冒险村物语
英雄无敌3塔防
驾考家园手游

H3C 的路由器配置命令详解

2015-06-17

H3C 的路由器配置命令详解
en 进入特权模式 conf 进入全局配置模式 in s0 进入 serial 0 端口配置 ip add xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx 添加 ip 地址和掩码，电信分配 enca hdlc/ppp 捆绑链路协议 hdlc 或者 ppp ip unn e0 exit 回到全局配置模式 in e0 进入以太接口配置 ip add xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx 添加 ip 地址和掩码，电信分配 exit 回到全局配置模式 ip route 0.0.0.0 0.0.0.0 s 0 添加路由表 ena password 口令 write exit 以上根据中国电信 ddn 专线多数情况应用
普通用户模式 enable 转入特权用户模式 exit 退出配置 help 系统帮助简述 language 语言模式切换 ping 检查网络主机连接及主机是否可达 show 显示系统运行信息 telnet 远程登录功能 tracert 跟踪到目的地经过了哪些路由器特权用户模式 #? clear 清除各项统计信息
clock 管理系统时钟 configure 进入全局配置模式 debug 开启调试开关 disable 返回普通用户模式 download 下载新版本软件和配置文件 erase 擦除 FLASH 中的配置 exec-timeout 打开 EXEC 超时退出开关 exit 退出配置 first-config 设置或清除初次配置标志 help 系统帮助简述 language 语言模式切换 monitor 打开用户屏幕调试信息输出开关 no 关闭调试开关 ping 检查网络主机连接及主机是否可达 reboot 路由器重启 setup 配置路由器参数 show 显示系统运行信息 telnet 远程登录功能 tracert 跟踪到目的地经过了哪些路由器 unmonitor 关闭用户屏幕调试信息输出开关 write 将当前配置参数保存至 FLASH MEM 中
全局配置模式 aaa-enable 使能配置 AAA(认证，授权和计费) access-list 配置标准访问表 arp 设置静态 ARP 人口 chat- 生成一个用在 modem 上的执行脚本 custom-list 创建定制队列列表 dialer-list 创建 dialer-list dram-wait 设置 DRAM 等待状态
enable 修改 ENABLE 口令 exit 退出全局配置模式 firewall 配置防火墙状态 flow-interval 设置流量控制时间间隔 -relay 帧中继全局配置命令集 ftp-server FTP 服务器 help 系统帮助命令简述 host 添加主机名称和其 IP 地址 hostname 修改主机名 ifquelen 更改接口队列长度 interface 选择配置接口 ip 全局 IP 配置命令子集 ipx 全局 IPX 配置命令子集 loghost 设置日志主机 IP 地址 logic-channel 配置逻辑通道 login 启动 EXEC 登录验证 modem-timeout 设置 modem 超时时间 multi 配置 multi 用户使用的接口 multi -user 配置 multi 用户使用的接口 natserver 设置 FTP,TELNET,WWW 服务的 IP 地址 no 关闭某些参数开关 priority-list 创建优先级队列列表 router 启动路由处理 settr 设置时间范围 snmp-server 修改 SNMP 参数 tcp 配置全局 TCP 参数 timerange 启动或关闭时间区域 user 为 PPP 验证向系统中加入用户 vpdn 设置 VPDN
vpdn-group 设置 VPDN 组 x25 X.25 协议分组层
H3C 交换机常用命令解释
作者:admin 日期:2009-12-19
字体大小: 小中大
H3C 交换机常用命令注释 H3C 交换机 ######################################################## ###############3 1、system-view 2、sysname 进入系统视图模式
为设备命名
3、display current-configuration 当前配置情况 4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、 port -type Access|Trunk|Hybrid 7、 undo shutdown 8、 shutdown 9、 quit 打开以太网端口设置端口访问模式
关闭以太网端口
退出当前视图模式创建 VLAN 10 并进入 VLAN 10 的视图模式在端口模式下将当前端口加入到 vlan 10 中在 VLAN 模式下将指定端口加入到当前 vlan 中允许所有的 vlan 通过
10、 vlan 10
11、 port access vlan 10 12、port E1/0/2 to E1/0/5
13、port trunk permit vlan all
H3C 路由器 ######################################################## ############################## 1、system-view 2、sysname R1 进入系统视图模式为设备命名为 R1
3、display ip routing-table 显示当前路由表
4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 6、 ip address 192.168.1.1 255.255.255.0 7、 undo shutdown 8、 shutdown 9、 quit 打开以太网端口配置 IP 地址和子网掩码
关闭以太网端口
退出当前视图模式
