目  录

1 报文过滤

1.1 报文过滤配置命令

1.1.1 display packet-filter

1.1.2 display packet-filter statistics

1.1.3 display packet-filter statistics sum

1.1.4 display packet-filter verbose

1.1.5 packet-filter

1.1.6 packet-filter filter

1.1.7 packet-filter global

1.1.8 reset packet-filter statistics

1 报文过滤

1.1  报文过滤配置命令

1.1.1  display packet-filter

display packet-filter命令用来显示ACL在报文过滤中的应用情况。

【命令】

display packet-filter { global | interface [ interface-type interface-number ] } [ inbound | outbound ][ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

interface [ interface-type interface-number ]：显示指定接口上ACL在报文过滤中的应用情况。interface-type interface-number表示接口类型和接口编号。若未指定接口类型和接口编号，将显示所有接口上ACL在报文过滤中的应用情况。

inbound：显示入方向上ACL在报文过滤中的应用情况。

outbound：显示出方向上ACL在报文过滤中的应用情况。

slot slot-number：指定设备编号，取值只能为1。

【使用指导】

如果未指定inbound和outbound参数，将同时显示出、入方向上ACL在报文过滤中的应用情况。

【举例】

# 显示接口Twenty-FiveGigE1/0/1入方向上ACL在报文过滤中的应用情况。

<Sysname> display packet-filter interface twenty-fivegige 1/0/1 inbound

Interface: Twenty-FiveGigE1/0/1

 Inbound policy:

  IPv4 ACL 2001

  IPv6 ACL 2002 (Failed)

  MAC ACL 4003

# 显示出、入方向上ACL在报文过滤中的全局应用情况。

<Sysname> display packet-filter global

Global:

 Inbound policy:

  IPv4 ACL 2001

  IPv6 ACL 2001

  MAC ACL 4001

  IPv4 default action: Deny (Failed)

  IPv6 default action: Deny (Failed)

  MAC default action: Deny

 Outbound policy:

  MAC ACL 4001

  MAC default action: Deny

表1-1 display packet-filter命令显示信息描述表

字段	描述
Interface	ACL在指定接口上的应用情况
Global	ACL的全局（即所有物理接口）应用情况
Inbound policy	ACL在入方向上的应用情况
Outbound policy	ACL在出方向上的应用情况
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv6 ACL 2002 (Failed)	IPv6基本ACL 2002应用失败
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit

‌

1.1.2  display packet-filter statistics

display packet-filter statistics命令用来显示ACL在报文过滤中应用的统计信息。

【命令】

display packet-filter statistics { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ] [ brief ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

global：显示全局（即所有物理接口）统计信息。

interface interface-type interface-number：显示指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。

inbound：显示入方向上的统计信息。

outbound：显示出方向上的统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

brief：显示简要统计信息。

【使用指导】

如果未指定任何可选参数，将显示全部ACL在报文过滤中应用的统计信息。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示接口Twenty-FiveGigE1/0/1入方向上全部ACL在报文过滤中应用的统计信息。

<Sysname> display packet-filter statistics interface twenty-fivegige 1/0/1 inbound

Interface: Twenty-FiveGigE1/0/1

 Inbound policy:

  IPv4 ACL 2001, Hardware-count

   From 2019-06-04 10:25:21 to 2019-06-04 10:35:57

   rule 0 permit source 2.2.2.2 0 (2 packets)

   rule 5 permit source 1.1.1.1 0 (Failed)

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

 

  IPv6 ACL 2000

 

  MAC ACL 4000

   rule 0 permit

 

 

表1-2 display packet-filter statistics命令显示信息描述表

字段	描述
Interface	在指定接口上应用的统计信息
Global	在全局（即所有物理接口）应用的统计信息
Inbound policy	在入方向上应用的统计信息
Outbound policy	在出方向上应用的统计信息
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv4 ACL 2002 (Failed)	IPv4基本ACL 2002应用失败
Hardware-count	规则匹配硬件统计功能应用成功
Hardware-count (Failed)	规则匹配硬件统计功能应用失败
From 2019-06-04 10:25:21 to 2019-06-04 10:35:57	硬件统计的起始和终止时间
2 packets	该规则匹配了2个包（当匹配的包个数为0时不显示本字段）
No resource	该规则对应的统计资源不足。在显示统计信息时，若该规则的统计资源不足，便会显示本字段
rule 5 permit source 1.1.1.1 0 (Failed)	规则5应用失败
Totally 2 packets permitted, 0 packets denied	该ACL允许和拒绝符合条件报文的个数
Totally 100% permitted, 0% denied	该ACL允许符合条件报文的通过率和拒绝符合条件报文的丢弃率
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
Totally 7 packets	报文过滤缺省动作的硬件统计功能执行次数

‌

【相关命令】

·     reset packet-filter statistics

1.1.3  display packet-filter statistics sum

display packet-filter statistics sum命令用来显示ACL在报文过滤中应用的累加统计信息。

【命令】

display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac ] { acl-number | name acl-name } [ brief ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

inbound：显示入方向上ACL在报文过滤中应用的累加统计信息。

outbound：显示出方向上ACL在报文过滤中应用的累加统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中应用的累加统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中应用的累加统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

brief：显示ACL在报文过滤中应用的简要累加统计信息。

【使用指导】

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示入方向上IPv4基本ACL 2001在报文过滤中应用的累加统计信息。

