目  录

1 应用层检测引擎

1.1 应用层检测引擎配置命令

1.1.1 display inspect smb-breakpoint-resume table

1.1.2 display inspect status

1.1.3 inspect activate

1.1.4 inspect auto-bypass

1.1.5 inspect block-source parameter-profile

1.1.6 inspect bypass

1.1.7 inspect bypass protocol

1.1.8 inspect cache-option maximum

1.1.9 inspect coverage

1.1.10 inspect cpu-threshold disable

1.1.11 inspect file-fixed-length

1.1.12 inspect file-fixed-length enable

1.1.13 inspect ips log-details enable

1.1.14 inspect log-details max-size

1.1.15 inspect log-statistics-report

1.1.16 inspect md5-fixed-length

1.1.17 inspect md5-fixed-length enable

1.1.18 inspect optimization disable

1.1.19 inspect packet maximum

1.1.20 inspect rbm port

1.1.21 inspect record-filename nfs maximum

1.1.22 inspect signature auto-update source

1.1.23 inspect signature auto-update vpn-instance

1.1.24 inspect signature version-report

1.1.25 inspect smb-reassemble enable

1.1.26 inspect source-port-identify enable

1.1.27 inspect stream-fixed-length

1.1.28 inspect stream-fixed-length disable

1.1.29 inspect tcp-reassemble enable

1.1.30 inspect tcp-reassemble max-segment

1.1.31 inspect transparent enable

1.1.32 inspect uncompress maximum

1.1.33 inspect waf http-log-details enable

1.1.34 reset inspect smb-breakpoint-resume table

 

1 应用层检测引擎

 

1.1  应用层检测引擎配置命令

1.1.1  display inspect smb-breakpoint-resume table

display inspect smb-breakpoint-resume table命令用来显示SMB协议断点续传表的信息。

【命令】

display inspect smb-breakpoint-resume table { ipv4 | ipv6 }

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

【使用指导】

SMB协议具有断点续传的功能，即当文件在传输过程中被阻断时，后续文件可能会通过创建新会话的方式继续传输。当SMB协议传输的文件在经过DPI业务（如文件过滤）处理后，最终被执行了丢弃、源阻断、重定向或重置动作时，设备会创建SMB协议断点续传表，记录报文的源IP、目的IP、源VRF、目的VRF以及文件名称等。当设备接收到SMB协议的续传文件时，会将续传文件信息与断点续传表进行匹配，如果匹配成功，则对续传文件继续执行上一次的动作。保证文件可以被成功阻断或执行其他操作。

管理员可通过本命令查看SMB协议断点续传表的信息，便于对被执行了丢弃等动作的文件的信息进行分析。

【举例】

# 显示SMB协议断点续传表的信息。

<Sysname> display inspect smb-breakpoint-resume table ipv4

Slot 1:

Smb-breakpoint-resume table information:

Source IP: 1.1.1.1

Destination IP: 2.2.2.2

Source VRF: public

Destination VRF: public

MDC ID: 1

File name: test.txt

表1-1 display inspect smb-breakpoint-resume table命令显示信息描述表

字段	描述
Source IP	源IP
Destination IP	目的IP
Source VRF	源VRF，如果属于公网则显示为public
Destination VRF	目的VRF，如果属于公网则显示为public
MDC ID	MDC ID
File name	文件名称

 

【相关命令】

·     reset inspect smb-breakpoint-resume table

1.1.2  display inspect status

display inspect status命令用来显示应用层检测引擎的工作状态。

【命令】

display inspect status

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【举例】

# 显示应用层检测引擎的运行状态。

<Sysname> display inspect status

Chassis 0 Slot 1:

 Running status: Normal

表1-2 display inspect status命令显示信息描述表

字段	描述
Running status	应用层检测引擎的运行状态，包括如下取值： ·     DPI administratively disabled：管理员手工关闭了应用层检测引擎 ·     DPI auto-bypass for protocol xxx：应用层检测引擎自动关闭了对XXX协议报文的检测功能 ·     DPI disabled due to high CPU usage：因为CPU使用率过高导致应用层检测引擎被关闭 ·     Normal：应用层检测引擎处于正常工作状态
Usage threshold has already been reached for the following CPU cores: xxx	CPU核XXX已超过利用率阈值门限，应用层检测引擎不再使用该CPU核处理业务 仅当出现CPU核超过利用率阈值门限的情况下才会出现此字段

 

【相关命令】

·     monitor cpu-usage threshold core（基础配置命令参考/设备管理）

1.1.3  inspect activate

inspect activate命令用来激活DPI各业务模块的策略和规则配置。

【命令】

inspect activate

【缺省情况】

DPI各业务模块的策略和规则被创建、修改和删除后会自动激活。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

 

缺省情况下，当任意一个DPI业务模块（比如NBAR业务）发生配置变更时（即策略或规则被创建、修改和删除），系统将会检测在20秒的间隔时间内是否再次发生了配置变更，并根据判断结果执行如下操作：

·     如果间隔时间内未发生任何配置变更，则系统将在下一个间隔时间结束时执行一次激活操作，使这些策略和规则的配置生效。

·     如果间隔时间内再次发生了配置变更，则系统将继续按照间隔时间周期性地检测是否发生配置变更。

如果希望对发生变化的业务的策略或规则立即进行激活，可执行inspect activate命令手工激活。

【举例】

# 激活DPI各业务模块的策略和规则配置。

<Sysname> system-view

[Sysname] inspect activate

1.1.4  inspect auto-bypass

inspect auto-bypass enable命令用来开启应用层检测引擎自动关闭对指定协议报文的检测功能。

undo inspect auto-bypass enable命令用来关闭应用层检测引擎自动关闭对指定协议报文的检测功能。

【命令】

inspect auto-bypass enable

undo inspect auto-bypass enable

【缺省情况】

应用层检测引擎自动关闭指定协议报文的检测功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

开启本功能后，如果应用层检测引擎对某个协议报文的检测导致设备出现异常并重启的情况时，则当系统重启后，应用层检测引擎将自动关闭对该协议报文的检测功能，跳过对此协议报文的处理。

【举例】

# 开启应用层检测引擎自动关闭对指定协议报文的检测功能。

<Sysname> system-view

[Sysname] inspect auto-bypass enable

This feature might cause some functions of the DPI engine to be unavailable. Continue? [Y/N]:y

