考试思科路由器防火墙配置命令.docx
《考试思科路由器防火墙配置命令.docx》由会员分享，可在线阅读，更多相关《考试思科路由器防火墙配置命令.docx（9页珍藏版）》请在冰豆网上搜索。
考试思科路由器防火墙配置命令
[考试]思科路由器防火墙配置命令
思科路由器防火墙配置命令
路由器防火墙配置命令
阅读选项:
文字黑色红色白色灰色绿色蓝色青色黄色背景白色粉红
灰色绿色蓝色黑色青色棕色字号9pt10pt12pt14pt16pt18pt24
pt30pt字型正常加粗自动滚屏[左键停止]
一、access-list用于创建访问规则。
（1）创建标准访问列表
access-list[normal|special]listnumber1{permit|deny}source-addr[source-mask]
（2）创建扩展访问列表
access-list[normal|special]listnumber2{permit|deny}protocolsource-addrsource-mask[operatorport1[port2]]dest-addrdest-mask[operatorport1[port2]|icmp-type[icmp-code]][log]
（3）删除访问列表
noaccess-list{normal|special}{all|listnumber[subitem]}
【参数说明】
normal指定规则加入普通时间段。
special指定规则加入特殊时间段。
listnumber1是1到99之间的一个数值，表示规则是标准访问列表规则。
listnumber2是100到199之间的一个数值，表示规则是扩展访问列表规则。
permit表明允许满足条件的报文通过。
deny表明禁止满足条件的报文通过。
protocol为协议类型，支持ICMP、TCP、UDP等，其它的协议也支持，此时没有端口比较的概念;为IP时有特殊含义，代表所有的IP协议。
source-addr为源地址。
source-mask为源地址通配位，在标准访问列表中是可选项，不输入则代表通配位为0.0.0.0。
dest-addr为目的地址。
dest-mask为目的地址通配位。
operator[可选]端口操作符，在协议类型为TCP或UDP时支持端口比较，支持的比较操作有:
等于（eq）、大于（gt）、小于（lt）、不等于（neq）或介于（range）;如果操作符为range，则后面需要跟两个端口。
port1在协议类型为TCP或UDP时出现，可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。
port2在协议类型为TCP或UDP且操作类型为range时出现;可以为关键字所设定的预设值（如telnet）或0~65535之间的一个数值。
icmp-type[可选]在协议为ICMP时出现，代表ICMP报文类型;可以是关键字所设定的预设值（如echo-reply）或者是0~255之间的一个数值。
icmp-code在协议为ICMP且没有选择所设定的预设值时出现;代表ICMP码，是0~255之间的一个数值。
log[可选]表示如果报文符合条件，需要做日志。
listnumber为删除的规则序号，是1~199之间的一个数值。
subitem[可选]指定删除序号为listnumber的访问列表中规则的序号。
【缺省情况】
系统缺省不配置任何访问规则。
【命令模式】
全局配置模式
【使用指南】
同一个序号的规则可以看作一类规则;所定义的规则不仅可以用来在接口上过滤报文，也可以被如DDR等用来判断一个报文是否是感兴趣的报文，此时，permit与deny表示是感兴趣的还是不感兴趣的。
使用协议域为IP的扩展访问列表来表示所有的IP协议。
同一个序号之间的规则按照一定的原则进行排列和选择，这个顺序可以通过showaccess-list命令看到。
【举例】
允许源地址为10.1.1.0网络、目的地址为10.1.2.0网络的WWW访问，但不允许使用FTP。
Quidway（config）#access-list100permittcp10.1.1.00.0.0.255
10.1.2.00.0.0.255eqwww
Quidway（config）#access-list100denytcp10.1.1.00.0.0.255
10.1.2.00.0.0.255eqftp
【相关命令】
ipaccess-group
二、clearaccess-listcounters清除访问列表规则的统计信息。
clearaccess-listcounters[listnumber]
【参数说明】
listnumber[可选]要清除统计信息的规则的序号，如不指定，则清除所有的规则的统计信息。
【缺省情况】
任何时候都不清除统计信息。
【命令模式】
特权用户模式
【使用指南】
使用此命令来清除当前所用规则的统计信息，不指定规则编号则清除所有规则的统计信息。
【举例】
例1:
清除当前所使用的序号为100的规则的统计信息。
Quidway#clearaccess-listcounters100
例2:
清除当前所使用的所有规则的统计信息。
Quidway#clearaccess-listcounters
【相关命令】
access-list
三、firewall启用或禁止防火墙。
firewall{enable|disable}
