華為端口鏡像ACL流過濾

1、華為交換機(jī)端口鏡像設(shè)置<HUAWEI>system-view[HUAWEI]observe-port1interfacegigabitethernet1/0/1〔配置觀看端口〕[HUAWEI]interfacegigabitethernet2/0/1[HUAWEI-GigabitEthernet2/0/1]port-mirroringtoobserve-port1inbound〔配置鏡像端口〕2ACL把握列表和包過濾設(shè)置ACL把握列表種類：1、標(biāo)準(zhǔn)訪問把握列表：只能使用源地址描述數(shù)據(jù)，說明是允許還是拒絕命令格式：aclXXXrulepermit/denysource source_addresssource_wildcard/anyeg:acl1199rulepermitsource192.168.1.00.0.0.255(192.168.1.0網(wǎng)段的數(shù)據(jù)包通過)2、擴(kuò)展訪問把握列表：在標(biāo)準(zhǔn)把握列表的根底上添加基于協(xié)議和端口號(hào)的把握3、流策略〔TrafficPolicy〕QoSQoS策略。TrafficPolicy分為三局部：1、流分類〕模板：定義流量類型。一個(gè)r可以配置一條或多條語句，if-matchACLClassifierACL規(guī)章。ACLRule語句。2、流淌作〕模板：指，用于定義針對(duì)該類流量可實(shí)施的流淌作。一個(gè)可以定義一個(gè)或多個(gè)動(dòng)作。3cr和流淌作r&BehaviorTrafficPolicyTrafficPolicy模板應(yīng)用到接口上才能使策略生效。Classifier&Behavior對(duì)之間的匹配挨次Traffic-policyClassifier&Behavior對(duì)。當(dāng)收到一個(gè)報(bào)文，做簡(jiǎn)潔Traffic-policyClassifier&Behavior對(duì)的配置挨次進(jìn)展匹配。假設(shè)命中，則停頓匹配；假設(shè)不命中，則匹配后面的Classifier；假設(shè)是最終一個(gè)Classifier，且還不命中，則報(bào)文走正常的轉(zhuǎn)發(fā)處理，類似于沒有應(yīng)用流分類策略。Classifier之間的挨次可以通過命令行classifierclassifiernamebehaviorbehaviornameprecedenceprecedence修改。例如，Traffic-policyT中配置了A、B、CClassifier：#trafficpolicyTclassifierAbehaviorAclassifierBbehaviorBclassifierCbehaviorC#缺省狀況下，A、B、CClassifier1、23，與配置的挨次一樣。假設(shè)要A排在最終，可以執(zhí)行如下命令：classifierAbehaviorAprecedence4結(jié)果是：#trafficpolicyTclassifierBbehaviorBclassifierCbehaviorCclassifierAbehaviorAprecedence4#B之前的挨次號(hào)1沒有被占用，因此可以在B之前添加一個(gè)〔假設(shè)是，則可執(zhí)行如下命令實(shí)現(xiàn)。classifierDbehaviorDprecedence1結(jié)果是：#trafficpolicyTclassifierDbehaviorDprecedence1classifierBbehaviorBclassifierCbehaviorCclassifierAbehaviorAprecedence4#precedence值的方式添加D，classifierDbehaviorD結(jié)果如下：#trafficpolicyTclassifierBbehaviorBclassifierCbehaviorCclassifierAbehaviorAprecedence4classifierDbehaviorD#If-match語句之間的匹配挨次Classifierif-matchif-match語句配置挨次進(jìn)展匹配。if-match語句后，是否執(zhí)行對(duì)應(yīng)的behavior動(dòng)作，取決于If-match語句之間是AndOr規(guī)律。If-matchAndOr規(guī)律if-matchAndOr兩種規(guī)律關(guān)系：Or規(guī)律：數(shù)據(jù)包只要匹配該流分類下的任何一條if-match語句定義的規(guī)章就屬于該類。And規(guī)律：數(shù)據(jù)包必需匹配該流分類下的全部if-match語句才屬于該類。流策略的執(zhí)行過程〔if-matchOr規(guī)律〕2流策略的執(zhí)行過程〔Or規(guī)律〕如圖2，針對(duì)每個(gè)ClassifierIf-matchOrif-match如圖2，針對(duì)每個(gè)if-matchACLbehavior定義的動(dòng)作。假設(shè)命中的h語句引用了tr定義的動(dòng)作；deny規(guī)章，則直接丟棄報(bào)文。假設(shè)數(shù)據(jù)包沒有命中任何if-match語句，則不支持任何動(dòng)作，連續(xù)處理下一個(gè)Classifier。流策略的執(zhí)行過程〔if-matchAnd規(guī)律〕If-matchAndif-match〔相當(dāng)于集合的乘法操作，再依據(jù)r規(guī)律的處理流程進(jìn)展處理。ACL的if-matchACLRule進(jìn)展合并，而是逐條與其他if-match語句進(jìn)展合并。因此值得留意的是：Andif-match語句的挨次不影響匹配結(jié)ACLRule的挨次照舊會(huì)影響匹配結(jié)果。例如，某個(gè)流策略下配了如下一個(gè)classifier：#acl3000rule5permitipsource1.1.1.10rule10denyipsource2.2.2.20#trafficclassifierexampleoperatorandif-matchacl3000if-matchdscpaf11#if-match語句的合并，合并結(jié)果相當(dāng)于：#acl3000rule5permitipsource1.1.1.10dscpaf11rule10denyipsource2.2.2.20dscpaf11#trafficclassifierexampleoperatororif-matchacl3000#trafficbehaviorexampleremarkdscpaf22#trafficpolicyexampleshare-modeclassifierexamplebehaviorexample#interfaceGigabitEthernet2/0/0traffic-policyPinbound#Or規(guī)律的執(zhí)行過程進(jìn)展處理。處理結(jié)果是從GE2/0/0IP1.1.1.1/32dscp=10AF22IP1.1.1.2/32dscp=10的報(bào)文丟棄，其他報(bào)文由于沒有匹配任何規(guī)章，直接轉(zhuǎn)發(fā)。AndLicenseACLif-matchOrACLif-match語句。LicenseAndACLif-matchif-match語句的合并規(guī)章是：permit+permit=permitpermit+deny=denydeny+permit=denydeny+deny=denyIf-mathACL時(shí)的匹配過程if-matchACLACLRule否配置了該〔由于流分類允許引用不存在的查找后續(xù)的規(guī)章。說明：RuleDenybehaviorbehavior。ACLpermitdenyACLClassifierBehavior中的動(dòng)作的關(guān)系是：ACLdenyBehavior，報(bào)文最終動(dòng)作是deny；ACLpermitBehaviorBehavior。50.0.0.1/24IP7；源地址是60.0.0.1/2470.0.0.1/24IP優(yōu)先級(jí)不變。acl3999rule5permitipsource50.0.0.00.255.255.255rule10denyipsource60.0.0.00.255.255.255trafficclassifieraclif-matchacl3999trafficbehaviortestremarkip-pre7trafficpolicytestclassifieracl