1.1.5  inspect block-source parameter-profile

inspect block-source parameter-profile命令用来创建应用层检测引擎的源阻断动作参数profile，并进入源阻断动作参数profile视图。如果指定的源阻断动作参数profile已经存在，则直接进入源阻断动作参数profile视图。

undo inspect block-source parameter-profile命令用来删除应用层检测引擎的源阻断动作参数profile。

【命令】

inspect block-source parameter-profile parameter-name

undo inspect block-source parameter-profile parameter-name

【缺省情况】

不存在源阻断动作参数profile。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

parameter-name：表示源阻断动作参数profile的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

进入源阻断动作参数profile视图后，可以配置对报文执行源阻断动作时采用的特定参数，比如阻断时长。

【举例】

# 创建名称为b1的应用层检测引擎源阻断动作参数profile，并进入源阻断动作参数profile视图。

<Sysname> system-view

[Sysname] inspect block-source parameter-profile b1

[Sysname-inspect-block-source-b1]

【相关命令】

·     block-period

1.1.6  inspect bypass

inspect bypass命令用来关闭应用层检测引擎功能。

undo inspect bypass命令用来开启应用层检测引擎功能。

【命令】

inspect bypass

undo inspect bypass

【缺省情况】

应用层检测引擎功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

 

应用层检测引擎对报文的检测是一个复杂且会占用一定的系统资源的过程。开启应用层检测功能后，如果出现CPU使用率过高等情况时，可以通过关闭此功能来保证设备的正常运行。

【举例】

# 关闭应用层检测引擎功能。

<Sysname> system-view

[Sysname] inspect bypass

【相关命令】

·     display inspect status

1.1.7  inspect bypass protocol

inspect bypass protocol命令用来手工关闭应用层检测引擎对指定协议报文的检测功能。

undo inspect bypass protocol命令用来手工开启应用层检测引擎对指定协议报文的检测功能。

【命令】

inspect bypass protocol { dns | ftp | ftp-data | http | https | ibm-db2 | imap | mongodb-protocol | ms-sql-s | mysql-protocol | nfs | pop3 | postgresql-protocol | quic | rtmp | sip | smb | smtp | sqlnet | telnet | tftp } *

undo inspect bypass protocol [ dns | ftp | ftp-data | http | https | ibm-db2 | imap | mongodb-protocol | ms-sql-s | mysql-protocol | nfs | pop3 | postgresql-protocol | quic | rtmp | sip | smb | smtp | sqlnet | telnet | tftp ] *

【缺省情况】

应用层检测引擎对所有支持的协议都进行检测。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

dns：表示关闭应用层检测引擎对DNS协议报文的检测功能。

ftp：表示关闭应用层检测引擎对FTP协议报文的检测功能。

ftp-data：表示关闭应用层检测引擎对FTP-DATA协议报文的检测功能。

http：表示关闭应用层检测引擎对HTTP协议报文的检测功能。

https：表示关闭应用层检测引擎对HTTPS协议报文的检测功能。

ibm-db2：表示关闭应用层检测引擎对IBM DB2协议报文的检测功能。

imap：表示关闭应用层检测引擎对IMAP协议报文的检测功能。

mongodb-protocol：表示关闭应用层检测引擎对MongoDB协议报文的检测功能。

ms-sql-s：表示关闭应用层检测引擎对Microsoft SQL Server协议报文的检测功能。

mysql-protocol：表示关闭应用层检测引擎对MySQL协议报文的检测功能。

nfs：表示关闭应用层检测引擎对NFS协议报文的检测功能。

pop3：表示关闭应用层检测引擎对POP3协议报文的检测功能。

postgresql-protocol：表示关闭应用层检测引擎对PostgreSQL协议报文的检测功能。

quic：表示关闭应用层检测引擎对QUIC协议报文的检测功能。

rtmp：表示关闭应用层检测引擎对RTMP协议报文的检测功能。

sip：表示关闭应用层检测引擎对SIP协议报文的检测功能。

smb：表示关闭应用层检测引擎对SMB协议报文的检测功能。

smtp：表示关闭应用层检测引擎对SMTP协议报文的检测功能。

sqlnet：表示关闭应用层检测引擎对SQLNet协议报文的检测功能。

telnet：表示关闭应用层检测引擎对TELNET协议报文的检测功能。

tftp：表示关闭应用层检测引擎对TFTP协议报文的检测功能。

【使用指导】

执行undo inspect bypass protocol命令时，如果不指定任何参数，则表示开启应用层检测引擎对所有协议报文的检测功能。

建议在如下场景中配置本命令关闭应用层检测引擎对指定协议报文的检测功能：

·     当组网环境中不需要对某些协议的报文进行检测时，可以关闭应用层检测引擎对该协议报文的检测，以减少对设备资源的占用，提升设备性能。

·     当应用层检测引擎对某个协议报文的检测导致设备出现异常并重启的情况时，可单独关闭引擎对该协议报文的检测功能，规避由检测该协议报文带来的问题，同时又不影响引擎对其他协议报文的检测。

【举例】

# 手工关闭应用层检测引擎对HTTP协议报文的检测功能。

<Sysname> system-view

[Sysname] inspect bypass protocol http

This feature might cause the DPI engine to be unavailable for the specified protocols. Continue? [Y/N]:y

【相关命令】

·     display inspect status

1.1.8  inspect cache-option maximum

inspect cache-option maximum命令用来配置应用层检测引擎缓存待检测规则的选项的最大数目。

undo cache-option命令用来恢复缺省情况。

【命令】

inspect cache-option maximum max-number

undo inspect cache-option

【缺省情况】

应用层检测引擎缓存待检测规则的选项的最大数目为32。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎在检测报文时，对每条TCP/UDP流缓存待检测规则的选项的最大数目，取值范围为1～254。

【使用指导】

应用层检测引擎中的检测规则是由各个DPI业务模块中的规则或特征转换而成。一个检测规则可以对应多个关键字，每个关键字可对应多个选项。仅当关键字和选项全部匹配，该检测规则才能匹配成功。

当应用层检测引擎在检测一条TCP/UDP数据流时，首先匹配上了一个关键字，此时还不能确定检测规则是否匹配成功，还需要对该关键字所对应的所有选项进行匹配。若当前报文不能匹配到某个选项，则需要将该选项缓存，以便后续报文与之匹配；若选项成功匹配，则不进行缓存，继续匹配下一个选项。直到所有选项均成功匹配，数据流才能与该检测规则成功匹配。

