华为内部资料：路由器配置命令

路由器配置命令(华为内部资料)

一、aｃcess-list用于创建访问规则。

（1）创建标准访问列表accｅｓｓ－liｓt[ norｍal｜speciaｌ] listnumbｅr1 {permiｔ| deny}sｏurcｅ-adｄｒ［sｏurｃe-mａｓk ］

（2)创建扩展访问列表ａｃcesｓ-liｓt [ norｍal | speciａl ] listnｕｍｂeｒ２{ ｐｅrｍｉt | ｄenｙ}ｐrｏｔocol sｏｕrce-addr sourｃｅ－ｍask[operａｔorｐｏrｔ1 [ por ｔ２］]ｄeｓt-ａddr dｅsｔ－mask[operator poｒt1 [ porｔ2 ] | icmｐ-tyｐe [icmｐ－cｏdｅ］] ［ｌoｇ]

（３)删除访问列表ｎo access-lｉsｔ{ normal | sｐeｃiａl｝{ ａll ｜listnum ｂer [ ｓubiteｍ]}?【参数说明】

norｍal 指定规则加入普通时间段。

specｉal 指定规则加入特殊时间段。?listnumbeｒ1 是1到9９之间的一个数值,表示规则是标准访问列表规则。?ｌistnumber2 是１00到１９9之间的一个数值，表示规则是扩展访问列表规则。

permit 表明允许满足条件的报文通过。

denｙ表明禁止满足条件的报文通过。

prｏｔocｏl为协议类型，支持IＣMＰ、TCP、UDP等，其它的协议也支持,此时没有端口比较的概念；为IP时有特殊含义，代表所有的ＩP协议。

source-ａddr 为源地址。?sｏｕrce-mask 为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0．0．０.0。

deｓt-adｄr 为目的地址。?dｅｓｔ-mａｓk为目的地址通配位。

ｏperatｏr[可选］端口操作符,在协议类型为TCP或UＤP时支持端口比较,支持的比较操作有：等于（eq)、大于(gt)、小于（lt）、不等于（ｎeｑ）或介于(rａｎｇe）；如果操作符为ｒange，则后面需要跟两个端口。?poｒt1 在协议类型为TCＰ或UＤP时出现,可以为关键字所设定的预设值（如ｔelneｔ）或０～6５535之间的一个数值。

poｒt2 在协议类型为ＴCP或UDＰ且操作类型为range时出现；可以为关键字所设定的预设值(如tｅlnet）或０～６5535之间的一个数值。?icmp-ｔype[可选] 在协议为ICMP 时出现，代表ＩCMP报文类型；可以是关键字所设定的预设值（如echｏ－replｙ）或者是０～２55之间的一个数值。

ｉcｍｐ-code在协议为ＩCMＰ且没有选择所设定的预设值时出现;代表ICMP码,是０~25５之间的一个数值。?log [可选]表示如果报文符合条件,需要做日志。

lｉsｔｎuｍｂｅｒ为删除的规则序号,是1~199之间的一个数值。?subiteｍ[可选]指定删除序号为listnuｍber的访问列表中规则的序号。?【缺省情况】系统缺省不配置任何访问规则。

【命令模式】全局配置模式?【使用指南】同一个序号的规则可以看作一类规则;所定义的规则不仅可以用来在接口上过滤报文,也可以被如ＤDR等用来判断一个报文是否是感兴趣的报文，此时,ｐeｒmiｔ与deny表示是感兴趣的还是不感兴趣的。

使用协议域为ＩP的扩展访问列表来表示所有的IＰ协议。?同一个序号之间的规则按照一定的原则进行排列和选择,这个顺序可以通过sｈｏw acｃess－lｉｓt 命令看到。??【举例】

允许源地址为10.1.１.0 网络、目的地址为10.1.2.0网络的WWW访问，但不允许使用FTP。Quidwaｙ(ｃonfｉｇ)#ａccesｓ-lisｔ100peｒmit tcp 10.1.1.００.０.0.255 10.1．2.0 0.0．0.2５5 eｑwwｗ?Quidway(confiｇ）#acｃｅsｓ-list 10０ｄeｎy ｔcｐ1０.1.1.00.0．0.2５5 １０．1.2.0 0.0.0.255eｑfｔp ?

二、cleaｒａｃcess-listｃouｎtｅｒs 清除访问列表规则的统计信息。

cleaｒaccess-list counteｒｓ[ lｉstnｕｍber]

【参数说明】

lisｔnuｍber [可选］要清除统计信息的规则的序号,如不指定,则清除所有的规则的统计信息。【缺省情况】?任何时候都不清除统计信息。

【命令模式】?特权用户模式?【使用指南】

使用此命令来清除当前所用规则的统计信息,不指定规则编号则清除所有规则的统计信息。?【举例】

例１:清除当前所使用的序号为100的规则的统计信息。

Quidway#ｃleaｒａccｅss-liｓt couｎｔers１００?例2:清除当前所使用的所有规则的统计信息。

Ｑuｉｄway#ｃlｅａr ａｃcesｓ-liｓt couｎters ??三、ｆirｅｗaｌl启用或禁止防火墙。?fireｗalｌ｛ｅnable |ｄisablｅ}

【参数说明】?enabｌe表示启用防火墙。?disable 表示禁止防火墙。?【缺省情况】系统缺省为禁止防火墙。

【命令模式】全局配置模式?【使用指南】使用此命令来启用或禁止防火墙,可以通过showｆｉrewａlｌ命令看到相应结果。如果采用了时间段包过滤，则在防火墙被关闭时也将被关闭;该命令控制防火墙的总开关。在使用firｅwａll dｉsａblｅ命令关闭防火墙时,防火墙本身的统计信息也将被清除。?【举例】启用防火墙。Quidway(config)＃fｉｒewａlｌｅｎaｂle

【相关命令】

acｃess-ｌisｔ,ip accｅss-groｕp

四、firewａll deｆauｌt 配置防火墙在没有相应的访问规则匹配时，缺省的过滤方式。firｅwall defauｌt { peｒｍit｜dｅny }

【参数说明】

ｐeｒmit表示缺省过滤属性设置为＂允许"。?denｙ表示缺省过滤属性设置为＂禁止"。

?【缺省情况】在防火墙开启的情况下，报文被缺省允许通过。?【命令模式】全局配置模式?【使用指南】当在接口应用的规则没有一个能够判断一个报文是否应该被允许还是禁止时,缺省的过滤属性将起作用;如果缺省过滤属性是"允许"，则报文可以通过，否则报文被丢弃。??【举例】设置缺省过滤属性为"允许"。? Qu ｉdwaｙ(ｃonfig)#ｆirｅｗall defaulｔpeｒmit??五、iｐaccess-group使用此命令将规则应用到接口上。使用此命令的no形式来删除相应的设置。?ｉp access-grou ｐlistnumber ｛ｉn | ｏｕt} [nｏ] ip access-group listnumｂer { iｎ| out } 【参数说明】?liｓtnｕmber 为规则序号，是1～１９9之间的一个数值。?i ｎ表示规则用于过滤从接口收上来的报文。