华为端口镜像ACL流过滤
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
1、华为交换机端口镜像设置
[HUAWEI] observe-port 1 interface gigabitethernet 1/0/1 (配置观察端口)[HUAWEI] interface gigabitethernet 2/0/1
[HUAWEI-GigabitEthernet2/0/1] port-mirroring to observe-port 1 inbound(配置镜像端口)
2、华为交换机ACL控制列表和包过滤设置
ACL控制列表种类:
○1、标准访问控制列表:只能使用源地址描述数据,表明是允许还是拒绝
命令格式:
acl XXX
rule permit/deny source source_addresssource_wildcard/any
eg:
acl 1199
rule permit source 192.168.1.0 0.0.0.255(允许源地址为192.168.1.0网段的数据包通过)
○2、扩展访问控制列表:在标准控制列表的基础上添加基于协议和端口号的控制
3、流策略(Traffic Policy)用于QoS复杂流分类,实现丰富的QoS策略。
Traffic Policy分为三部分:
○1、流分类(Classifier)模板:定义流量类型。一个Classifier可以配置一条或多条if-match 语句,if-match语句中可以引用ACL规则。不同的Classifier模板可以应用相同的ACL规则。一个ACL规则可以配置一个或多个Rule语句。
○2、流动作(Behavior)模板:指,用于定义针对该类流量可实施的流动作。一个Behavior 可以定义一个或多个动作。
○3、流策略(Traffic Policy)模板:将流分类Classifier和流动作Behavior关联,成为一个Classifier & Behavior对。当Traffic Policy模板设置完毕之后,需要将Traffic Policy模板应用到接口上才能使策略生效。
Classifier & Behavior对之间的匹配顺序
一个Traffic-policy中可以配置一个或多个Classifier & Behavior对。当收到一个报文,做复杂流分类处理时,会按照Traffic-policy中Classifier & Behavior对的配置顺序进行匹配。
如果命中,则停止匹配;如果不命中,则匹配后面的Classifier;如果是最后一个Classifier,且还不命中,则报文走正常的转发处理,类似于没有应用流分类策略。
Classifier之间的顺序可以通过命令行
classifier classifier-name behavior behavior-name precedence precedence修改。例如,
Traffic-policy T中配置了A、B、C三个Classifier:
#
traffic policy T
classifier A behavior A
classifier B behavior B
classifier C behavior C
#
缺省情况下,A、B、C三个Classifier的顺序分别是1、2和3,与配置的顺序相同。如果要将A排在最后,可以执行如下命令:
classifier A behavior A precedence 4
结果是:
#
traffic policy T
classifier B behavior B
classifier C behavior C
classifier A behavior A precedence 4
#
此时,B之前的顺序号1没有被占用,因此可以在B之前添加一个Classifier(假设是D),则可执行如下命令实现。
classifier D behavior D precedence 1
结果是:
#
traffic policy T
classifier D behavior D precedence 1
classifier B behavior B
classifier C behavior C
classifier A behavior A precedence 4
#
如果按如下方法,不指定precedence值的方式添加D,
classifier D behavior D
结果如下:
#
traffic policy T
classifier B behavior B
classifier C behavior C
classifier A behavior A precedence 4
classifier D behavior D
#
If-match语句之间的匹配顺序
由于Classifier中配置的是一个或多个if-match语句,按照if-match语句配置顺序进行匹配。报文命中if-match语句后,是否执行对应的behavior动作,取决于If-match语句之间是And 还是Or逻辑。
If-match语句之间的And和Or逻辑
如果流分类模板下配置了多个if-match语句,则这些语句之间有And和Or两种逻辑关系:Or逻辑:数据包只要匹配该流分类下的任何一条if-match语句定义的规则就属于该类。And逻辑:数据包必须匹配该流分类下的全部if-match语句才属于该类。
流策略的执行过程(if-match语句间是Or逻辑)
图2 流策略的执行过程(Or逻辑)