省值为80。

user user-name：指定登录代理服务器的用户名。user-name表示用户名，为1～31个字符的字符串，不区分大小写。

password：指定登录代理服务器的用户密码。

cipher：表示以密文方式设置密码。

simple：表示以明文方式设置密码，该密码将以密文形式存储。

string：密码字符串，区分大小写。明文密码为1～31个字符的字符串，密文密码为1～73个字符的字符串。

【使用指导】

当DPI业务模块（例如URL过滤业务）的特征库进行在线升级时，若设备不能连接到官方网站，则可配置一个代理服务器使设备连接到官方网站上的特征库服务专区，进行特性库在线升级。有关特征库在线升级功能的详细介绍，请参见各DPI业务配置指导手册中的“特征库升级与回滚”。

多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置DPI业务特征库在线升级所使用的代理服务器域名为www.abc.com，端口号为8888，登录代理服务器的用户名和密码均为admin。

<Sysname> system-view

[Sysname] inspect signature auto-update proxy domain www.abc.com port 8888 user admin password simple admin

1.1.32  inspect source-port-identify enable

inspect source-port-identify enable命令用来开启基于源端口的应用识别功能。

undo inspect source-port-identify enable命令用来关闭基于源端口的应用识别功能。

【命令】

inspect source-port-identify enable

undo inspect source-port-identify enable

【缺省情况】

基于源端口的应用识别功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

如果网络中的流量种类单一、源端口固定，但无法通过目的端口对其进行基于端口的应用识别或无法基于流量特征进行内容识别时，可以开启本功能，对流量进行源端口识别，将源端口为固定端口的流量识别为访问特定类型应用的流量。

开启本功能后，可能会造成应用识别结果的误报，请管理员根据组网环境的实际情况配置。

【举例】

# 开启基于源端口的应用识别功能。

<sysname> system-view

[sysname] inspect source-port-identify enable

1.1.33  inspect stream-fixed-length

inspect stream-fixed-length命令用来配置应用层检测引擎检测数据流的固定长度。

undo inspect stream-fixed-length命令用来恢复缺省情况。

【命令】

inspect stream-fixed-length { email | ftp | http | nfs | smb } * length

undo inspect stream-fixed-length

【缺省情况】

应用层检测引擎对FTP协议、HTTP协议、NFS协议、SMB协议和与E-mail相关协议数据流的固定检测长度均为64千字节。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

email：表示设置检测与E-mail协议相关类型数据流的固定长度，支持的E-mail协议包括SMTP、POP3和IMAP。

ftp：表示设置检测FTP协议类型数据流的固定长度。

http：表示设置检测HTTP协议类型数据流的固定长度。

nfs：表示设置检测NFS协议类型数据流的固定长度。

smb：表示设置检测SMB协议类型数据流的固定长度。

length：表示设置检测指定协议类型数据流的固定长度，取值范围为1～2048，单位为千字节。

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

调高此参数后，设备的吞吐量性能会下降，但是应用层信息识别的成功率会提高；同理调低参数后，设备的吞吐量会增加，但是应用层信息识别的成功率会降低。

【举例】

# 配置应用层检测引擎检测FTP协议类型数据流的固定长度为35千字节，检测HTTP协议类型数据流的固定长度为40千字节。

<Sysname> system-view

[Sysname] inspect stream-fixed-length ftp 35 http 40

【相关命令】

·     inspect coverage user-defined

·     inspect cpu-threshold disable

·     inspect stream-fixed-length disable

1.1.34  inspect stream-fixed-length disable

inspect stream-fixed-length disable命令用来关闭应用层检测引擎检测固定长度数据流功能。

undo inspect stream-fixed-length disable命令用来开启应用层检测引擎检测固定长度数据流功能。

【命令】

inspect stream-fixed-length disable

undo inspect stream-fixed-length disable

【缺省情况】

应用层检测引擎检测固定长度数据流功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本功能仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

