16-安全配置指导

02-报文过滤配置

1 报文过滤

1.1 报文过滤简介

报文过滤是ACL最基本的应用。例如，将ACL规则应用到指定接口的入或出方向上，从而对该接口收到或发出的报文进行过滤。

1.2 报文过滤配置任务简介

报文过滤配置任务如下：

· 应用ACL进行报文过滤。请选择以下一项任务进行配置：

¡ 全局应用ACL进行报文过滤

¡ 在接口上应用ACL进行报文过滤

¡ 在User Profile中应用ACL进行报文过滤

· （可选）配置报文过滤日志信息或告警信息的生成与发送周期

· （可选）配置报文过滤的缺省动作

· （可选）配置报文过滤缺省动作统计功能

1.3 全局应用ACL进行报文过滤

1. 配置限制和指导

全局在一个方向上最多可应用32个ACL进行报文过滤。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 全局应用ACL进行报文过滤。

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情况下，未配置全局的报文过滤。

1.4 在接口上应用ACL进行报文过滤

1. 配置限制和指导

一个接口在一个方向上最多可应用32个ACL进行报文过滤。

开启报文过滤的持续生效功能后，会导致VLAN接口列表上应用ACL进行报文过滤失效。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 在接口上应用ACL进行报文过滤。

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound [ extension ] | outbound } [ hardware-count ] [ share-mode ]

缺省情况下，未配置接口的报文过滤。

1.5 在User Profile中应用ACL进行报文过滤

1. 配置限制和指导

在User Profile视图下同一个方向上，仅支持应用1个ACL进行报文过滤。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建User Profile，并进入User Profile视图。

user-profile profile-name

(3) 在User Profile中应用ACL进行报文过滤。

packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound }

缺省情况下，在User Profile中不对报文进行过滤。

1.6 配置报文过滤日志信息或告警信息的生成与发送周期

1. 功能简介

报文过滤日志或告警信息的生成与发送周期起始于报文过滤中ACL匹配数据流的第一个数据包，报文过滤日志或告警信息包括周期内被匹配的报文数量以及所使用的ACL规则。在一个周期内：

· 对于规则匹配数据流的第一个数据包，设备会立即生成报文过滤日志或告警信息；

· 对于规则匹配数据流的其他数据包，设备将在周期结束后生成报文过滤日志或告警信息。

设备生成的报文过滤日志将发送给信息中心，有关信息中心的详细介绍，请参见“设备管理配置指导”中的“信息中心”。

设备生成的告警信息将发送给SNMP，有关SNMP的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置报文过滤日志信息或告警信息的生成与发送周期。

acl { logging | trap } interval interval

缺省情况下，报文过滤日志信息或告警信息的生成与发送周期为0分钟，即不记录报文过滤的日志和告警信息。

1.7 配置报文过滤的缺省动作

1. 功能简介

系统缺省的报文过滤动作为Permit，即允许未匹配上ACL规则的报文通过。通过本配置可更改报文过滤的缺省动作为Deny，即禁止未匹配上ACL规则的报文通过。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置报文过滤的缺省动作为Deny。

packet-filter default deny

缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过。

1.8 配置报文过滤缺省动作统计功能

1. 功能简介

在接口上只有应用了ACL进行报文过滤，才允许使能报文过滤缺省动作统计功能。使能了报文过滤缺省动作统计功能之后，接口将对报文过滤缺省动作的执行次数进行统计。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 在接口上使能报文过滤缺省动作统计功能。

packet-filter default { inbound | outbound }

缺省情况下，报文过滤的缺省动作统计功能处于关闭状态。

1.9 报文过滤显示和维护

1.9.1 显示报文过滤运行状况

可在任意视图下执行以下命令：

· 显示报文过滤的应用情况。

display packet-filter { interface [ interface-type interface-number ] } [ inbound | outbound ]

· 显示报文过滤的详细应用情况。

display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ]

1.9.2 显示报文过滤统计信息

可在任意视图下执行以下命令：

· 显示报文过滤的统计信息。

display packet-filter statistics { interface interface-type interface-number } { inbound | outbound } [ default ] [ brief ]