10、 ip route-static 192.168.2.0 255.255.255.0 192.168.12.2 de ion To.R2 配置静态路由 11、 ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 de ion To.R2 配置默认的路由 H3C S3100 Switch H3C S3600 Switch H3C MSR 20-20 Router ######################################################## ################################## 1、调整超级终端的显示字号； 2、捕获超级终端操作命令行，以备日后查对； 3、 language-mode Chinese|English 中英文切换； 4、复制命令到超级终端命令行，粘贴到主机； 5、交换机清除配置 :reset save ；reboot ； 6、路由器、交换机配置时不能掉电，连通测试前一定要检查网络的连通性，不要犯最低级的错误。 7、192.168.1.1/24 等同 192.168.1.1 255.255.255.0；在配置交换机和路由器时，
192.168.1.1 255.255.255.0 可以写成： 192.168.1.1 24 8、设备命名规则：地名-设备名-系列号例：PingGu-R-S3600
######################################################## ######################################################## # H3C 华为交换机端口绑定基本配置 2008-01-22 13:40
1，端口+MAC a)AM 命令使用特殊的 AM User-bind 命令，来完成 MAC 地址与端口之间的绑定。例如： [SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1 配置说明：由于使用了端口参数，则会以端口为参照物，即此时端口 E0/1 只允许 PC1 上网，而使用其他未绑定的 MAC 地址的 PC 机则无法上网。但是 PC1 使用该 MAC 地址可以在其他端口上网。
b)mac-address 命令使用 mac-address static 命令，来完成 MAC 地址与端口之间的绑定。例如： [SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1 [SwitchA]mac-address max-mac-count 0 配置说明：由于使用了端口学习功能，故静态绑定 mac 后，需再设置该端口 mac 学习数为 0，使其他 PC 接入此端口后其 mac 地址无法被学习。
2，IP+MAC a)AM 命令使用特殊的 AM User-bind 命令，来完成 IP 地址与 MAC 地址之间的绑定。例如： [SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3 配置说明：以上配置完成对 PC 机的 IP 地址和 MAC 地址的全局绑定，即与绑定的 IP 地址或者 MAC 地址不同的 PC 机，在任何端口都无法上网。支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、 S5012T/G、S5024G b)arp 命令使用特殊的 arp static 命令，来完成 IP 地址与 MAC 地址之间的绑定。例如： [SwitchA]arp static 10.1.1.2 00e0-fc22-f8d3 配置说明：以上配置完成对 PC 机的 IP 地址和 MAC 地址的全局绑定。
3，端口+IP+MAC 使用特殊的 AM User-bind 命令，来完成 IP、MAC 地址与端口之间的绑定。例如：
[SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3 interface Ethernet 0/1 配置说明：可以完成将 PC1 的 IP 地址、MAC 地址与端口 E0/1 之间的绑定功能。由于使用了端口参数，则会以端口为参照物，即此时端口 E0/1 只允许 PC1 上网，而使用其他未绑定的 IP 地址、MAC 地址的 PC 机则无法上网。但是 PC1 使用该 IP 地址和 MAC 地址可以在其他端口上网。
######################################################## ####################################### [S2016-E1-Ethernet0/1]mac-address max-mac-count 0; 进入到端口，用命令 mac max-mac-count 0(端口 mac 学习数设为 0) [S2016-E1]mac static 0000-9999-8888 int e0/1 vlan 10; 将 0000-9999-8888 绑定到 e0/1 端口上，此时只有绑定 mac 的 pc 可以通过此口上网,同时 E0/1 属于 vlan 10 就这样，ok 了，不过上面两个命令顺序不能弄反，除非端口下没有接 pc
######################################################## ################################ dis vlan 显示 vlan name text 指定当前 vlan 的名称 undo name 取消 [h3c] vlan 2 [h3c-vlan2]name test vlan dis users 显示用户 dis startup 显示启动配置文件的信息 dis user-interface 显示用户界面的相关信息 dis web users 显示 web 用户的相关信息。 header login 配置登陆验证是显示信息 header shell undo header