应用层检测引擎检测固定长度数据流功能，是指应用层检测引擎只检测每条数据流首包后固定长度内的数据，不再检测超出固定长度后的数据。

【举例】

# 关闭应用层检测引擎检测固定长度数据流功能。

<Sysname> system-view

[Sysname] inspect stream-fixed-length disable

【相关命令】

·     inspect coverage user-defined

·     inspect cpu-threshold disable

·     inspect stream-fixed-length

1.1.35  inspect tcp-reassemble enable

inspect tcp-reassemble enable命令用来开启TCP数据段重组功能。

undo inspect tcp-reassemble enable命令用来关闭TCP数据段重组功能。

【命令】

inspect tcp-reassemble enable

undo inspect tcp-reassemble enable

【缺省情况】

TCP数据段重组功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

大量的TCP乱序数据段极有可能会造成应用层检测引擎对此TCP数据流检测失败。例如应用层检测引擎需要检测TCP载荷中是否包含关键字“this is a secret”，由于数据段乱序，可能含有“a secret”的数据段先到达设备，含有“this is”的数据段后到达设备，这样就会造成应用层检测引擎对此TCP数据流检测失败。

为了提高应用层检测引擎对TCP数据流检测的准确率，可以在设备上开启TCP数据段重组功能。当接收到乱序的TCP数据段时，设备会将此数据段和来自于同一条数据流的后续数据段暂时保存至缓冲区，进行TCP数据段重组，完成数据段重组再送往后续流程处理。

若缓冲区中已缓存的数据段数目达到最大值（可以通过inspect tcp-reassemble max-segment命令来配置）时仍无法成功重组，则设备直接将已缓存的乱序数据段和此条数据流的所有后续TCP数据段送往后续流程处理，不再进行TCP重组。这样可以降低对设备转发性能的影响。

【举例】

# 开启TCP数据段重组功能。

<Sysname> system-view

[Sysname] inspect tcp-reassemble enable

【相关命令】

·     inspect tcp-reassemble max-segment

1.1.36  inspect tcp-reassemble max-segment

inspect tcp-reassemble max-segment命令用来配置TCP重组缓冲区可缓存的TCP数据段最大数目。

undo inspect tcp-reassemble max-segment命令用来恢复缺省情况。

【命令】

inspect tcp-reassemble max-segment max-number

undo inspect tcp-reassemble max-segment

【缺省情况】

TCP重组缓冲区可缓存的TCP数据段最大数目为10。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：表示TCP重组缓冲区可缓存的TCP数据段最大数目，取值范围为10～50。

【使用指导】

在存在大量TCP乱序数据段的网络环境中，调高此参数，则可提高应用层检测引擎对TCP数据段检测的准确率，但是设备转发性能可能会下降。若调低此参数可避免因长时间缓存TCP数据段而造成设备转发性能下降，但是应用层检测引擎对TCP数据段检测的准确率会降低。请根据实际情况调整此参数。

本命令仅在开启TCP数据段重组功能后生效。

【举例】

# 配置TCP重组缓冲区中可缓存的TCP数据段最大数目为20。

<Sysname> system-view

[Sysname] inspect tcp-reassemble max-segment 20

【相关命令】

·     inspect tcp-reassemble enable

1.1.37  inspect url-filter warning parameter-profile

inspect url-filter warning parameter-profile命令用来创建应用层检测引擎的URL过滤告警动作参数profile，并进入URL过滤告警动作参数profile视图。如果指定的URL过滤告警动作参数profile已经存在，则直接进入URL过滤告警动作参数profile视图。

undo inspect url-filter warning parameter-profile命令用来删除应用层检测引擎的URL过滤告警动作参数profile。

【命令】

inspect url-filter warning parameter-profile profile-name

undo inspect url-filter warning parameter-profile profile-name

【缺省情况】

不存在URL过滤告警动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

profile-name：URL过滤告警动作参数profile的名称，为1～63个字符的字符串，只支持数字、字母、下划线，不区分大小写。

【使用指导】

创建URL过滤告警动作参数profile后，可通过导入告警文件的方式配置告警信息。

【举例】

# 创建名称为c1的应用层检测引擎的URL过滤告警动作参数profile，并进入URL过滤告警动作参数profile视图。

<Sysname> system-view

[Sysname] inspect url-filter warning parameter-profile c1

[Sysname-inspect-url-filter-warning-c1]