· 显示报文过滤的累加统计信息。

display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac ] { acl-number | name acl-name } [ brief ]

1.9.3 清除报文过滤统计信息

请在用户视图下执行以下命令，清除报文过滤的统计信息。

reset packet-filter statistics { interface [ interface-type interface-number ] ] } { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ]

1.10 报文过滤典型配置举例

1.10.1 在接口上应用报文过滤的ACL配置举例

1. 组网需求

· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。

· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

2. 组网图

图1-1 报文过滤典型配置组网图

‌

3. 配置步骤

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<Device> system-view

[Device] time-range work 08:00 to 18:00 working-day

# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] quit

# 应用IPv4高级ACL 3000对接口GigabitEthernet1/0/1出方向上的报文进行过滤。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] packet-filter 3000 outbound

[Device-GigabitEthernet1/0/1] quit

4. 验证配置

配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：

# 在财务部的PC上检查到财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Ping statistics for 192.168.0.100:

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可见，财务部的PC能够在工作时间访问财务数据库服务器。

# 在市场部的PC上检查财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Request timed out.

Ping statistics for 192.168.0.100:

Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可见，市场部的PC不能在工作时间访问财务数据库服务器。

# 查看IPv4高级ACL 3000的配置和运行情况。

[Device] display acl 3000

Advanced IPv4 ACL 3000, 3 rules,

ACL's step is 5

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)

rule 10 deny ip destination 192.168.0.100 0

由此可见，由于目前是工作时间，因此规则5是生效的；且由于之前使用了ping命令的缘故，规则5和规则10分别被匹配了4次。

1.11 报文过滤典型配置举例

1.11.1 报文过滤基本组网配置举例

1. 组网需求

· 某公司通过AC实现无线用户同服务器之间的互连，该公司的工作时间为每周工作日的8点到18点。

· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

2. 组网图

图1-2 ACL典型配置组网图

3. 配置步骤

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<AC> system-view

[AC] time-range work 08:00 to 18:00 working-day

[AC] acl advanced 3000

[AC-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[AC-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[AC-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0

[AC-acl-ipv4-adv-3000] quit

# 应用IPv4高级ACL 3000对接口Vlan-interface100出方向上的报文进行过滤。

[AC] interface vlan-interface 100

[AC-Vlan-interface100] packet-filter 3000 outbound

[AC-Vlan-interface100] quit

4. 验证配置

配置完成后，在各部门的客户端（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在AC上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：

# 在财务部的客户端上检查到财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Ping statistics for 192.168.0.100:

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可见，财务部的客户端能够在工作时间访问财务数据库服务器。

# 在市场部的客户端上检查财务数据库服务器是否可达。

C:\> ping 192.168.0.100

Pinging 192.168.0.100 with 32 bytes of data:

Request timed out.

Ping statistics for 192.168.0.100:

Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可见，市场部的客户端不能在工作时间访问财务数据库服务器。

# 查看IPv4高级ACL 3000的配置和运行情况。

[AC] display acl 3000

Advanced IPv4 ACL 3000, 3 rules,

ACL's step is 5

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (4 times matched) (Active)

rule 10 deny ip destination 192.168.0.100 0 (4 times matched)

由此可见，由于目前是工作时间，因此规则5是生效的；且由于之前使用了ping命令的缘故，规则5和规则10分别被匹配了4次。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

百业灵犀

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

16-安全配置指导

目录

02-报文过滤配置

1.3 全局应用ACL进行报文过滤

1. 配置限制和指导

2. 配置步骤

1.4 在接口上应用ACL进行报文过滤

1. 配置限制和指导

2. 配置步骤

1.5 在User Profile中应用ACL进行报文过滤

1. 配置限制和指导

2. 配置步骤

1. 功能简介

2. 配置步骤

1. 功能简介

2. 配置步骤

1. 功能简介

2. 配置步骤

1.9 报文过滤显示和维护

1.10.1 在接口上应用报文过滤的ACL配置举例

1. 组网需求

2. 组网图

4. 验证配置

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

联系我们