lock 锁住当前用户界面 acl 访问控制列表 acl number inbound/outbound [h3c]user-interface vty 0 4 [h3c-vty0-4] acl 2000 inbound shutdown:关闭 vlan 接口 undo shutdown 打开 vlan 接口关闭 vlan1 接口 [h3c] interface vlan-interface 1 [h3c-vlan-interface] shutdown vlan vlan-id 定义 vlan undo valn vlan-id display ip routing-table display ip routing-table protocol static display ip routing-table statistics display ip routing-table verbose 查看路由表的全部详细信息 interface vlan-interface vlan-id 进入 valn management-vlan vlan-id 定义管理 vlan 号 reset ip routing-table statistics protocol all 清除所有路由协议的路由信息. display garp statistics interface GigabitEthernet 1/0/1 显示以太网端口上的 garp 统计信息 display voice vlan status 查看语音 vlan 状态 [h3c-GigabitEthernet1/0/1] broadcast-suppression 20 允许接受的最大广播流量为该端口传输能力的 20%.超出部分丢弃. [h3c-GigabitEthernet1/0/1] broadcast-suppression pps 1000 每秒允许接受的最大广播数据包为 1000 传输能力的 20%.超出部分丢弃. display interface GigabitEthernet1/0/1 查看端口信息 display brief interface GigabitEthernet1/0/1 查看端口简要配置信息 display loopback-detection 用来测试环路测试是否开启 display transceiver-information interface GigabitEthernet1/0/50 显示光口相关信息 duplex auto/full/half [h3c]interface GigabitEthernet1/0/1
[h3c-GigabitEthernet1/0/1]duplux auto 设置端口双工属性为自协商 port -type access/hybrid/trunk 默认为 access port trunk permit vlan all 将 trunk 扣加入所有 vlan 中 reset counters interface GigabitEthernet1/0/1 清楚端口的统计信息 speed auto 10/100/1000 display port-security 查看端口安全配置信息 am user-bind mac-addr 00e0-fc00-5101 ip-addr 10.153.1.2 interface GigabitEthernet1/0/1 端口 ip 绑定 display arp 显示 arp display am user-bind 显示端口绑定的配置信息 display mac-address 显示交换机学习到的 mac 地址 display stp 显示生成树状态与统计信息 [h3c-GigabitEthernet1/0/1]stp instance 0 cost 200 设置生成树实例 0 上路径开销为 200 stp cost 设置当前端口在指定生成树实例上路径开销。instance-id 为 0-16 0 表 cist 取值范围 1-200000 display system-guard ip-record 显示防攻击记录信息. system-guard enable 启用系统防攻击功能 display icmp statistics icmp 流量统计 display ip socket display ip statistics display acl all acl number acl-number match-order auto/config acl-number (2000-2999 是基本 acl 3000-3999 是高级 acl 为管理员预留的编号) rule deny/permit protocal 访问控制 [h3c] acl number 3000 [h3c-acl-adv-3000]rule permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.255.255 destination-port eq 80 ( 定义高级 acl 3000,允许 129.0.0/16 网段的主机向 202.38.160/24 网段主机访问端口 80) rule permit source 211.100.255.0 0.255.255.255
rule deny cos 3 souce 00de-bbef-adse ffff-ffff-fff dest 0011-4301-9912 ffff-ffff-ffff (禁止 mac 地址 00de-bbef-adse 发送到 mac 地址 0011-4301-9912 且 802.1p 优先级为 3 的报文通过) display qos-interface GigabitEthernet1/0/1 traffic-limit 查看端口上流量端口速率限制 line-rate inbound/outbound target-rate inbound:对端口接收报文进行速率限制 outbound: 对端口发送报文进行速率限制 target-rate 对报文限制速率,单位 kbps 千兆口 inbound 范围 1-1000000 outbound 范围 20-1000000 undo line-rate 取消限速. [h3c]interface GigabitEthernet1/0/1 [h3c-GigabitEthernet1/0/1]line-rate outbound 128 限制出去速率为 128kbps display arp | include 77 display arp count 计算 arp 表的记录数 display ndp 显示交换机端口的详细配置信息。 display ntdp device-list verbose 收集设备详细信息 display lock display users display cpu display memory display fan display device display power
路由器防火墙配置指导