通常，使用缺省配置即可满足用户需求。但是在某些场景中，为了提高应用层检测引擎对TCP/UDP数据流应用或行为的识别能力和准确率，需要将应用层检测引擎当前缓存待检测选项的最大数调高，调高后，每条数据流占用的内存可能会上升。同理某些场景下，设备内存使用率偏高，可以调低此参数，提高设备性能，以保证基础的数据转发正常进行。

【举例】

# 配置应用层检测引擎缓存待检测规则的选项的最大数目为4。

<Sysname> system-view

[Sysname] inspect cache-option maximum 4

1.1.9  inspect coverage

inspect coverage命令用来配置应用层检测引擎检测率模式。

undo inspect coverage命令用来恢复缺省情况。

【命令】

inspect coverage { balanced | large-coverage | high-performance | user-defined }

undo inspect coverage

【缺省情况】

应用层检测引擎检测率模式为平衡模式。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

balanced：表示平衡模式。该模式下，设备会在性能和检测率之间进行调整，以达到平衡状态。

large-coverage：表示高检测率模式。该模式下，设备会适当的牺牲性能，以达到最佳的引擎检测率。

high-performance：表示最佳性能模式。该模式下，设备会适当降低引擎检测率，以保证最佳性能。

user-defined：表示自定义模式。该模式下，用户可以根据需求调整应用层检测引擎的检测长度。

【使用指导】

为了适应不同场景下对设备性能和检测率的不同需求，应用层检测引擎支持如下几种选项供选择：

·     balanced：适用于大多数场景，设备在性能和检测率之间可以达到平衡状态。此模式下，应用层检测引擎对FTP协议、HTTP协议、HTTPS协议、SMB协议、NFS协议、QUIC协议和与E-mail相关协议数据流的最大检测长度均为32千字节；MD5最大检测长度为2048千字节。

·     large-coverage：适用于对检测率要求较高的场景，设备将提升检测率，但同时会对性能产生一定影响。此模式下，应用层检测引擎对FTP协议、HTTP协议、HTTPS协议、SMB协议、NFS协议、QUIC协议和与E-mail相关协议数据流的最大检测长度均为128千字节；MD5最大检测长度为5120千字节。

·     high-performance：适用于对设备性能要求较高的场景，设备可在保证一定检测率的前提下，提升性能。此模式下，应用层检测引擎对FTP协议、HTTP协议、HTTPS协议、SMB协议、NFS协议、QUIC协议和与E-mail相关协议数据流的最大检测长度均为32千字节；MD5最大检测长度为32千字节。

·     user-defined：适用于对检测率和性能有精确要求的场景。此模式下，可以自定义应用层检测引擎对各协议数据流的最大检测长度（通过inspect stream-fixed-length命令配置）和MD5最大检测长度（通过inspect md5-fixed-length命令配置）。

【举例】

# 配置应用层检测引擎检测率模式为自定义模式。

<Sysname> system-view

[Sysname] inspect coverage user-defined

【相关命令】

·     inspect stream-fixed-length enable

1.1.10  inspect cpu-threshold disable

inspect cpu-threshold disable命令用来关闭CPU门限响应功能。

undo inspect cpu-threshold disable命令用来开启CPU门限响应功能。

【命令】

inspect cpu-threshold disable

undo inspect cpu-threshold disable

【缺省情况】

CPU门限响应功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

应用层检测引擎对报文的检测是一个比较复杂且会占用一定系统资源的过程。当设备的CPU利用率较高时，应用层检测引擎CPU门限响应功能会启动如下机制来缓解系统资源紧张的问题。

·     当CPU利用率达到设备上配置的CPU利用率阈值时，系统会自动关闭应用层检测引擎的检测功能来保证设备的正常运行。

·     当设备的CPU利用率恢复到或低于设备上配置的CPU利用率恢复阈值时，系统会恢复应用层检测引擎的检测功能。

在系统CPU占用率较高的情况下，不建议用户配置此命令。

【举例】

# 关闭CPU门限响应功能。

<Sysname> system-view

[Sysname] inspect cpu-threshold disable

【相关命令】

·     display inspect status

·     inspect bypass

·     inspect stream-fixed-length disable

1.1.11  inspect file-fixed-length

inspect file-fixed-length命令用来配置应用层检测引擎检测文件的固定长度。

undo inspect file-fixed-length命令用来恢复缺省情况。

【命令】

inspect file-fixed-length { email | ftp | http | nfs | smb } * length-value

undo inspect file-fixed-length

【缺省情况】

应用层检测引擎对基于FTP协议、HTTP协议、NFS协议、SMB协议和与E-mail相关协议传输的文件固定检测长度均为64千字节。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

email：表示配置基于E-mail相关协议传输的文件的固定检测长度，支持的E-mail协议包括SMTP、POP3和IMAP。

ftp：表示配置基于FTP协议传输的文件的固定检测长度。

http：表示配置基于HTTP协议传输的文件的固定检测长度。

nfs：表示配置基于NFS协议传输的文件的固定检测长度。

smb：表示配置基于SMB协议传输的文件的固定检测长度。

length-value：文件的固定检测长度，取值范围为1～2048，单位为KB。

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

由于病毒特征一般都位于文件的前半部分，可配置文件的固定检测长度，对超过长度的文件内容不再进行检测，从而提高设备的检测效率。

如果一条数据流中包含多个文件，则每个文件均仅检测配置的固定长度内的内容。

由于文件在数据流中传输，所以配置的文件固定检测长度必须小于等于数据流固定检测长度（通过inspect stream-fixed-length命令配置）。

【举例】

# 配置应用层检测引擎检测基于HTTP协议传输的文件的固定检测长度为128KB。

<Sysname> system-view

[Sysname] inspect file-fixed-length http 128

【相关命令】

·     inspect coverage user-defined

·     inspect file-fixed-length enable

·     inspect stream-fixed-length

1.1.12  inspect file-fixed-length enable

inspect file-fixed-length enable命令用来开启应用层检测引擎检测固定长度文件功能。

undo inspect file-fixed-length enable命令用来关闭应用层检测引擎检测固定长度文件功能。

【命令】

inspect file-fixed-length enable

undo inspect file-fixed-length enable

【缺省情况】

应用层检测引擎检测固定长度文件功能处于关闭状态，不对文件检测长度进行限制。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本功能用于限制应用层检测引擎只检测每条数据流中固定长度内的文件内容，超出固定长度后的文件内容不再检测。

