安全功能命令Word格式文档下载.docx

1、=1分钟。命令模式：时间范围模式缺省情况：没有时间范围配置使用指南：周期性的时间和日期，周期是定义每周的16 和周日的具体时间段，可以同时配置多个周期性时段，它们之间是“或”的关系。它的形式是：day1 hh:mm:ss To day2 hh:ss 或者day1+day2+day3+day4+day5+day6+day7|weekend|weekdays|daily hh:ss Tohh:ss举例：使能在Tuesday到Saturday内的9:15:30到12:30:00时间段内配置生效Switch（config）#time-range dc_timerSwitch（Config-Time-R

2、ange-dc_timer）#absolute-periodic tuesday 9:30 to saturday 12:00使能在Monday、Wednesday、Friday和Sunday四天内的14:00到16:45:00时间段配置生效Switch （Config-Time-Range-dc_timer）#periodicmonday wednesday friday sunday 14:00 to 16:1.2 absolute startnoabsolute start end 定义一个绝对时间段,这个时间段是根据本设备的时钟运行。start_time：开始时间点，HH:end_ti

3、me：结束时间点，HH:start_data：开始日期，格式是，YYYY.MM.DD（年.月.日）end_data ：结束日期，格式是，YYYY.MM.DD（年.月.日）绝对时间及日期，指定具体开始的年，月，日，小时，分钟，不能配置多个绝对时间及日期，重复配置时，后配置的覆盖以前配置的绝对时间及日期。1.3 access-list（ip extended）access-list deny | permit icmp | any-source | host-source dMask | any-destination | host-destination precedence tos time-

4、range deny | permit igmp precedence access-list deny | permit tcp | any-source | host-source s-port | rangesPortMax | any-destination | host-destination d-port dPortMindPortMaxack+ fin+ psh+ rst+ urg+ syn precedence tos deny | permit udp | range precedence deny | permit eigrp | gre | igrp | ipinip |

5、 ip |ospf | | any-source | host-source | any-destination | host-destination precedence tos time-range no access-list 为ip上层协议号，0-255；为源IP地址，格式为点分十进制；sMask 为源IP的反掩码，格式为点分十进制；为目的IP地址，格式为点分十进制；为目的IP的反掩码，格式为点分十进制，关心的位置0，忽略的位置1；，igmp的类型， 0-15；，icmp的类型，0-255 ；，icmp的协议编号， 0-255；，IP优先级，0-7；，tos值，0-15；，源端口号，0

6、-65535；，源端口范围下边界；，源端口范围上边界；，目的端口号，0-65535；，目的端口范围下边界；，目的端口范围上边界；，时间范围名称。全局配置模式没有配置任何的访问列表。当用户第一次指定特定时，创建此编号的ACL，之后在此ACL中添加表项；标号为200-299访问列表可以配置非连续IP地址反掩码。代表IGMP报文的类型，常用的取值可参照以下的说明：17（0x11）：IGMP QUERY报文18（0x12）：IGMP V1 REPORT报文22（0x16）：IGMP V2 REPORT报文23（0x17）：IGMP V2 LEAVE报文34（0x22）：IGMP V3 REPORT报文

7、19（0x13）：DVMRP报文20（0x14）：PIM V1报文特别提示：这里所指的报文类型是指不含有IP OPTION情况下的报文类型，在通常情况下，IGMP报文是包含有OPTION字段的，这样的设置对这种报文没有作用。如果希望对包含OPTION的报文进行配置，请直接使用配置OFFSET的方式进行。创建编号为110的数字扩展访问列表。拒绝icmp报文通过，允许目的地址为192.168.0.1目的端口为32的udp包通过。Switch（config）#access-list 110 deny icmp any-source any-destinationSwitch（config）#acce