作者:admin 日期:2009-12-02
字体大小: 小中大
ICG 防火墙配置指导 1 防火墙简介
防火墙一方面可以阻止来自因特网的、对受保护网络的未授权访问，另一方面可以作为一个访问因特网的权限控制关口，控制内部网络用户对因特网进行 Web 访问或收发 E-mail 等。通过合理的配置防火墙可以大大提高网络的安全性和稳定性。2 2.1 防火墙的基本配置顺序如下：首先使能防火墙： ipv4：系统视图下输入 firewall enable ipv6：系统视图下输入 firewall ipv6 enable 然后配置 acl acl number 3000 rule 0 permit ip source 1.0.0.1 0 rule 10 deny ip 然后在接口上根据需要应用防火墙 interface Ethernet0/1 port -mode route firewall packet-filter 3000 inbound ip address 5.0.0.2 255.255.255.0 2.2 基础配置举例：基本配置步骤防火墙配置指导
如前所说，在使能了防火墙后，就要按需求配置 acl 并应用在接口上，下面给出几个常见的需求的配置方法： et0/1 et0/0 以下的例子中的组网如下： ICG 设备
内网外网
其中内网地址 192.168.0.2－192.168.1.255 2.2.1 禁止访问外网的某些地址用途：限制上网。比如禁止访问 100.0.0.1 地址 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule deny ip destination 100.0.0.1 0 [H3C-acl-adv-3000]rule permit ip 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1 [H3C-Ethernet0/1]firewall packet-filter 3000 inbound 备注：1）如果要禁止某个网段，则选择配置适当的掩码就可以了 2）如果内网口不止一个，可以在每一个需要的内网口都配上，或者在外网口的出方向配置防火墙 2.2.2 限制只能访问外网的某些地址用途：限制上网。比如只能访问 200.0.0.1/24 网段 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule permit ip destination 200.0.0.1 0.0.0.255 允许访问 200.0.0.1/24 网段 [H3C-acl-adv-3000]rule deny ip 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1 [H3C-Ethernet0/1]firewall packet-filter 3000 inbound 备注：1）如果要增加其他允许的网段，就需要增加相应的 rule 2）如果内网口不止一个，可以在每一个需要的内网口都配上，或者在外网口的出方向配置防火墙禁止访问其他网段允许其它 ip 禁止 100.0.0.1
2.2.3 限制只能某些地址可以访问外网用途：限制上网。比如只允许 192.168.1.0/24 网段的地址访问外网 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule permit ip source 192.168.1.0 0.0.0.255 外网 [H3C-acl-adv-3000]rule deny ip 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1 [H3C-Ethernet0/1]firewall packet-filter 3000 inbound 备注：1）如果要更精确的控制，可以通过多条 rule 加更精细的掩码匹配来实现 2）如果内网口不止一个，可以在每一个需要的内网口都配上，或者在外网口的出方向配置防火墙。 2.2.4 禁止某些地址访问外网用途：限制上网。比如禁止 192.168.0.5，192.168.1.59 两个地址访问外网 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule deny ip source 192.168.0.5 0 [H3C-acl-adv-3000]rule deny ip source 192.168.1.59 0 [H3C-acl-adv-3000]rule permit ip 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1 [H3C-Ethernet0/1]firewall packet-filter 3000 inbound 备注：1）如果要对网段实现控制，设置规则时匹配该网段就可以了 2）如果内网口不止一个，可以在每一个需要的内网口都配上，或者在外网口的出方向配置防火墙。 2.2.5 禁止某些地址访问内网用途：放置非法访问。比如禁止 200.0.0.1/24 网段的地址访问内网: acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule deny ip source 200.0.0.1 0.0.0.255 [H3C-acl-adv-3000]rule permit ip 允许其他地址禁止访问 200.0.0.1/24 允许其他地址禁止 192.168.0.5 地址禁止 192.168.1.59 地址禁止其他地址访问允许 192.168.1.0/24 访问
