09-报文过滤配置
本章节下载： 09-报文过滤配置 (184.92 KB)
目 录
报文过滤是ACL最基本的应用。例如，将ACL规则应用到指定接口的入或出方向上，从而对该接口收到或发出的报文进行过滤。
报文过滤配置任务如下：
· 应用ACL进行报文过滤。请选择以下一项任务进行配置：
· （可选）配置报文过滤的缺省动作
一个接口在一个方向上最多可应用32个ACL进行报文过滤。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 在接口上应用ACL进行报文过滤。
packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound }
缺省情况下，未配置接口的报文过滤。
系统缺省的报文过滤动作为Permit，即允许未匹配上ACL规则的报文通过。通过本配置可更改报文过滤的缺省动作为Deny，即禁止未匹配上ACL规则的报文通过。
(1) 进入系统视图。
system-view
(2) 配置报文过滤的缺省动作为Deny。
packet-filter default deny
缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过。
可在任意视图下执行以下命令：
· 显示报文过滤的应用情况。
display packet-filter { interface [ interface-type interface-number ] } [ inbound | outbound ] [ slot slot-number ]
· 显示报文过滤的详细应用情况。
display packet-filter verbose interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ] [ slot slot-number ]
可在任意视图下执行以下命令：
· 显示报文过滤的统计信息。
display packet-filter statistics interface interface-type interface-number { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ] [ brief ]
· 显示报文过滤的累加统计信息。
display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac ] { acl-number | name acl-name } [ brief ]
请在用户视图下执行以下命令，清除报文过滤的统计信息。
reset packet-filter statistics interface [ interface-type interface-number ] { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ]
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。
<Device> system-view
[Device] time-range work 08:00 to 18:00 working-day
# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work
[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] quit
# 应用IPv4高级ACL 3000对接口GigabitEthernet0/0/1出方向上的报文进行过滤。
[Device] interface gigabitethernet 0/0/1
[Device-GigabitEthernet0/0/1] packet-filter 3000 outbound
[Device-GigabitEthernet0/0/1] quit
配置完成后，<
支持