8、ss-list 110 permit udp any-source host-destination 192.168.0.1 d-port 321.4 access-list（ip standard） deny | permit no access-list 创建一条数字标准IP访问列表，如果已有此访问列表，则增加一条rule表项；本命令的no操作为删除一条数字标准IP访问列表。为访问表标号，1-99；为源IP的反掩码，格式为点分十进制。时，创建此编号的ACL，之后在此ACL中添加表项。创建一条编号为20的数字标准IP访问列表，允许源地址为10.1.1.0/24的数据包通过，拒绝其余源地址为1

9、0.1.1.0/16的数据包通过。Switch（config）#access-list 20 permit 10.1.1.0 0.0.0.255Switch（config）#access-list 20 deny 10.1.1.0 0.0.255.2551.5 access-list（mac extended）deny|permitany-source-mac | host-source-mac |smac-maskany-destination-mac|host-destination-macdmacdmac-maskuntagged-eth2|tagged-eth2| untagged-8

10、02-3 |tagged-802-3length1value1offset2length2value2offset3length3value3offset4length4value4定义一条扩展数字MAC ACL规则，No命令删除一个扩展数字MAC访问表规则访问表号，这是一个从11001199的十进制号；deny如果规则匹配，拒绝访问；permit如果规则匹配，允许访问；any-source-mac任何源地址；any-destination-mac 任何目的地址；，源MAC地址；源MAC地址的掩码（反掩码）； ，对untagged-802.3类型帧：1260对tagged-eth2类型帧：12

11、56对tagged-802.3类型帧：1264全局配置配置模式缺省配置：没有配置任何的访问列表允许任意源MAC地址任意目的MAC地址的tagged-eth2，且其第17 18个字节分别为0x08 ，0x0的包通过。Switch（config）#access-list 1100 permit any-source-mac any-destination-mac tagged-eth2 16 2 08001.6 access-list（mac-ip extended）deny|permitany-source-mac| host-source-mac any-destination-mac|hos

12、t-destination-mac icmp source-wildcard|any-source|host-sourcedestinationdestination-wildcard|any-destination| host-destinationigmp deny|permitany-source-mac| host-source-mac | any-destination-mac| host-destination-mac tcp |any-source| host-source s-port d-port ack+fin+psh+rst+urg+syn precedence time

13、-range any-destination-mac| host-destination-mac | udp |any-source| host-source s-port | range |any-destination| host-destination d-port precedence time-range deny|permitany-source-mac|host-source-mac any-destination-mac|host-destination-mac eigrp|gre|igrp|ip|ipinip|ospf| |any-source|host-source 定义一

14、条扩展数字MAC-IP ACL规则，No命令删除一个扩展数字MAC-IP ACL访问表规则num访问表号。这是一个从31003299的十进制号；any-source-mac任何源MAC地址；any-destination-mac任何目的MAC地址；host_smac ，smac源MAC地址；smac-mask源MAC地址的掩码（反掩码）；host_dmac，dmac目的MAC地址；dmac-mask目的MAC地址的掩码（反掩码）；protocol名字或IP协议的号。它可以是关键字 eigrp, gre, icmp, igmp, igrp, ip, ipinip, ospf, tcp, or u

15、dp, 也可以是表IP协议号的0到255的一个整数。为了匹配任何Internet协议（包括ICMP，TCP和UDP）使用关键字ip；source-host-ip, source包发送的源网络或源主机号。32位二进制数，点分十进制表示；host-source 表示地址是源主机IP地址，否则是网络IP地址；source-wildcard 源IP的掩码。用四个点隔开的十进制数表示的32位二进制数，反掩码；destination-host-ip，destination包发送时要去往的目的网络或主机号。host-source 表示地址是目的主机IP地址，否则是网络IP地址；destination-wildcard 目的IP的掩码。s-port （可选） 表示要匹配TCP/UDP源端口；port1 （可选）TCP/UDP源端口号值，端口号是一个0到65535的数字；d-port （可选）表示要匹配TCP/UDP目的端口；port3 （可选）TCP/UDP目的端口号值，端口号是一个0到65535的数字； ack fin psh rst urg syn，（可选） 只对TCP协议，可选多个标志位，当TCP数据报ack fin psh rst