【举例】

# 开启应用层检测引擎检测固定长度文件功能。

<Sysname> system-view

[Sysname] inspect file-fixed-length enable

【相关命令】

·     inspect coverage user-defined

·     inspect file-fixed-length

1.1.13  inspect ips log-details enable

inspect ips log-details enable命令用来开启IPS日志记录报文详情功能。

undo inspect ips log-details enable命令用来关闭IPS日志记录报文详情功能。

【命令】

inspect ips log-details enable

undo inspect ips log-details enable

【缺省情况】

IPS日志记录报文详情功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

开启本功能后，设备将缓存报文的详情信息，并记录在IPS日志中，方便用户了解报文详情。例如，对于HTTP报文，当响应报文中检测到攻击特征时，IPS日志中将记录其请求报文的HOST字段，以及响应报文的响应行信息，包括状态码、状态信息等。

开启本功能后，会占用系统的缓存资源，建议仅在关心报文的详细信息的情况下开启此功能。

【举例】

# 开启IPS日志记录报文详情功能。

<Sysname> system-view

[Sysname] inspect ips log-details enable

1.1.14  inspect log-details max-size

inspect log-details max-size命令用来配置内存中可缓存的IPS日志报文详情字段的存储空间上限值。

undo inspect log-details max-size命令用来恢复缺省情况。

【命令】

inspect log-details max-size max-size-value

undo inspect log-details max-size

【缺省情况】

内存中可缓存的IPS日志报文详情字段的存储空间上限值由设备实际内存计算得出。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-size-value：指定内存中可缓存的IPS日志报文详情字段的存储空间上限值，取值范围为1～524288，单位为MB。

【使用指导】

工作机制

开启IPS日志记录报文详情功能后（通过inspect ips log-details enable命令配置），设备会使用内存来缓存报文中的HOST、URI等字段。当组网环境中存在大量HTTP报文时，可能会消耗大量的设备内存，导致设备整机的并发性能下降。此时，可通过调整内存中可缓存的IPS日志报文详情字段的存储空间上限值来控制对内存的占用。调低上限值，可降低对内存的消耗，但有些IPS日志中可能无法正常显示报文详情字段；调高此参数，可能会提升IPS日志显示报文详情字段的成功率，但同时会降低设备的并发性能。请管理员根据实际需求进行调整。

注意事项

【举例】

# 内存中可缓存的IPS日志报文详情字段的存储空间上限值为524288MB。

<Sysname> system-view

[Sysname] inspect log-details max-size 524288

【相关命令】

·     inspect ips log-details enable

1.1.15  inspect log-statistics-report

inspect log-statistics-report命令用来配置日志统计信息的上报地址。

undo inspect log-statistics-report命令用来删除日志统计信息的上报地址。

【命令】

inspect log-statistics-report { ip-address ip-address | ipv6-address ipv6-address } port port uri uri [ vpn-instance vpn-instance-name ] kafka-server kafka-server

undo inspect log-statistics-report { ip-address ip-address | ipv6-address ipv6-address } port port uri uri [ vpn-instance vpn-instance-name ] kafka-server kafka-server

【缺省情况】

未配置日志统计信息的上报地址。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip-address ip-address：表示上送日志统计信息的目的IPv4地址

ipv6-address ipv6-address：表示上送日志统计信息的目的IPv6地址

port port：表示上送日志统计信息的目的端口号，范围为1～65535。

uri uri：表示上送日志统计信息的URI，为1～127个字符的字符串，不区分大小写，以“/”开头。

vpn-instance vpn-instance-name：表示日志统计信息的上报地址所属的VPN实例名称，为1～31个字符的字符串，区分大小写。

kafka-server kafka-server：表示KAFKA服务器集群中服务器的主机名，为1～15个字符的字符串，区分大小写，只允许输入数字、字母或者下划线。

【使用指导】

本功能用于安全威胁发现与运营管理平台监控设备与KAFKA服务器集群间的日志发送情况。配置本命令后，设备会将上一个小时内发送给KAFKA服务器集群的IPS日志的总数以及设备产生的所有IPS日志的总数等统计信息发送到指定的安全威胁发现与运营管理平台地址。

多次执行本命令，可以配置多个安全威胁发现与运营管理平台地址，其中IPv4和IPv6地址最大配置条数分别为4条。

【举例】

# 配置日志统计信息的上报地址为192.12.26.118、端口号为8080、URI为/aabbcc、KAFKA服务器集群名称为aaa、上报地址所属VPN实例名称为bbb。

<Sysname> system-view

[Sysname] inspect log-statistics-report ip-address 192.12.26.118 port 8080 uri /aabbcc vpn-instance bbb kafka-server aaa

1.1.16  inspect md5-fixed-length

inspect md5-fixed-length命令用来配置应用层检测引擎MD5固定检测长度。

undo inspect md5-fixed-length命令用来恢复缺省情况。

【命令】

inspect md5-fixed-length { email | ftp | http | nfs | smb } * length

undo inspect md5-fixed-length

【缺省情况】

应用层检测引擎对FTP协议、HTTP协议、SMB协议、NFS协议和与E-mail相关协议数据流中文件的MD5固定检测长度均为2048千字节。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

email：表示E-mail相关协议，支持的E-mail协议包括SMTP、POP3和IMAP。

ftp：表示FTP协议。

http：表示HTTP协议。

nfs：表示NFS协议。

smb：表示SMB协议。

length：表示指定协议类型的数据流中文件MD5最大检测长度。取值范围为1～5120，单位为千字节。MD5固定检测长度必须大于数据流的固定检测长度。

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

对于一些DPI业务，应用层检测引擎对报文的特征检测和MD5检测是同时进行的，当引擎检测的报文长度达到固定数据流检测长度后，将不再进行特征检测，但MD5检测仍然会进行，直到达到MD5固定检测长度时才会停止。

调高此参数后，设备性能会略微下降，但是MD5检测的成功率会提高；调低此参数后，设备性能会提升，但是MD5检测的成功率会降低。

【举例】

# 配置应用层检测引擎对FTP协议的MD5固定检测长度为1024千字节、HTTP协议为512千字节。

<Sysname> system-view

[Sysname] inspect md5-fixed-length ftp 1024 http 512

【相关命令】

·     inspect coverage user-defined

·     inspect md5-fixed-length enable

1.1.17  inspect md5-fixed-length enable

inspect md5-fixed-length enable命令用来开启应用层检测引擎MD5固定检测长度功能。

undo inspect md5-fixed-length enable命令用来关闭应用层检测引擎MD5固定检测长度功能。

【命令】

inspect md5-fixed-length enable

undo inspect md5-fixed-length enable

【缺省情况】

应用层检测引擎MD5固定检测长度功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

本功能用于限制应用层检测引擎对数据流中每个文件MD5的最大检测长度。当引擎检测的文件长度达到配置的值时，将停止计算该文件的MD5值。

【举例】

# 关闭应用层检测引擎MD5固定检测长度功能。

<Sysname> system-view

[Sysname] undo inspect md5-fixed-length enable

【相关命令】

·     inspect coverage user-defined

·     inspect md5-fixed-length

1.1.18  inspect optimization disable

inspect optimization disable命令用来关闭指定的应用层检测引擎的优化调试功能。

undo inspect optimization disable命令用来开启指定的应用层检测引擎的优化调试功能。

【命令】

inspect optimization [ chunk | no-acsignature | raw | uncompress | url-normalization ] disable

undo inspect optimization [ chunk | no-acsignature | raw | uncompress | url-normalization ] disable