<Sysname> display packet-filter statistics sum inbound 2001

Sum:

 Inbound policy:

  IPv4 ACL 2001

   rule 0 permit source 2.2.2.2 0 (2 packets)

   rule 5 permit source 1.1.1.1 0

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

# 显示入方向上IPv4基本ACL 2000在报文过滤中应用的简要累加统计信息。

<Sysname> display packet-filter statistics sum inbound 2000 brief

Sum:

 Inbound policy:

  IPv4 ACL 2000

   Totally 2 packets permitted, 0 packets denied

   Totally 100% permitted, 0% denied

表1-3 display packet-filter statistics sum命令显示信息描述表

字段	描述
Sum	ACL在报文过滤中应用的累加统计信息
Inbound policy	ACL在入方向上应用的累加统计信息
Outbound policy	ACL在出方向上应用的累加统计信息
IPv4 ACL 2001	IPv4基本ACL 2001应用的累加统计信息
2 packets	该规则匹配了2个包（当匹配的包个数为0时不显示本字段）
Totally 2 packets permitted, 0 packets denied	该ACL允许和拒绝符合条件报文的个数
Totally 100% permitted, 0% denied	该ACL允许符合条件报文的通过率和拒绝符合条件报文的丢弃率

 

【相关命令】

·     reset packet-filter statistics

1.1.4  display packet-filter verbose

display packet-filter verbose命令用来显示ACL在报文过滤中的详细应用情况。

【命令】

display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ][ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

global：显示ACL在报文过滤中的全局（即所有物理接口）详细应用情况。

interface interface-type interface-number：显示指定接口上ACL在报文过滤中的详细应用情况。interface-type interface-number表示接口类型和接口编号。

inbound：显示入方向上ACL在报文过滤中的详细应用情况。

outbound：显示出方向上ACL在报文过滤中的详细应用情况。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：显示指定编号ACL在报文过滤中的详细应用情况。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：显示指定名称ACL在报文过滤中的详细应用情况。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

slot slot-number：指定设备编号，取值只能为1。

【使用指导】

若未指定acl-number、name acl-name和ACL类型（ipv6、mac）参数，将显示全部IPv4 ACL在报文过滤中的详细应用情况。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示接口Twenty-FiveGigE1/0/1入方向上全部ACL在报文过滤中的详细应用情况。

<Sysname> display packet-filter verbose interface twenty-fivegige 1/0/1 inbound

Interface: Twenty-FiveGigE1/0/1

 Inbound policy:

  IPv4 ACL 2001

   rule 0 permit

   rule 5 permit source 1.1.1.1 0 (Failed)

 

  IPv6 ACL 2000

   rule 0 permit

 

  MAC ACL 4000

 

  IPv4 default action: Deny

 

  IPv6 default action: Deny

 

  MAC default action: Deny

# 显示入方向上全部ACL在报文过滤中的全局详细应用情况。

<Sysname> display packet-filter verbose global inbound

Global:

 Inbound policy:

  IPv4 ACL 2001

   rule 0 permit

   rule 5 permit source 1.1.1.1 0 (Failed)

 

  IPv4 ACL 2002 (Failed)

 

  IPv6 ACL 2000, Hardware-count

 

  MAC ACL 4000, Hardware-count

   rule 0 permit

 

  IPv4 default action: Deny

 

  IPv6 default action: Deny

 

  MAC default action: Deny

表1-4 display packet-filter verbose命令显示信息描述表

字段	描述
Interface	ACL在指定接口上的详细应用情况
Global	ACL的全局（即所有物理接口）详细应用情况
Inbound policy	ACL在入方向上的详细应用情况
Outbound policy	ACL在出方向上的详细应用情况
IPv4 ACL 2001	IPv4基本ACL 2001应用成功
IPv4 ACL 2002 (Failed)	IPv4基本ACL 2002应用失败
Hardware-count	规则匹配硬件统计功能应用成功
Hardware-count (Failed)	规则匹配硬件统计功能应用失败
rule 5 permit source 1.1.1.1 0 (Failed)	规则5应用失败
IPv4 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
IPv6 default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit
MAC default action	报文过滤的缺省动作，包括： ·     Deny：报文过滤缺省动作为Deny应用成功 ·     Deny (Failed)：报文过滤缺省动作为Deny应用失败，实际动作仍为Permit ·     Permit：报文过滤缺省动作为Permit

‌

1.1.5  packet-filter

packet-filter命令用来在接口上应用ACL进行报文过滤。

undo packet-filter命令用来取消在接口上应用ACL进行报文过滤。

【命令】

packet-filter [ ipv6 | mac  ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ] [ share-mode ]

undo packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound }

【缺省情况】

接口不对报文进行过滤。

【视图】

接口视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：指定ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

inbound：对收到的报文进行过滤。

outbound：对发出的报文进行过滤。

hardware-count：表示开启规则匹配硬件统计功能，缺省为关闭。

share-mode：对二层以太网接口和三层以太网入接口应用ACL配置共享QoS和ACL资源模式的报文过滤。该模式下，设备接口入方向所有应用了相同ACL进行报文过滤的接口共享一份QoS和ACL资源。