端口配置，在外网口入方向配置防火墙 [H3C]int et0/0 [H3C-Ethernet0/0]firewall packet-filter 3000 inbound 备注：如果有多个网段需要禁止，就需要配置多条 rule 2.2.6 限制内网的某些地址不能访问外网的某些地址用途：限制上网。比如 192.168.1.0/24 的地址段不能访问 200.0.0.1/24 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule deny ip source 192.168.1.0 0.0.0.255 destination 200.0.0.1 0.0.0.255 [H3C-acl-adv-3000]rule permit ip 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1 [H3C-Ethernet0/1]firewall packet-filter 3000 inbound 备注：如果有多个网段需要禁止，就需要配置多条 rule 2.2.7 限制 ICMP 报文用途：防攻击。只允许 ping 报文，屏蔽其他 icmp 报文，防止攻击 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule permit icmp icmp-type echo [H3C-acl-adv-3000]rule permit icmp icmp-type echo-reply [H3C-acl-adv-3000]rule permit icmp icmp-type ttl-exceeded [H3C-acl-adv-3000]rule deny icmp 端口配置，在外网口入方向配置防火墙 [H3C]int et0/0 [H3C-Ethernet0/0]firewall packet-filter 3000 inbound 2.2.8 禁止外网访问某个端口用途：防攻击，限制应用。比如禁止外网访问 300 端口 acl 配置： [H3C]acl n 3000 允许其他地址
[H3C-acl-adv-3000]rule deny tcp destination-port eq 300 端口配置，在外网口入方向配置防火墙 [H3C]int et0/0 [H3C-Ethernet0/0]firewall packet-filter 3000 inbound 备注：可以配置某一段端口不能访问 2.2.9 只允许外网访问某个端口用途：防攻击，限制应用。比如只允许外网访问 ftp 端口 acl 配置： [H3C]acl n 3000 [H3C-acl-adv-3000]rule permit tcp destination-port eq ftp 端口配置，在外网口入方向配置防火墙 [H3C]int et0/0 [H3C-Ethernet0/0]firewall packet-filter 3000 inbound [H3C-acl-adv-3000]rule deny tcp 备注：应用时可以加上 ip 地址的匹配，比如内网某台机器是 ftp 服务器，则可以配置该地址只开放 ftp 端口。 2.3 进阶配置
2.3.1 组合使用上面的配置可以在一条 acl 中配置多个 rule，也可以在一个端口上分别配置 inbound 和 outbound 的规则进行匹配，通过灵活应用与组合，实现需要的保护与限制。 2.3.2 过滤常见攻击通过防火墙，过滤掉一些常见的攻击，以下推荐一些常用的配置：限制 NETBIOS 协议端口： [H3C]acl number 3000 [H3C-acl-adv-3000]rule deny udp destination-port eq netbios-ns [H3C-acl-adv-3000]rule deny udp destination-port eq netbios-dgm [H3C-acl-adv-3000]rule deny tcp destination-port eq 139 [H3C-acl-adv-3000]rule deny udp destination-port eq netbios-ssn 限制常见病毒使用的端口： [H3C]acl number 3000
[H3C-acl-adv-3000]rule deny tcp destination-port eq 135 [H3C-acl-adv-3000]rule deny udp destination-port eq 135 [H3C-acl-adv-3000]rule deny tcp destination-port eq 445 [H3C-acl-adv-3000]rule deny udp destination-port eq 445 [H3C-acl-adv-3000]rule deny udp destination-port eq 593 [H3C-acl-adv-3000]rule deny tcp destination-port eq 593 [H3C-acl-adv-3000]rule deny tcp destination-port eq 1433 [H3C-acl-adv-3000]rule deny tcp destination-port eq 1434 [H3C-acl-adv-3000]rule deny tcp destination-port eq 4444 [H3C-acl-adv-3000]rule deny tcp destination-port eq 1025 [H3C-acl-adv-3000]rule deny tcp destination-port eq 1068 [H3C-acl-adv-3000]rule deny tcp destination-port eq 707 [H3C-acl-adv-3000]rule deny tcp destination-port eq 5554 [H3C-acl-adv-3000]rule deny tcp destination-port eq 9996 2.3.3设置时间段
/ Worm.Blaster / Worm.Blaster / Worm.Blaster / Worm.Blaster / Worm.Blaster / Worm.Blaster / SQL Slammer / SQL Slammer / Worm.Blaster / Sasser / Sasser /Nachi Blaster-D / Sasser / Sasser