【缺省情况】

应用层检测引擎的所有优化调试功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

chunk：表示应用层检测引擎对Chunk格式报文进行解码的优化调试功能。

no-acsignature：表示应用层检测引擎对没有关键字检测规则进行检测的优化调试功能。

raw：表示应用层检测引擎对未经解码TCP/UDP的应用层载荷字段进行检测的优化调试功能。

uncompress：表示应用层检测引擎对HTTP Body字段进行解压缩的优化调试功能。

url-normalization：表示应用层检测引擎对HTTP URL字段进行正规化校准的优化调试功能。

【使用指导】

如果不指定任何参数，则表示关闭或开启应用层检测引擎的所有优化调试功能。

有关应用层检测引擎的各种优化调试功能的详细介绍如下：

·     应用层检测引擎对Chunk格式报文进行解码的优化调试功能：Chunk是HTTP协议载荷(Body)的一种传输方式，对于以Chunk方式传输的HTTP协议的载荷，需要先对其进行解码以获取真正的载荷内容。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，关闭应用层检测引擎解码Chunk格式报文的功能，可以提高设备的吞吐量。但是配置关闭应用层检测引擎解码Chunk格式报文的功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

·     应用层检测引擎对没有关键字检测规则进行检测的优化调试功能：没有关键字的检测规则是指此规则不是基于字符串匹配进行检测，而是基于报文的端口号、错误码等字段进行检测。缺省情况下应用层检测引擎对没有关键字的检测规则进行检测，但是在某些场景下，如果设备的吞吐量较差，不能满足客户基本的通信需求，此时可以配置应用层检测引擎对没有关键字的检测规则不进行检测，以提高设备的性能，保证用户最基础的网络通信。

·     应用层检测引擎对未经解码TCP/UDP的应用层载荷字段进行检测的优化调试功能：有些TCP/UDP数据流的应用层协议（例如HTTP、SMTP、POP3、IMAP4）涉及编码和解码处理，而对该类数据流的应用层内容的检测需要在对报文载荷进行解码之后进行。如果当前设备的处理性能不能满足用户基本的通信需求，可以通过该命令取消对未解码的应用层载荷字段的检测，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对报文载荷内容的应用或行为的识别能力会受到影响。

·     应用层检测引擎对HTTP Body字段进行解压缩的优化调试功能：如果报文的HTTP Body字段是压缩编码，应用层检测引擎需要先对HTTP Body字段进行解压缩后，才能对此字段的内容进行检测。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，可以通过配置此命令来取消对HTTP Body字段的压缩编码进行解压缩处理，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

·     应用层检测引擎对HTTP URL字段进行正规化校准的优化调试功能：对HTTP URL字段进行正规化校准功能是指把URL中绝对路径字调整为常规路径格式，对特殊的路径字段进行调整和正确性检查。例如报文URL中绝对路径部分输入的是test/dpi/../index.html，正规化处理后是test/index.html。但是在某些应用场景下，设备的处理性能不能满足用户基本的通信需求，这时，可以通过配置此命令来取消对HTTP URL字段进行正规化校准处理，以提高设备的吞吐量。但是配置此功能后，应用层检测引擎对某些针对安全漏洞的攻击行为不能被识别。

【举例】

# 关闭应用层检测引擎的所有优化调试功能。

<Sysname> system-view

[Sysname] inspect optimization disable

1.1.19  inspect packet maximum

inspect packet maximum命令用来配置应用层检测引擎可检测有载荷内容的报文的最大数目。

undo inspect packet命令用来恢复缺省情况。

【命令】

inspect packet maximum max-number

undo inspect packet

【缺省情况】

应用层检测引擎可检测有载荷内容的报文的最大数目为32。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎检测有载荷内容的报文的最大数目，取值范围为1～254。

【使用指导】

应用层检测引擎在对一个数据流的第一个有载荷内容的报文进行检测时，如果没有匹配上任何检测规则，则需要继续检测此数据流的第二个有载荷内容的报文，以此类推。如果直到设备设置的最大报文检测个数还未匹配上任何检测规则，则表示对此数据流匹配失败，并直接允许此数据流通过。

通常，使用缺省配置即可满足应用需求。但是在某些应用场景中，应用层检测引擎在检测有载荷内容的报文的个数达到指定的个数之后，仍然不能识别当前报文应用层信息的应用或行为，此时需要调高这个参数。调高此参数后，设备的吞吐量性能会下降，但是应用识别的成功率会增加。同理在设备吞吐量较差，不能满足客户需求的应用场景中，此时需要调低这个参数，调低参数后，吞吐量会增加，但是应用识别成功率会降低。

【举例】

# 配置应用层检测引擎可检测有载荷内容的报文的最大数目为16。

<Sysname> system-view

[Sysname] inspect packet maximum 16

1.1.20  inspect rbm port

inspect rbm port命令用来配置RBM组网中DPI业务数据同步时使用的端口号。

undo rbm port命令用来恢复RBM组网中DPI业务数据同步时使用缺省端口号。

【命令】

inspect rbm port port-number

undo inspect rbm port

【缺省情况】

RBM组网中DPI业务数据同步时使用的端口号为60095。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

port-number：指定RBM组网中DPI业务数据同步时使用的端口号，取值范围为1024～65535。

【使用指导】

应用场景

在RBM组网中，需要实时监测网络流量并进行深度数据分析，系统需通过特定的端口（如60095）与DPI设备建立高效连接。此时，端口的开放与安全设置将直接影响数据的传输速度与安全性。如果端口未正确配置，可能导致数据延迟，影响业务决策的及时性。