【使用指导】

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

引用ACL时，需要注意：若引用的ACL不存在，或者引用的ACL中没有配置规则，则表示不引用ACL进行报文过滤。

本命令中的hardware-count关键字用于开启指定ACL内所有规则的规则匹配硬件统计功能，而rule命令中的counting关键字则用于开启当前规则的匹配统计功能。

如果设备资源不足，必须先执行undo packet-filter命令取消报文过滤，然后再配置不携带hardware-count关键字的报文过滤，以此关闭扩展应用或规则匹配硬件统计功能。

如果设备资源充足，可通过不携带hardware-count关键字重新配置报文过滤，以此关闭扩展应用或规则匹配硬件统计功能。

【举例】

# 应用IPv4基本ACL 2001对接口Twenty-FiveGigE1/0/1收到的报文进行过滤，并开启规则匹配硬件统计功能。

<Sysname> system-view

[Sysname] interface twenty-fivegige 1/0/1

[Sysname-Twenty-FiveGigE1/0/1] packet-filter 2001 inbound hardware-count

【相关命令】

·     display packet-filter

·     display packet-filter statistics

·     display packet-filter verbose

1.1.6  packet-filter filter

packet-filter filter命令用来配置报文过滤在VLAN接口的生效范围。

undo packet-filter filter命令用来恢复默认情况。

【命令】

packet-filter filter [ route | all ]

undo packet-filter filter

【缺省情况】

报文过滤对通过VLAN接口进行三层转发的报文生效。

【视图】

VLAN接口视图

【缺省用户角色】

network-admin

【参数】

route：表示报文过滤仅对通过VLAN接口进行三层转发的报文生效。

all：表示报文过滤对所有报文（包括通过VLAN接口进行三层转发的报文和通过VLAN接口对应的物理接口进行二层转发的报文）均生效。

【举例】

# 配置VLAN接口2上的报文过滤方式为route，即报文过滤仅对通过VLAN接口2进行三层转发的报文生效。

<Sysname> system-view

[Sysname] interface vlan-interface 2

[Sysname-Vlan-interface2] packet-filter filter route

1.1.7  packet-filter global

packet-filter global命令用来全局应用ACL进行报文过滤。

undo packet-filter global命令用来取消全局应用ACL进行报文过滤。

【命令】

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

undo packet-filter [ ipv6 | mac ] { acl-number | name acl-name } global { inbound | outbound }

【缺省情况】

全局不对报文进行过滤。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：指定ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

global：表示全局（即所有物理接口）配置。

inbound：对收到的报文进行过滤。

outbound：对发出的报文进行过滤。

hardware-count：表示开启规则匹配硬件统计功能，缺省为关闭。

【使用指导】

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

引用ACL时，需要注意：若引用的ACL不存在，或者引用的ACL中没有配置规则，则表示不引用ACL进行报文过滤。

hardware-count关键字用于开启指定ACL内所有规则的规则匹配硬件统计功能，而rule命令中的counting关键字则用于开启当前规则的匹配统计功能。

如果设备资源不足，必须先执行undo packet-filter命令取消报文过滤，然后再配置不携带hardware-count关键字的报文过滤，以此关闭规则匹配硬件统计功能。

如果设备资源充足，可通过不携带hardware-count关键字重新配置报文过滤，以此关闭规则匹配硬件统计功能。

【举例】

# 全局应用IPv4基本ACL 2001对收到的报文进行过滤，并开启规则匹配硬件统计功能。

<Sysname> system-view

[Sysname] packet-filter 2001 global inbound hardware-count

【相关命令】

·     display packet-filter

·     display packet-filter statistics

·     display packet-filter verbose

1.1.8  reset packet-filter statistics

reset packet-filter statistics命令用来清除ACL在报文过滤中应用的统计信息。

【命令】

reset packet-filter statistics { global | interface [ interface-type interface-number ] } { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ]

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

global：清除全局（即所有物理接口）统计信息。

interface [ interface-type interface-number ]：清除指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。若未指定接口类型和接口编号，将清除所有接口上的统计信息。

inbound：清除入方向上的统计信息。

outbound：清除出方向上的统计信息。

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

acl-number：清除指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：

·     2000～2999：表示基本ACL。

·     3000～3999：表示高级ACL。

·     4000～4999：表示二层ACL。

name acl-name：清除指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

如果未指定acl-number、name acl-name和ACL类型（ipv6、mac）参数，将清除全部ACL在报文过滤中应用的统计信息。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 清除在接口Twenty-FiveGigE1/0/1入方向上IPv4基本ACL 2001在报文过滤中应用的统计信息。

<Sysname> reset packet-filter statistics interface twenty-fivegige 1/0/1 inbound 2001

【相关命令】

·     display packet-filter statistics

·     display packet-filter statistics sum