ACG1000-AK240

应该得到接口下关闭

ACG1000‑AK240 没有一条命令能 “全局彻底关闭 ICMP / Traceroute”，但可以做到：
禁止设备自身响应 ping（echo-reply）
禁止设备自身发出 ttl‑expires /unreachable（影响 traceroute）
通过策略全局阻断内网→外网的 ICMP 和 traceroute 流量
下面分两块说：设备自身、流量策略。
一、关闭设备自身的 ICMP 响应（别人 ping 不到 ACG）
ACG1000（Comware V7 内核）支持关闭 ICMP 回显应答：
bash
运行
system-view
# 关闭本机响应 ping（别人 ping 设备，设备不回）
undo icmp echo-reply enable
验证：
bash
运行
display current-configuration | include icmp
与 traceroute 相关的两条（默认就是关闭）
bash
运行
# 关闭 TTL 超时应答（traceroute 靠这个显示路径）
undo ip ttl-expires enable

# 关闭目的不可达应答
undo ip unreachables enable
默认这两条就是 关闭，所以别人 traceroute 经过 ACG 时，这一跳会显示 * * *。
效果：
ping ACG 本身 → 不通
traceroute 经过 ACG → 不暴露自身 IP
二、全局阻断所有终端的 ICMP / Traceroute 流量（内网→外网）
如果你的意思是：内网所有机器都不能 ping、不能 traceroute 外网，要在 ACG 上全局拦。
1）命令行方式（ACL + 策略）
bash
运行
system-view

# 1. 禁止 ICMP（ping）
acl advanced 3000
rule deny icmp

# 2. 禁止 Linux traceroute 默认 UDP 端口段 33434–33534
acl advanced 3001
rule deny udp destination-port 33434 to 33534

# 3. 在全局/出方向调用（根据你的模式：路由/透明）
# 假设外网口是 ge1
interface GigabitEthernet1
packet-filter 3000 outbound
packet-filter 3001 outbound
这样：
内网任何主机 ping 外网 → 被 ACG 拦截
内网 Linux traceroute 外网 → 被拦截
Windows tracert 用 ICMP → 也被拦截
2）Web 界面方式（更常用）
登录 ACG Web → 策略配置 → 访问控制 → ACL
新建 ACL：
协议：ICMP → 拒绝
协议：UDP，目的端口 33434–33534 → 拒绝
将 ACL 应用到 外网接口出方向 或 全局安全策略。
三、总结（你要的一句话）
不能用一条命令 “全局关闭 ICMP/Traceroute 功能”；
但可以：
undo icmp echo-reply enable：设备自身不响应 ping；
默认已关闭 ttl-expires/unreachables：不泄露 traceroute 路径；
配置 ACL 阻断 ICMP+UDP 33434–33534：内网所有终端无法 ping/traceroute 外网。

具体配置方法

1. 通过命令行关闭ICMP功能

2. 关闭Traceroute功能

通过Web界面配置（如果支持）

1. 登录Web管理界面
2. 进入"安全策略"或"访问控制"模块
3. 创建新的访问控制策略
4. 设置规则：
   • 协议类型：ICMP
   • 动作：拒绝
   • 应用范围：全局

注意事项

1. 影响评估：关闭ICMP可能会影响网络诊断工具（如ping）的使用
2. 业务影响：某些应用程序可能依赖ICMP进行网络状态检测
3. 建议测试：在生产环境应用前，建议在测试环境验证配置效果
4. 备份配置：修改前请备份当前配置，以便出现问题时快速恢复

推荐操作步骤

1. 通过SSH登录设备命令行
2. 执行上述ICMP和Traceroute限制命令
3. 保存配置：save config
4. 验证效果：从外部网络测试ping和traceroute是否被阻止