华为端口镜像ACL流过滤

1、1华为交换机端口镜像设置 system-view（配置观察端口）HUAWEI observe-port 1 in terface gigabitethernet 1/0/1 HUAWEI in terface gigabitethernet 2/0/1（配置镜像HUAWEI-GigabitEtherne0/1 port-mirrori ng to observe-port 1 in bou nd端口）2、华为交换机ACL控制列表和包过滤设置ACL控制列表种类：、标准访问控制列表：只能使用源地址描述数据，表明是允许还是拒绝acl XXX rule permit/de ny source sour

2、ce address source_wildcard/a ny eg：acl 1199rule permit source 55 (允许源地址为网段的数据包通过）、扩展访问控制列表：在标准控制列表的基础上添加基于协议和端口号的控制 CMP机帀疋向报文 destination-port equal www loggingTCP报文WWW 端 I Ie/1620238,160.0/23、流策略(Traffic Policy )用于QoS复杂流分类，实现丰富的QoS策略。Traffic Policy分为三部分:CD、流分类

3、(Classifier )模板:定义流量类型。一个Classifier可以配置一条或多条if-match语句，if-match语句中可以引用ACL规则。不同的Classifier模板可以应用相同的ACL规则。一个ACL规则可以配置一个或多个 Rule语句。C、流动作(Behavior )模板：指，用于定义针对该类流量可实施的流动作。 可以定义一个或多个动作。一个 Behaviorc、流策略(Traffic Policy )模板：将流分类Classifier和流动作Behavior 联，成为一个Classifier & Behavior对。当Traffic Policy模板设置完毕之后，需要将T

4、rafficPolicy模板应用到接口上才能使策略生效。PortPortACLACLClassifier & Behavior对之间的匹配顺序一个Traffic-policy中可以配置一个或多个Classifier & Behavior对。当收到一个报文，做复杂流分 类处理时会按照Traffic-policy中Classifier & Behavior对的配置顺序进行匹配。如果命中，则停止匹配；如果不命中，则匹配后面的Classifier ；如果是最后一个Classifier，且还 不命中，则报文走正常的转发处理，类似于没有应用流分类策略。Classifier之间的顺序可以通过命令行class

5、ifier classifier-name behavior behavi orn ame precede nee precede nee （彥 改。仅 ij 女，Trafficpolicy T中配置了 A B、C 三个 Classifier :#traffic policy Tclassifier A behavior Aclassifier B behavior Bclassifier C behavior C #缺省情况下，A、B、C三个Classifier的顺序分别是1、2和3，与配置的顺序相同。如果要将A排在最后，可以执行如下命令：classifier A behavior A pr

6、ecede nee 4结果是：#traffic policy Tclassifier B behavior Bclassifier C behavior C classifier A behavior A precede nee 4#此时，B之前的顺序号1没有被占用，因此可以在B之前添加一个Classifier （假设是D）,则可执行如下命令实现。classifier D behavior D precede nee 1结果是：traffic policy T classifier D behavior D precede nee 1classifier B behavior Bclassif

7、ier C behavior Cclassifier A behavior A precede nee 4#如果按如下方法不指定precedence值的方式添加D，classifier D behavior D结果如下：#traffic policy Tclassifier B behavior Bclassifier C behavior Cclassifier A behavior A precede nee 4classifier D behavior D#If-match语句之间的匹配顺序由于Classifier中配置的是一个或多个if-match语句，按照if-match语句配置顺序

8、进行 匹配。报文命中if-match语句后，是否执行对应的behavior动作，取决于If-match语句之间是And还是Or 逻辑。If-match语句之间的And和Or逻辑如果流分类模板下配置了多个if-match语句，则这些语句之间有And和Or两种逻辑尖系：Or逻 辑：数据包只要匹配该流分类下的任何一条if-match语句定义的规则就属于该类。And逻辑：数据包必须匹配该流分类下的全部if-match语句才属于该类。流策略的执行过程（if-match语句间是Or逻辑）图2流策略的执行过程（Or逻辑）Gat fistdn?.gifierGat nextrf-mattiiGe4 next是

9、matchnuLdiuh、 ernirrAAlA 5 7OA*A.PerrFicBehaviorGet first iAmalclL如图2，针对每个Classifier，如果If-match语句之间是Or逻辑按照if-match语句配置顺序进行匹配,数据包一旦命中某个if-match语句：如果命中的if-match语句没有引用ACL则执行behavior定义的 动作。如果命中的if-match语句引用了 ACL但命中的是permit规则，则执行behavior定义的 动作；命中 的是deny规则，则直接丢弃报文。如果数据包没有命中任何if-match语句，则不支持任何动作，继续处理下一个Cla

10、ssifier流策略的执行过程（if-match语句间是And逻辑）如果If-match语句之间是And逻辑，设备先会将 这些if-match语句进行合并（这里的”合并”相当于集合的乘法操作），再按照Or逻辑的处理流程进 行处理。对于引用ACL的if-match语句，不是将ACL内部的各条Rule进行合并，而是逐条与其他if-match 语句进行合并。因此值得注意的是：And逻辑中if-match语句的顺序不影响匹配结果，但ACL中Rule的顺序仍然会影响匹配结果。例如某个流策略卜.配了如下一个classifier :traffic classifier example operator an

11、dif-match acl 3000if-match dscp af11#则设备首先进行if-match语句的合并，合并结果相当于：#acl 3000rule 5 #traffic classifier example operator orif-match acl 3000#traffic behavior exampleremark dscp af22#traffic policy exampleshare-modeclassifier example behavior example#interface GigabitEtherne0/0traffic-policy P inbound#

12、然后，再针对合并结果按Or逻辑的执行过程进行处理。处理结果是从GE2/0/0收到的源IP为且dscp=10的报文重标记为AF22,源IP为且dscp=10的报文丢 弃，其他报 文由于没有匹配任何规则，直接转发。对于And逻辑，系统默认License中最多只允许存在一条引用ACL的if-match语句；而Or逻辑中可以有多条引用 ACL的if-match语句。如果更改License使And逻辑允许存在多条引用ACL 的 if-match 语句则这些 if-match语句的合并规则是：permit + permit = permitpermit + deny = deny deny + permi

13、t = deny deny + deny = denyIf-math语句引用ACL时的匹配过程如果if-match语句指定的是ACL，需要在ACL的多个Rule语句中进行匹配：首先查找用户是否配 置了该ACL （因为流分类允许引用不存在的ACL，命中的第一条则停止匹配， 不再继续查找后续的规则。说明：当Rule中的动作为Deny时，如果behavior是镜像或采样，即使对于丟弃的报文，也会执行 behavior。ACL中可以指定permit或deny规则，它与ACL所在Classifier所对应的Behavior中的动作的尖系是：ACL为deny,则不矢心Behavior，报文最终动作是deny ；ACL为permit，则执行Behavior，报文最终动作是Behavior。例如以下配置的匹配结果是：源地址是4的报文IP优先级被标记为7 ；源地址是的报文被丢弃；源地址是的报文IP优先级不变。acl 3999rule 5 traffic classifier aclif-match acl 3999 traffic behavior testremark ip-pre 7 traffic policy testclassifier acl behavior testinter