【相关命令】

·     import url-filter warning-file

1.1.38  inspect warning parameter-profile

inspect warning parameter-profile命令用来创建应用层检测引擎的告警动作参数profile，并进入告警动作参数profile视图。如果指定的告警动作参数profile已经存在，则直接进入告警动作参数profile视图。

undo inspect warning parameter-profile命令用来删除应用层检测引擎的告警动作参数profile。

【命令】

inspect warning parameter-profile profile-name

undo inspect  warning parameter-profile profile-name

【缺省情况】

不存在告警动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

profile-name：告警动作参数profile的名称，为1～63个字符的字符串，只支持数字、字母、下划线，不区分大小写。

【使用指导】

创建告警动作参数profile后，可通过导入告警文件的方式配置告警信息。

【举例】

# 创建名称为w1的应用层检测引擎告警动作参数profile，并进入告警动作参数profile视图。

<Sysname> system-view

[Sysname] inspect warning parameter-profile w1

[Sysname-inspect-warning-w1]

【相关命令】

·     import block warning-file

·     reset block warning-file

·     warning parameter-profile（DPI深度安全命令参考/防病毒）

1.1.39  log

log命令用来配置记录报文日志的方式。

undo log命令用来取消指定的记录报文日志的方式。

【命令】

log { email | syslog }

undo log { email | syslog }

【缺省情况】

报文日志被输出到信息中心。

【视图】

应用层检测引擎的日志动作参数profile视图

【缺省用户角色】

network-admin

【参数】

email：表示将日志以邮件的方式发送到指定的收件人邮箱。

syslog：表示将日志输出到信息中心。

【举例】

# 在名称为log1的应用层检测引擎日志动作参数profile中，配置将生成的报文日志输出到信息中心。

<Sysname> system-view

[Sysname] inspect logging parameter-profile log1

[Sysname-inspect-logging-log1] log syslog

【相关命令】

·     inspect logging parameter-profile

1.1.40  log language

log language命令用来配置记录IPS日志使用的语言为中文。

undo log language命令用来恢复缺省情况。

【命令】

log language chinese

undo log language chinese

【缺省情况】

记录报文日志使用的语言为英文。

【视图】

应用层检测引擎的日志动作参数profile视图

【缺省用户角色】

network-admin

【使用指导】

执行本命令后，设备输出的日志中，仅IPS日志的威胁名称字段使用中文描述，其它日志信息仍然为英文。有关IPS日志的详情介绍，请参见“DPI深度安全命令参考”中的“IPS”。

【举例】

# 在名称为log1的应用层检测引擎日志动作参数profile中，配置记录IPS日志使用的语言为中文。

<Sysname> system-view

[Sysname] inspect logging parameter-profile log1

[Sysname-inspect-log-para-log1] log language chinese

【相关命令】

·     inspect logging parameter-profile

1.1.41  password

password命令用来配置登录邮件服务器的密码。

undo password命令用来恢复缺省情况。

【命令】

password { cipher | simple } string

undo password

【缺省情况】

未配置登录邮件服务器的密码。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

cipher：表示以密文方式设置用户密码。

simple：表示以明文方式设置用户密码，该密码将以密文形式存储。

string：表示登录邮件服务器的密码。明文密码为1～63个字符的字符串，密文密码为1～117个字符的字符串，区分大小写。

【使用指导】

在同一个邮件动作参数profile视图下，多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置登录邮件服务器的明文密码为abc123。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] password simple abc123

【相关命令】

·     authentication enable

1.1.42  receiver

receiver命令用来配置收件人地址。

undo receiver命令用来恢复缺省情况。

【命令】

receiver address-string

undo receiver

【缺省情况】

未配置收件人地址。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

address-string：表示收件人地址，为3～502个字符的字符串，区分大小写。

【使用指导】

收件人地址可以同时输入多个，且每个收件人地址之间用英文“;”号隔开。

【举例】

# 配置收件人的地址为123@abc.com和nnn@abc.com。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] receiver 123@abc.com;nnn@abc.com