【参数说明】
enable表示启用防火墙。
disable表示禁止防火墙。
【缺省情况】
系统缺省为禁止防火墙。
【命令模式】
全局配置模式
【使用指南】
使用此命令来启用或禁止防火墙，可以通过showfirewall命令看到相应结果。
如果采用了时间段包过滤，则在防火墙被关闭时也将被关闭;该命令控制防火墙的总开关。
在使用firewalldisable命令关闭防火墙时，防火墙本身的统计信息也将被清除。
【举例】
启用防火墙。
Quidway（config）#firewallenable
【相关命令】
access-list，ipaccess-group
四、firewalldefault配置防火墙在没有相应的访问规则匹配时，缺省的过滤方式。
firewalldefault{permit|deny}
【参数说明】
permit表示缺省过滤属性设置为“允许”。
deny表示缺省过滤属性设置为“禁止”。
【缺省情况】
在防火墙开启的情况下，报文被缺省允许通过。
【命令模式】
全局配置模式
【使用指南】
当在接口应用的规则没有一个能够判断一个报文是否应该被允许还是禁止时，缺省的过滤属性将起作用;如果缺省过滤属性是“允许”，则报文可以通过，否则报文被丢弃。
【举例】
设置缺省过滤属性为“允许”。
Quidway（config）#firewalldefaultpermit
五、ipaccess-group使用此命令将规则应用到接口上。
使用此命令的no形式来删除相应的设置。
ipaccess-grouplistnumber{in|out}
[no]ipaccess-grouplistnumber{in|out}
【参数说明】
listnumber为规则序号，是1~199之间的一个数值。
in表示规则用于过滤从接口收上来的报文。
out表示规则用于过滤从接口转发的报文。
【缺省情况】
没有规则应用于接口。
【命令模式】
接口配置模式。
【使用指南】
使用此命令来将规则应用到接口上;如果要过滤从接口收上来的报文，则使用in关键字;如果要过滤从接口转发的报文，使用out关键字。
一个接口的一个方向上最多可以应用20类不同的规则;这些规则之间按照规则序号的大小进行排列，序号大的排在前面，也就是优先级高。
对报文进行过滤时，将采用发现符合的规则即得出过滤结果的方法来加快过滤速度。
所以，建议在配置规则时，尽量将对同一个网络配置的规则放在同一个序号的访问列表中;在同一个序号的访问列表中，规则之间的排列和选择顺序可以用showaccess-list命令来查看。
【举例】
将规则101应用于过滤从以太网口收上来的报文。
Quidway（config-if-Ethernet0）#ipaccess-group101in
【相关命令】
access-list
六、settr设定或取消特殊时间段。
settrbegin-timeend-time
nosettr
【参数说明】
begin-time为一个时间段的开始时间。
end-time为一个时间段的结束时间，应该大于开始时间。
【缺省情况】
系统缺省没有设置时间段，即认为全部为普通时间段。
【命令模式】
全局配置模式
【使用指南】
使用此命令来设置时间段;可以最多同时设置6个时间段，通过showtimerange命令可以看到所设置的时间。
如果在已经使用了一个时间段的情况下改变时间段，则此修改将在一分钟左右生效（系统查询时间段的时间间隔）。
设置的时间应该是24小时制。
如果要设置类似晚上9点到早上8点的时间段，可以设置成“settr21:
0023:
590:
00
8:
00”，因为所设置的时间段的两个端点属于时间段之内，故不会产生时间段内外的切换。
另外这个设置也经过了2000问题的测试。
【举例】
例1:
设置时间段为8:
30~12:
00，14:
00~17:
00。
Quidway（config）#settr8:
3012:
0014:
0017:
00
例2:
设置时间段为晚上9点到早上8点。
Quidway（config）#settr21:
0023:
590:
008:
0
【相关命令】
timerange，showtimerange
七、showaccess-list显示包过滤规则及在接口上的应用。
showaccess-list[all|listnumber|interfaceinterface-name]
【参数说明】
all表示所有的规则，包括普通时间段内及特殊时间段内的规则。
listnumber为显示当前所使用的规则中序号为listnumber的规则。
interface表示要显示在指定接口上应用的规则序号。
interface-name为接口的名称。
【命令模式】
特权用户模式
【使用指南】
使用此命令来显示所指定的规则，同时查看规则过滤报文的情况。
每
个规则都有一个相应的计数器，如果用此规则过滤了一个报文，则计
数器加1;通过对计数器的观察可以看出所配置的规则中，哪些规则
是比较有效，而哪些基本无效。
可以通过带interface关键字的show
access-list命令来查看某个接口应用规则的情况。
【举例】
例1:
显示当前所使用的序号为100的规则。
Quidway#showaccess-list100
Usingnormalpacket-filteringaccessrulesnow.
100denyicmp10.1.0.00.0.255.255any
升级会员 