H3C路由器阻断WannaCry攻略

1、针对高危端口建立ACL规则，阻断TCP&UDP协议的135、137、139、445端口

acl number 3000  

 rule 5 deny tcp  destination-port eq  135 

 rule 10 deny tcp  destination-port eq  137

 rule 15 deny tcp  destination-port eq  139

 rule 20 deny tcp  destination-port eq  445

 rule 25 deny udp  destination-port eq  135 

 rule 30 deny udp  destination-port eq  137

 rule 35 deny udp  destination-port eq  139

 rule 40 deny udp  destination-port eq  445

2、建立包过滤防火墙，阻断

MSR V5、SR66 V5配置firewall，阻断端口

[H3C]firewall enable  //全局开启firewall enable

[H3C]interface GigabitEthernet 0/0  //进入相关接口

[H3C-GigabitEthernet0/0]firewall packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

SR88 V5、CR16K V5配置firewall，阻断端口

[H3C]interface GigabitEthernet 2/1/1  //进入相关接口

[H3C-GigabitEthernet0/0]firewall packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

MSR V7、SR66 V7、SR88 V7、CR16K V7配置包过滤防火墙，阻断端口

[H3C]interface GigabitEthernet 0/0  //进入相关接口

[H3C-GigabitEthernet0/0]packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

SR88 V7也可以在全局下发packet-filter，全局下发后，所有接口将全部阻断ACL 3000中的端口

[H3C]packet-filter 3000 global inbound[outbound] //全局下发packet-filter

3、部分老版本不支持firewall或者packet-filter方式下发，需要使用MQC方式来实现，该方法也同样适用于所有产品，是一个通用的方法如下：

acl number 3000  

 rule 5 permit tcp  destination-port eq  135 

 rule 10 permit tcp  destination-port eq  137

 rule 15 permit tcp  destination-port eq  139

 rule 20 permit tcp  destination-port eq  445

 rule 25 permit udp  destination-port eq  135 

 rule 30 permit udp  destination-port eq  137

 rule 35 permit udp  destination-port eq  139

 rule 40 permit udp  destination-port eq  445

[H3C]traffic classifier acl3000  //定义流分类，引用ACL

[H3C-classifier-acl3000]if-match acl 3000

[H3C]traffic behavior deny  //定义动作类型为deny

[H3C-behavior-deny]filter deny 

[H3C]qos policy WannaCry   //配置qos策略

[H3C-qospolicy-WannaCry]classifier acl3000 behavior deny

[H3C]interface GigabitEthernet 2/1/1  //进入接口下

[H3C-GigabitEthernet2/1/1]qos apply policy WannaCry inbound[outbound] //在接口下配置qos策略

注意：SR88、CR16K产品，所有板卡只支持1次ACL匹配，匹配顺序为：包过滤>PBR>MQC，所以如果使用MQC方式，请注意接口下是否有PBR的配置，如果有，MQC是不生效的！！！