如果要限制某段时间内使防火墙生效，就需要配置 time-range，然后在 acl 的 rule 上加入此限制，方法如下：比如在工作时间，外网只能访问 100.0.0.1，其他时间不做限制定义时间段： [H3C]time-range worktimeam 8:00 to 12:00 working-day 定义上午 [H3C]time-range worktimepm 13:00 to 17:00 working-day 定义下午如果不需要“午休”时间，那直接定义成 8:00-17:00 就可以了定义 acl [H3C]acl n 3000 [H3C-acl-adv-3000]rule permit ip destination 100.0.0.1 0 time-range worktimeam [H3C-acl-adv-3000]rule permit ip destination 100.0.0.1 0 time-range worktimepm [H3C-acl-adv-3000]rule deny ip time-range worktimeam [H3C-acl-adv-3000]rule deny ip time-range worktimepm 端口配置，在内网口入方向配置防火墙 [H3C]int et0/1
[H3C-Ethernet0/1]firewall packet-filter 3000 inbound 2.3.1 配置推荐
对于最基本的应用，给出以下的配置模版，包括屏蔽了常见攻击和内外网访问控制。内网口： acl number 3101 rule 10 permit icmp icmp-type echo rule 20 permit icmp icmp-type echo-reply rule 30 permit icmp icmp-type ttl-exceeded rule 40 deny icmp
rule 110 deny tcp destination-port eq 135 rule 120 deny udp destination-port eq 135 rule 130 deny udp destination-port eq netbios-ns rule 140 deny udp destination-port eq netbios-dgm rule 150 deny tcp destination-port eq 139 rule 160 deny udp destination-port eq netbios-ssn rule 170 deny tcp destination-port eq 445 rule 180 deny udp destination-port eq 445 rule 190 deny udp destination-port eq 593 rule 200 deny tcp destination-port eq 593 rule 210 deny tcp destination-port eq 1433 rule 220 deny tcp destination-port eq 1434 rule 230 deny tcp destination-port eq 4444 rule 240 deny tcp destination-port eq 1025 rule 250 deny tcp destination-port eq 1068 rule 260 deny tcp destination-port eq 707 rule 270 deny tcp destination-port eq 5554 rule 280 deny tcp destination-port eq 9996 rule 2000 permit ip source 192.168.0.0 0.0.1.255 rule 3000 deny ip
#在内网接口下应用： interface vlan-interface 1 ip address 192.168.0.1 255.255.254.0 firewall packet-filter 3101 inbound 外网口 acl number 3102 rule 10 permit icmp icmp-type echo rule 20 permit icmp icmp-type echo-reply rule 30 permit icmp icmp-type ttl-exceeded rule 40 deny icmp
rule 110 deny tcp destination-port eq 135 rule 120 deny udp destination-port eq 135 rule 130 deny udp destination-port eq netbios-ns rule 140 deny udp destination-port eq netbios-dgm rule 150 deny tcp destination-port eq 139 rule 160 deny udp destination-port eq netbios-ssn rule 170 deny tcp destination-port eq 445 rule 180 deny udp destination-port eq 445 rule 190 deny udp destination-port eq 593 rule 200 deny tcp destination-port eq 593 rule 210 deny tcp destination-port eq 1433 rule 220 deny tcp destination-port eq 1434 rule 230 deny tcp destination-port eq 4444 rule 240 deny tcp destination-port eq 1025 rule 250 deny tcp destination-port eq 1068 rule 260 deny tcp destination-port eq 707 rule 270 deny tcp destination-port eq 5554 rule 280 deny tcp destination-port eq 9996 rule 2000 permit ip destination 192.168.0.0 0.0.1.255 rule 2010 permit tcp destination-port eq 23 rule 3000 deny ip #在 WAN 接口下应用：interface ethernet 0/0
ip address 202.198.11.2 255.255.255.0 firewall packet-filter 3102 inbound

（免责声明：文章内容如涉及作品内容、版权和其它问题，请及时与我们联系，我们将在第一时间删除内容，文章内容仅供参考）