工作机制

在双机热备组网中，DPI业务通过绑定端口号建立数据传输通道，该通道用于将主设备上的DPI业务数据及时同步到备用设备，以确保备用设备能够获得最新的数据信息。

注意事项

仅在RBM镜像模式下，主设备的DPI业务特征库会自动同步到备用设备。

【举例】

# 配置RBM组网中DPI业务数据同步时使用的端口号。

<Sysname> system-view

[Sysname] inspect rbm port 60096

1.1.21  inspect record-filename nfs maximum

inspect record-filename nfs maximum命令用来配置应用层检测引擎记录NFS协议文件名数量的上限值。

undo inspect record-filename nfs命令用来恢复缺省情况。

【命令】

inspect record-filename nfs maximum max-number

undo inspect record-filename nfs

【缺省情况】

应用层检测引擎记录NFS协议文件名数量的上限值由设备实际内存计算得出。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎记录NFS协议文件名数量的上限值，取值范围为0～4294967295。其中，当取值为0时，表示不对应用层检测引擎记录的NFS协议文件名数量进行限制。

【使用指导】

应用层检测引擎在对文件进行检测时，会使用特定的存储结构记录文件名，用于展示在日志中，方便用户获取文件信息。该记录过程会占用一定的内存，且检测的文件数量越多，对内存占用就越大，可能会降低设备的并发性能。当实际组网环境中大量使用NFS协议传输文件时，管理员可通过配置本功能，限制应用层检测引擎记录的基于NFS协议传输的文件的文件名数量。在对设备并发性能要求较高的场景下，可减少记录的文件名数量，降低对内存的消耗；在对设备并发性能要求较低的场景下，可调高此参数，增加记录的文件名数量，方便用户获取更多的文件信息。请管理员根据实际需求配置此功能。

【举例】

# 配置应用层检测引擎可记录NFS协议文件名数量的上限值为110000。

<Sysname> system-view

[Sysname] inspect record-filename nfs maximum 110000

 

1.1.22  inspect signature auto-update source

inspect signature auto-update source命令用来配置特征库在线升级时发送给服务器的请求报文的源IP地址。

undo inspect signature auto-update source命令用来恢复缺省情况。

【命令】

inspect signature auto-update source { ip | ipv6 } { ip-address | interface interface-type interface-number }

undo inspect signature auto-update source

【缺省情况】

特征库在线升级时发送给服务器的请求报文的源IP地址为系统根据路由表项查找到的出接口的地址。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip ip-address：指定特征库在线升级时发送给服务器的请求报文的源IPv4地址。

ipv6 ip-address：指定特征库在线升级时发送给服务器的请求报文的源IPv6地址。

interface interface-type interface-number：指定该接口的主IPv4地址或接口上最小的IPv6地址为源IP地址。

【使用指导】

如果管理员希望特征库在线升级时发送给特征库服务器的请求报文的源IP地址是一个特定的地址时，则需要配置此命令。例如，当组网环境中设备发出的报文需要经过NAT地址转换后才能访问特征库服务器时，则需要管理员通过本命令指定一个符合NAT地址转换规则的IP地址（其中，如果设备需要经过一台独立的NAT设备进行地址转换时，本命令指定的IP地址必须可以与NAT设备三层路由可达），使设备发出的报文经由NAT地址转换后访问特征库服务器。

如果同时配置了特征库在线升级时访问的特征库服务器所属的VPN实例（即配置inspect signature auto-update vpn-instance命令），需要保证本命令配置的源IP地址所属的VPN实例与该特征库服务器所属的VPN实例相同。

多次执行本命令，最后一次执行的命令生效。

【举例】

# 配置特征库在线升级时发送给服务器的请求报文的源IP地址为1.1.1.1。

<Sysname> system-view

[Sysname] inspect signature auto-update source ip 1.1.1.1

【相关命令】

·     inspect signature auto-update vpn-instance

1.1.23  inspect signature auto-update vpn-instance

inspect signature auto-update vpn-instance命令用来配置特征库在线升级时访问的特征库服务器所属的VPN实例。

undo inspect signature auto-update vpn-instance命令用来恢复缺省情况。

【命令】

inspect signature auto-update vpn-instance vpn-instance-name

undo inspect signature auto-update vpn-instance

【缺省情况】

未配置特征库在线升级时访问的特征库服务器所属的VPN实例。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

vpn-instance-name：表示特征库服务器所属的VPN实例。vpn-instance-name为MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。

【使用指导】

当设备对特征库进行立即在线升级或定期在线升级时，需要访问官网的特征库服务器来获取特征库文件。如果设备需要通过指定的VPN实例访问特征库时，则必须通过配置本命令指定该VPN，否则会导致特征库升级失败。

如果同时配置了特征库在线升级时发送给服务器的请求报文的源IP地址（即配置inspect signature auto-update source命令），需要保证源IP地址所属的VPN实例与本功能配置的VPN实例相同。

【举例】

# 配置特征库在线升级时访问的特征库服务器所属的VPN实例。

<Sysname> system-view

[Sysname] inspect signature auto-update vpn-instance vpn1

【相关说明】

·     inspect signature auto-update source

1.1.24  inspect signature version-report

inspect signature version-report命令用来配置特征库版本信息的上报地址。

undo inspect signature version-report命令用来删除特征库版本信息的上报地址。

【命令】

inspect signature version-report { ip-address ip-address | ipv6-address ipv6-address } port port uri uri [ vpn-instance vpn-instance-name ]

undo inspect signature version-report { ip-address ip-address | ipv6-address ipv6-address } port port uri uri [ vpn-instance vpn-instance-name ]

【缺省情况】

未配置特征库版本信息的上报地址。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ip-address ip-address：表示上送特征库版本信息的目的IPv4地址。

ipv6-address ipv6-address：表示上送特征库版本信息的目的IPv6地址。

port port：表示上送特征库版本信息的目的端口号，取值范围为1～65535。

uri uri：表示上送特征库版本信息的目的URI，为1～127个字符的字符串，不区分大小写，以“/”开头。

vpn-instance vpn-instance-name：表示特征库版本信息的上报地址所属的VPN实例名称，为1～31个字符的字符串，区分大小写。如果不指定本参数，则表示特征库版本信息的上报地址属于公网。

