问

关于acl的问题

2024-03-13提问

0关注
0收藏，671浏览

zhiliao_DjjLR

zhiliao_DjjLR 二段

粉丝：0人关注：0人

问题描述：

定义acl：

acl number 3000

rule permit tcp destination-port neq 135

rule permit tcp destination-port neq 445

配置流分类：

traffic classifier 1

if-match acl 3000

配置流动作：

traffic behavior 1

filter permit

配置QoS策略：

qos policy p1

classifier 1 behavior 1

调用策略：

qos apply policy p1 inbound

是否这样配置，能满足上面的需求，即过滤掉到135和445端口的流量，同时保证其他流量正常通过

最佳答案

Mr朱

Mr朱二段

粉丝：0人关注：0人

#创建ACL，其中第1条匹配TCP连接请求报文，第2条匹配TCP连接建立报文

[H3C] acl advanced 3100 //创建acl 3000

[H3C-acl-ipv4-adv-3100]rule 0 permit tcp established source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 //匹配源是192.168.20.0/24段到目的192.168.10.0/24段tcp连接请求的报文

[H3C-acl-ipv4-adv-3100]quit //退出当前视图

[H3C]acl advanced 3200 //创建acl 3200

[H3C-acl-ipv4-adv-3200]rule 0 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 //匹配源是192.168.20.0/24段到目的192.168.10.0/24段tcp连接建立的报文

[H3C-acl-ipv4-adv-3200]quit //退出当前视图

#创建流分类，匹配相应的ACL

[H3C]traffic classifier 1 //创建流分类1

[H3C-classifier-1]if-match acl 3100 //匹配acl 3100

[H3C-classifier-1]quit //退出当前视图

[H3C]traffic classifier 2 //创建流分类2

[H3C-classifier-2]if-match acl 3200 //匹配acl 3200

#创建流行为，permit TCP连接建立报文，deny从 Vlan 20发送到vlan10的TCP连接建立请求报文

[H3C]traffic behavior 11 //创建流行为11

[H3C-behavior-11]filter permit //为流行为配置允许数据包通过的过滤动作

[H3C-behavior-3]quit //退出当前视图

[H3C]traffic behavior 22 //创建流行为22

[H3C-behavior-22]filter deny //为流行为配置丢弃数据包的过滤动作

#创建Qos策略，关联流分类和流行为

[H3C]qos policy 3 //创建qos策略3

[H3C-qospolicy-3]classifier 1 behavior 11 //关联流分类1和流行为11

[H3C-qospolicy-3]classifier 2 behavior 22 //关联流分类2和流行为22

#在入方向下发Qos策略

[H3C]interface GigabitEthernet 1/0/20 //进入g1/0/20接口

[H3C-GigabitEthernet1/0/20]qos apply policy 3 inbound //在g1/0/20接口入方向下发qos3策略

#保存配置

[H3C]save force //保存配置

2 个回答

按时间按赞数

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：237人关注：8人

用acl限制就行

1、可通过ACL来实现，以下是配置脚本，请参考：

acl advanced 3999
rule 0 deny tcp destination-port eq 135
rule 4 deny tcp destination-port eq 445
rule 6 deny udp destination-port eq 135
rule 10 deny udp destination-port eq 445
rule 13 deny tcp source-port eq 135
rule 16 deny tcp source-port eq 445
rule 18 deny udp source-port eq 135
rule 22 deny udp source-port eq 445

int gi 1/0/1

packet-filter 3999 inbound

packet-filter 3999 outbound

quit