如何用流策略封堵3389端口

packet-filter，配置acl阻塞端口

使用acl 

rule 5 deny tcp source x.x.x.x 0 destination x.x.x.x 0 destination-port eq 3389

接口方向调用即可

在交换机上配置流量策略来封堵特定端口，如RDP（远程桌面协议）使用的3389端口，涉及到ACL（访问控制列表）和流量策略的定义。以下是基本步骤来实现这一配置：

1. 定义ACL
首先，你需要定义一个ACL来匹配目标端口3389的流量。可以选择基于源端口或目的端口，或者两者都指定，这取决于你需要阻止哪个方向的流量。

```shell
acl number 3000
rule 5 deny tcp destination-port eq 3389
```

这里创建了编号为3000的ACL，并添加了一条规则，这条规则拒绝目标端口为3389的TCP流量。`rule 5`中的`5`是规则编号，可以根据需要进行更改。

2. 定义流量策略
接下来，你需要定义一个流量策略，将其与ACL关联。

```shell
traffic classifier c1 operator or
if-match acl 3000
traffic behavior b1
deny
traffic policy p1 classifier c1 behavior b1
```

这段配置定义了一个流量分类器`c1`，它匹配ACL 3000。然后定义了一个流量行为`b1`来拒绝匹配的流量。最后，创建了一个流量策略`p1`，将分类器`c1`和行为`b1`关联起来。

3. 应用流量策略
最后，你需要将流量策略应用到相应的接口上。这取决于你想在哪个接口上封堵3389端口的流量。如果你想在接口`GigabitEthernet0/0/1`上应用这个策略，可以这样配置：

```shell
interface GigabitEthernet0/0/1
traffic-policy p1 inbound
```

这会将流量策略`p1`应用到接口`GigabitEthernet0/0/1`的入站方向。如果你想阻止从该接口出去的流量，可以使用`outbound`关键字替换`inbound`。

完成这些步骤后，任何通过该接口并且目标端口为3389的TCP流量都将被拒绝。请根据你的网络环境和需求调整这些命令，并在生产环境中应用前充分测试配置。