【使用指导】

本功能用于安全威胁发现与运营管理平台监控设备的特征库版本信息变动。目前，仅安全威胁发现与运营管理平台可接收特征库版本信息。

配置本功能后，设备会进行如下操作：

·     当IPS特征库升级或回滚时，会立即通过HTTP协议向指定的目的地址上送特征库版本信息。

·     设备每隔10天向指定的目的地址上送最新的IPS特征库版本信息。

多次执行本命令，可以配置多个安全威胁发现与运营管理平台地址，其中IPv4和IPv6地址最大配置条数分别为2条。

【举例】

# 配置特征库版本信息的上报地址为192.12.26.118、端口号为8080、URI为/aabbcc，所属VPN实例名称为test。

<Sysname> system-view

[Sysname] inspect signature version-report ip-address 192.12.26.118 port 8080 uri /aabbcc vpn-instance test

1.1.25  inspect smb-reassemble enable

inspect smb-reassemble enable命令用来开启SMB协议报文重组功能。

undo inspect smb-reassemble enable命令用来关闭SMB协议报文重组功能。

【命令】

inspect smb-reassemble enable

undo inspect smb-reassemble enable

【缺省情况】

SMB协议报文重组功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

大量的SMB协议的乱序报文极有可能会造成应用层检测引擎对此协议报文检测失败。为了提高应用层检测引擎对SMB协议报文检测的准确率，可以在设备上开启SMB协议报文重组功能。

当设备接收到乱序的SMB报文时，会将此报文和来自于同一条数据流的后续报文暂时保存至缓冲区，进行报文重组，完成重组后再送往后续流程处理。

【举例】

# 开启SMB协议报文重组功能。

<Sysname> system-view

[Sysname] inspect smb-reassemble enable

1.1.26  inspect source-port-identify enable

inspect source-port-identify enable命令用来开启基于源端口的应用识别功能。

undo inspect source-port-identify enable命令用来关闭基于源端口的应用识别功能。

【命令】

inspect source-port-identify enable

undo inspect source-port-identify enable

【缺省情况】

基于源端口的应用识别功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

如果网络中的流量种类单一、源端口固定，但无法通过目的端口对其进行基于端口的应用识别或无法基于流量特征进行内容识别时，可以开启本功能，对流量进行源端口识别，将源端口为固定端口的流量识别为访问特定类型应用的流量。

开启本功能后，可能会造成应用识别结果的误报，请管理员根据组网环境的实际情况配置。

【举例】

# 开启基于源端口的应用识别功能。

<sysname> system-view

[sysname] inspect source-port-identify enable

1.1.27  inspect stream-fixed-length

inspect stream-fixed-length命令用来配置应用层检测引擎对报文的最大检测长度。

undo inspect stream-fixed-length命令用来恢复缺省情况。

【命令】

inspect stream-fixed-length { audio-video | dns | email | ftp | http | https | imaps | nfs | pop3s | quic | rtmp | sip | smb | smtps | telnet | tftp } * length

undo inspect stream-fixed-length

【缺省情况】

应用层检测引擎对FTP协议、HTTP协议、HTTPS协议、NFS协议、SMB协议和与E-mail相关协议（包括SMTP、POP3和IMAP协议）报文最大检测长度与应用层检测引擎的检测率模式有关（通过inspect coverage命令配置），请以当前检测率模式的最大检测长度为准；对音频和视频类应用报文以及DNS协议、IMAPS协议、POP3S协议、RTMP协议、SIP协议、SMTPS协议、Telnet协议和TFTP协议报文的检测长度不进行限制。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

audio-video：表示设置音视频应用报文的最大检测长度。

dns：表示设置DNS协议报文的最大检测长度。

email：表示设置与E-mail协议相关类型报文的最大检测长度，支持的E-mail协议包括SMTP、POP3和IMAP。

ftp：表示设置FTP协议类型报文的最大检测长度。

http：表示设置HTTP协议类型报文的最大检测长度。

https：表示设置HTTPS协议报文的最大检测长度。

imaps：表示设置IMAPS协议报文的最大检测长度。

nfs：表示设置NFS协议类型报文的最大检测长度。

pop3s：表示设置POP3S协议报文的最大检测长度。

quic：表示设置QUIC协议报文的最大检测长度。

rtmp：表示设置RTMP协议报文的最大检测长度。

smb：表示设置SMB协议类型报文的最大检测长度。

sip：表示设置SIP协议报文的最大检测长度。

smtps：表示设置SMTPS协议报文的最大检测长度。

telnet：表示设置Telnet协议报文的最大检测长度。

tftp：表示设置TFTP协议报文的最大检测长度。

length：表示设置报文的最大检测长度，取值范围为1～2048，单位为千字节。

【使用指导】

本命令仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

调高此参数后，设备的吞吐量性能会下降，但是应用层信息识别的成功率会提高；同理调低参数后，设备的吞吐量会增加，但是应用层信息识别的成功率会降低。

【举例】

# 配置应用层检测引擎对FTP协议类型报文的最大检测长度为35千字节，HTTP协议类型报文的最大检测长度为40千字节。

<Sysname> system-view

[Sysname] inspect stream-fixed-length ftp 35 http 40

【相关命令】

·     inspect coverage user-defined

·     inspect cpu-threshold disable

·     inspect stream-fixed-length disable

1.1.28  inspect stream-fixed-length disable

inspect stream-fixed-length disable命令用来关闭应用层检测引擎对报文的最大检测长度限制功能。

undo inspect stream-fixed-length disable命令用来开启应用层检测引擎对报文的最大检测长度限制功能。

【命令】

inspect stream-fixed-length disable

undo inspect stream-fixed-length disable

【缺省情况】

应用层检测引擎对报文的最大检测长度限制功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

本功能仅在应用层检测引擎检测率模式为自定义模式时（通过inspect coverage user-defined命令配置）支持配置。

本功能用于限制应用层检测引擎对协议报文和音视频应用报文的最大检测长度，当引擎已检测的报文长度达到限制值时，引擎将不对后续报文进行检测。

当组网环境中对应用层信息识别的成功率要求较高时，可通过关闭应用层检测引擎对报文的最大检测长度限制功能，提升应用层信息识别的成功率。

【举例】

# 关闭应用层检测引擎对报文的最大检测长度限制功能。

<Sysname> system-view

[Sysname] inspect stream-fixed-length disable

【相关命令】

·     inspect coverage user-defined

·     inspect cpu-threshold disable

·     inspect stream-fixed-length

1.1.29  inspect tcp-reassemble enable

inspect tcp-reassemble enable命令用来开启TCP数据段重组功能。

undo inspect tcp-reassemble enable命令用来关闭TCP数据段重组功能。

【命令】

inspect tcp-reassemble enable

undo inspect tcp-reassemble enable

【缺省情况】

TCP数据段重组功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

大量的TCP乱序数据段极有可能会造成应用层检测引擎对此TCP数据流检测失败。例如应用层检测引擎需要检测TCP载荷中是否包含关键字“this is a secret”。由于数据段乱序，可能含有“a secret”的数据段先到达设备，含有“this is”的数据段后到达设备，这样就会造成应用层检测引擎对此TCP数据流检测失败。

