火墙命令行查询五元组匹配的安全策略
- 0关注
- 0收藏，400浏览
问题描述：
根据五元组查询匹配的策略，类似友商dis security-policy rule source-ip x.x.x.x destination-ip x.x.x.x，不是查询会话匹配的安全策略，不是dis session table ipv4 security-policy-ip，因为如果没有安全策略命中，火墙不会创建会话出来。
对应的是图形界面的这个高级查询，图形界面的每个功能应该都有命令行对应的实现，但是手册中没有找到对应的命令，希望知道的大佬给指导下。
组网及组网描述：
H3C Comware Software, Version 7.1.064, Release 9660P29
Copyright (c) 2004-2022 New H3C Technologies Co., Ltd. All rights reserved.
H3C SecPath F5000-AI-20 uptime
- 2024-07-05提问
- 举报
-
(0)
最佳答案
参考命令：
1.1.17 display security-policy
display security-policy命令用来显示安全策略的配置信息。
【命令】
display security-policy { ip | ipv6 }
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
context-admin
context-operator
【参数】
ip：表示显示IPv4安全策略的配置信息。
ipv6：表示显示IPv6安全策略的配置信息。
【举例】
# 显示IPv4安全策略的配置信息。
<Sysname> display security-policy ip
Security-policy ip
rule 0 name der (Inactive)
action pass
profile er
vrf re
logging enable
counting enable period 20
counting enable TTL 1200
time-range dere
track positive 23
session aging-time 5000
session persistent aging-time 2400
source-zone trust
destination-zone trust
source-ip erer
source-ip-host 1.1.1.4
source-ip-subnet 1.1.1.0 255.255.255.0
source-ip-range 2.2.1.1 3.3.3.3
destination-ip client1
destination-ip-host 5.5.1.2
destination-ip-subnet 5.5.1.0 255.255.255.0
destination-ip-range 2.2.1.1 3.3.3.3
service ftp
service-port tcp
service-port tcp source lt 100 destination eq 104
service-port tcp source eq 100 destination range 104 2000
service-port udp
service-port udp source gt 100 destination eq 104
service-port udp destination eq 100
service-port icmp 100 122
service-port icmp
app-group ere
application 110Wang
user der
user-group ere
表1-1 display security-policy命令显示信息描述表
rule id name rule-name | 表示规则的ID和名称 |
action pass | 表示规则动作，其取值如下： · pass：表示允许报文通过 · drop：表示丢弃报文 |
profile app-profile-name | 表示引用的DPI应用profile |
vrf vrf-name | 表示MPLS L3VPN的VPN实例名称 |
logging enable | 表示开启了对符合规则过滤条件的报文记录日志信息的功能 |
counting enable period value | 表示开启了安全策略规则匹配统计功能并设置了开启时长，单位为分钟 |
counting enable TTL time-value | 表示开启了安全策略规则匹配统计功能后的剩余生效时间，单位为秒 |
time-range time-range-name | 表示此规则生效的时间段 |
track negative 1 (Active) | 表示安全策略规则生效状态与Track项的Negative状态关联，且此规则的状态为Active，规则的生效状态取值包括： · Active：表示生效状态 · Inative：表示禁用状态 |
track positive 1 (Inactive) | 表示安全策略规则生效状态与Track项的Positive或NotReady状态关联，且此规则的状态为Active，规则的生效状态取值包括： · Active：表示生效状态 · Inative：表示禁用状态 |
session aging-time time-value | 表示此规则中设置的会话老化时间，单位为秒 |
session persistent aging-time time-value | 表示此规则中设置的长连接会话的老化时间，单位为小时 |
source-zone zone-name | 表示规则配置了源安全域作为过滤条件 |
destination-zone zone-name | 表示规则配置了目的安全域作为过滤条件 |
source-ip object-group-name | 表示规则配置了源IP地址作为过滤条件 |
source-ip-host ip-address | 表示规则配置了源IP主机地址作为过滤条件 |
source-ip-subnet ip-address | 表示规则配置了源IP子网地址作为过滤条件 |
source-ip-range ip-address1 ip-address2 | 表示规则配置了源IP范围地址作为过滤条件 |
destination-ip object-group-name | 表示规则配置了目的IP地址作为过滤条件 |
destination-ip-host ip-address | 表示规则配置了目的IP主机地址作为过滤条件 |
destination-ip-subnet ip-address | 表示规则配置了目的IP子网地址作为过滤条件 |
destination-ip-range ip-address1 ip-address2 | 表示规则配置了目的IP范围地址作为过滤条件 |
service object-group-name | 表示规则配置了服务作为过滤条件 |
service-port protocol | 表示规则配置了协议的端口号作为过滤条件 |
app-group app-group-name | 表示规则配置了应用组作为过滤条件 |
application application-name | 表示规则配置了应用作为过滤条件 |
user user-name | 表示规则配置了用户作为过滤条件 |
user-group user-group-name | 表示规则配置了用户组作为过滤条件 |
【相关命令】
· security-policy ip
· security-policy ipv6
- 2024-07-05回答
- 评论(1)
- 举报
-
(0)
您好，这样查询只能ip或者ipv6策略，不能指定具体五元组条件，有没有能匹配五元组参数的查询方法，类似图形界面那样能输入参数的命令行呢？
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
您好，这样查询只能ip或者ipv6策略，不能指定具体五元组条件，有没有能匹配五元组参数的查询方法，类似图形界面那样能输入参数的命令行呢？