1.1.43  redirect-url

redirect-url命令用来配置重定向URL。

undo redirect-url命令用来恢复缺省情况。

【命令】

redirect-url url-string

undo redirect-url

【缺省情况】

未配置重定向URL。

【视图】

应用层检测引擎的重定向动作参数profile视图

【缺省用户角色】

network-admin

【参数】

url-string：表示重定向URL，为9～63个字符的字符串，区分大小写。该URL必须以http://或https://开头，例如http://www.baidu.com。

【使用指导】

当需要把匹配成功的报文重定向到某个Web界面时，可以通过执行此命令来指定重定向URL。

【举例】

# 配置重定向URL为http://www.abc.com/upload。

<Sysname> system-view

[Sysname] inspect redirect parameter-profile r1

[Sysname-inspect-redirect-r1] redirect-url http://www.abc.com/upload

【相关命令】

·     inspect redirect parameter-profile

1.1.44  reset block warning-file

reset block warning-file命令用来重置告警文件内容。

【命令】

reset block warning-file

【视图】

告警动作参数profile视图

【缺省用户角色】

network-admin

【使用指导】

本命令用来将告警文件中的告警信息重置为缺省文件中的告警信息。

【举例】

# 在名称为w1的应用层检测引擎告警动作参数profile中，重置告警文件内容。

<Sysname> system-view

[Sysname] inspect warning parameter-profile w1

[Sysname-inspect-warning-w1] reset block warning-file

【相关命令】

·     import warning-file

1.1.45  reset warning-file

reset warning-file命令用来重置URL过滤告警文件内容。

【命令】

reset warning-file

【视图】

URL过滤告警动作参数profile视图

【缺省用户角色】

network-admin

【使用指导】

本命令用来将URL过滤告警文件中的内容恢复为缺省告警信息。

【举例】

# 在名称为c1的应用层检测引擎的URL过滤告警动作参数profile中，重置URL过滤告警文件内容。

<Sysname> system-view

[Sysname] inspect url-filter warning parameter-profile c1

[Sysname-inspect-url-filter-warning-c1] reset warning-file

【相关命令】

·     import warning-file

1.1.46  secure-authentication enable

secure-authentication enable命令用开启安全传输登录邮件服务器密码功能。

undo secure-authentication enable命令用来关闭安全传输登录邮件服务器密码功能。

【命令】

secure-authentication enable

undo secure-authentication enable

【缺省情况】

安全传输登录邮件服务器密码功能处于关闭状态。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【使用指导】

开启此功能后，首先在设备与邮件服务器之间创建一条安全通道，再从此通道中传输登录邮件服务器的密码。

【举例】

# 开启安全传输登录邮件服务器密码功能。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] secure-authentication enable

【相关命令】

·     authentication enable

1.1.47  sender

sender命令用来配置发件人地址。

undo sender命令用来恢复缺省情况。

【命令】

sender address-string

undo sender

【缺省情况】

未配置发件人地址。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

address-string：表示发件人地址，为3～63个字符的字符串，区分大小写。

【使用指导】

发件人地址是指设备向目的地发送邮件时使用的源地址。

【举例】

# 配置发件人的地址为abc@123.com。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] sender abc@123.com

1.1.48  username

username命令用来配置登录邮件服务器的用户名。

undo username命令用来恢复缺省情况。

【命令】

username name-string

undo username

【缺省情况】

未配置登录邮件服务器的用户名。

【视图】

应用层检测引擎邮件动作参数profile视图

【缺省用户角色】

network-admin

【参数】

name-string：表示登录邮件服务器的用户名。为1～63个字符的字符串，区分大小写。

【使用指定】

在同一个邮件动作参数profile视图下，多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置登录邮件服务器的用户名为han。

<Sysname> system-view

[Sysname] inspect email parameter-profile c1

[Sysname-inspect-email-c1] username han

【相关命令】

·     authentication enable