为了提高应用层检测引擎对TCP数据流检测的准确率，可以在设备上开启TCP数据段重组功能。当接收到乱序的TCP数据段时，设备会将此数据段和来自于同一条数据流的后续数据段暂时保存至缓冲区，进行TCP数据段重组，完成数据段重组后再送往后续流程处理。

若缓冲区中已缓存的数据段数目达到最大值（可以通过inspect tcp-reassemble max-segment命令来配置）时仍无法成功重组，则设备直接将已缓存的乱序数据段和此条数据流的所有后续TCP数据段送往后续流程处理，不再进行TCP重组。这样可以降低对设备转发性能的影响。

【举例】

# 开启TCP数据段重组功能。

<Sysname> system-view

[Sysname] inspect tcp-reassemble enable

【相关命令】

·     inspect tcp-reassemble max-segment

1.1.30  inspect tcp-reassemble max-segment

inspect tcp-reassemble max-segment命令用来配置TCP重组缓冲区可缓存的TCP数据段最大数目。

undo inspect tcp-reassemble max-segment命令用来恢复缺省情况。

【命令】

inspect tcp-reassemble max-segment max-number

undo inspect tcp-reassemble max-segment

【缺省情况】

TCP重组缓冲区可缓存的TCP数据段最大数目为10。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：表示TCP重组缓冲区可缓存的TCP数据段最大数目，取值范围为10～50。

【使用指导】

在存在大量TCP乱序数据段的网络环境中，调高此参数，则可提高应用层检测引擎对TCP数据段检测的准确率，但设备转发性能可能会下降。若调低此参数可避免因长时间缓存TCP数据段而造成设备转发性能下降，但应用层检测引擎对TCP数据段检测的准确率会降低。请根据实际情况调整此参数。

本命令仅在开启TCP数据段重组功能后生效。

【举例】

# 配置TCP重组缓冲区中可缓存的TCP数据段最大数目为20。

<Sysname> system-view

[Sysname] inspect tcp-reassemble max-segment 20

【相关命令】

·     inspect tcp-reassemble enable

1.1.31  inspect transparent enable

inspect transparent enable命令用来开启应用层检测引擎透传DPI业务流量功能。

undo inspect transparent enable命令用来关闭应用层检测透传DPI业务流量功能。

【命令】

inspect transparent enable

undo inspect transparent enable

【缺省情况】

应用层检测引擎透传DPI业务流量功能处于开启状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

当组网环境中存在非对称流量时，即同一条流量的报文来回路径不一致，可能导致流量的正反向报文被送到不同的设备，这将会导致DPI业务无法正常处理。为了解决上述问题，应用层检测引擎默认会在设备间、安全业务板间透传DPI业务流量，使同一条流量的正反向报文最终会被送到同一台设备或同一块业务板。

但是，透传流量的过程会消耗设备资源，降低设备性能。当组网环境中对设备性能要求较高且可以接受损失一部分DPI业务检测准确性的风险时，可通过关闭应用层检测引擎透传DPI业务流量功能，降低对设备性能的影响。

【举例】

# 关闭应用层检测引擎透传DPI业务流量功能。

<Sysname> system-view

[Sysname] undo inspect transparent enable

1.1.32  inspect uncompress maximum

inspect uncompress maximum命令用来配置应用层检测引擎解压缩文件的总次数上限值。

undo inspect uncompress maximum命令用来恢复缺省情况。

【命令】

inspect uncompress maximum max-number

undo inspect uncompress maximum

【缺省情况】

应用层检测引擎解压缩文件的总次数上限值由设备实际内存计算得出。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

max-number：指定应用层检测引擎解压缩文件的总次数的上限值，取值范围为0～4294967295。其中，当取值为0时，表示不对应用层检测引擎的解压缩文件总次数进行限制。

【使用指导】

应用层检测引擎每进行一次解压缩操作都会消耗一定的设备内存。当解压缩的次数较多时，可能会消耗大量的设备内存，导致设备整机的并发性能下降。此时，可通过配置解压缩次数的上限值来控制对内存的占用。调低上限值，可降低对内存的消耗，但应用层检测引擎的检测成功率可能会降低；调高此参数，可能会提升应用层检测引擎的检测成功率，但同时会降低设备的并发性能。请管理员根据实际需求配置此功能。

【举例】

# 配置应用层检测引擎解压缩文件的总次数上限值为120000。

<Sysname> system-view

[Sysname] inspect uncompress maximum 120000

1.1.33  inspect waf http-log-details enable

inspect waf http-log-details enable命令用来开启WAF日志记录报文详情功能。

undo inspect waf http-log-details enable命令用来关闭WAF日志记录报文详情功能。

【命令】

inspect waf http-log-details enable

undo inspect waf http-log-details enable

【缺省情况】

WAF日志记录报文详情功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

【使用指导】

开启本功能后，设备将缓存HTTP报文的详情信息，并记录在WAF日志中，方便用户了解报文详情。

对于HTTP请求报文和应答报文，WAF日志会在原有字段的基础上记录不同的详情信息：

·     对于HTTP请求报文，开启本功能后，WAF日志中将记录报文的所有详情信息。关闭本功能后，WAF日志中仅记录报文的请求行和请求方法。

·     对于HTTP应答报文，开启本功能后，WAF日志中将记录报文的状态行信息；关闭本功能后，WAF日志中将不记录报文的详情信息。

对于已产生的WAF日志，本功能并不生效，设备不会记录报文详情，日志中的报文详情字段为空。

建议仅在关心WAF处理的HTTP报文的详细信息的情况下开启此功能，避免此功能占用系统的缓存资源。

【举例】

# 开启WAF日志记录报文详情功能。

<Sysname> system-view

[Sysname] inspect waf http-log-details enable

1.1.34  reset inspect smb-breakpoint-resume table

reset inspect smb-breakpoint-resume table命令用来清除SMB协议断点续传表的信息。

【命令】

reset inspect smb-breakpoint-resume table { ipv4 | ipv6 }

【视图】

用户视图

【缺省用户角色】

network-admin

【参数】

【举例】

# 清除SMB协议断点续传表的信息。

<Sysname> reset inspect smb-breakpoint-resume table ipv4

【相关命令】

·     display inspect smb-breakpoint-resume table