08-SecPath防火墻DAR特性V2.0(精)

1、DAR 特性應用排錯SecPath防火墻DAR特性ISSUE 2.0杭州華三謫信技術有限公司版權所有.未經授權不得使用與傳ISIToIP解決方賽專家日期：DAR特性簡介H3CDAR 特性應用排錯目錄DAR 特性簡介P2P 限流介紹DAR 命令DAR特性簡介H3CDAR 特性應用排錯深度應用感知(Deeper Application Recognition,簡稱DAR) DAR是一個智能的識別分類工具，它可以對報文中第4層 到第7層的內容和一些動態(tài)協(xié)議(如BT、HTTP、FTP、RTP)進行檢查和識別，以區(qū)分出各種基于應用的協(xié)議， 它也能夠對某些應用協(xié)議的載荷進行匹配目錄DAR 特性簡介DAR特

2、性簡介H3CDAR 特性應用排錯P2P流介紹DAR 命令P2P限流介紹H3C P2P技術是一種用于不同PC用戶之間、不經過中繼設備 直接交換數據或服務的技術。由于P2P技術的飛速發(fā)展，互聯(lián)網的存儲模式將由目前的 “內容位于中心”模式轉變?yōu)椤皟热莘稚⒋鎯Α蹦Ｊ剑?變了Internet現在的以大網站為中心的流量狀態(tài)。網上常用的P2P軟件主要有BT、eDonkey、eMule等。目錄DAR 特性簡介P2P 限流介紹DAR 命令DAR 特性應用排錯創(chuàng)建BT報文的流分類創(chuàng)建BT報文的流行為創(chuàng)建BT報文的QoS策略將BT報文的QoS策略應用到相應的網絡接口上DAR命令之一配置對 BT 報文的匹配規(guī)則H3

3、C traffic classifier btH3C-classifier-bt if-match protocol bittorrent配置對 BT 報文的限流規(guī)則（限流在 20K）H3Ctraffic behavior btH3C-behavior-btcar cir 160000BT報H3CH3C在某個策略上應用對BT報文的匹配規(guī)則H3C qos policy policysample H3C-qospolicy-policysampleclassilier bt behavior bt將BT報文的QOS策略應用到相應的網絡接口上：H3Cinterface type number H3C

4、-GigabitEthernetO/1 qos applypolicy policysample outbound |inboundDAR命令之二H3C目錄DAR 特性簡介P2P 限流介紹DAR 命令DAR 特性應用排錯DAR典型應用H3C要求在SecPath對內網用戶上傳和下載BT進行限流組網圖組網圖: :詳細配置（一）H3Cfirewall packet-filter default permit防火墻包過濾默認防火墻包過濾默認改為允許改為允許H3Cfirewall zone untrustH3C-zone-untrust add interface GigabitEthernetO/O添

5、加外期接口到添加外期接口到unjust域域H3Cfirewall zone trustH3C-zone-trust add interface GigabitEthernet 0/1添加內網接口到添加內網接口到trust域域H3C acl number 2002創(chuàng)建標準訪問控制列表創(chuàng)建標準訪問控制列表2002H3C-acl-basic-2002rule permit配置需要進行配置需要進行NAT轉換的轉換的P地址范圍地址范圍H3Cacl number 3010創(chuàng)建高級訪問控制列表創(chuàng)建高級訪問控制列表3010H3C-acl-adv-301 OJrule permit ip destination

6、 55配置需要限制配置需要限制B T下載的下載的P網段網段H3C外網出戶詳細配置（二）H3CH3C-acl-adv-301 OJrule deny ip不限制其他網段的不限制其他網段的BT下載下載2詳細配置（二）H3CH3Cacl number 3011H3C-acl-adv-3011rule permit ip source 55配置霜要限制配置霜要限制BT上傳的上傳的P網段網段H3C-acl-adv-3011 Jrule deny ip不限制其他阿段的不限制其他阿段的BT上傳上傳H3Ctime-rangetest 08

7、:30 to 18:00 working-day創(chuàng)建創(chuàng)建BT報文限流的時間段報文限流的時間段H3Cacl number 2001H3C-acl-basic-2001 Jrule permit time-range test配置配置BT報文限流的時間段報文限流的時間段H3C interface GigabitEthernet 0/0H3C-GigabitEthernet0/0 ip address H3C-GigabitEthernet0/0 nat outbound 20021/直接使用該接口的直接使用該接口的P地址作地址作為為NAT轉換后轉換

8、后的的IP地址地址,對匹配標準訪問控制對匹配標準訪問控制列表列表2002的數據報文的源地址進行的數據報文的源地址進行NA丫轉換丫轉換詳細配置（三）H3CH3Cinterface GigabitEthernet 0/1H3C-GigabitEthernetO/1 ip address H3Ctrafficclassifier BT_Download創(chuàng)建創(chuàng)建BT下載報文流分類下載報文流分類H3C-classifier-BT_Downloadif match protocol bittorrent匹配匹配BT報文報文H3C-classifier-BT

9、_Downloadif-match acl 3010配置需要限制配置需要限制B T下載的下載的IP網段網段H3C-classifier-BT_Downloadif match acl 2001配置需要限制配置需要限制BT下載的時間段下載的時間段H3C traffic classifier BT_Upload創(chuàng)建創(chuàng)建BT上傳報文流分類上傳報文流分類詳細配置（二）H3CH3C-classifier-BT_Uploadif-match protocol bittorrent匹配匹配BT報文報文H3C-classifier-BT_Uploadif-match acl 3011配置需要限制配置需要限制B

10、T上傳的滬網段上傳的滬網段H3C-classifier-BT_Uploadif-match acl 2001配置需要限制配置需要限制BT上傳的時間段上傳的時間段14詳細配置（四）H3CH3Ctraffic behavior BT_Download創(chuàng)建創(chuàng)建B下報文下載流行為下報文下載流行為H3C-behavior-BT_Downloadcar cir 160000限流限流160kbpsH3Ctraffic behavior BT_Upload創(chuàng)建創(chuàng)建BY報文上傳流行為報文上傳流行為H3C-behavior-BT_Uploadcar cir 160000限流限流160kbpsH3Cqos poli

11、cy BT_Download創(chuàng)連創(chuàng)連BT報文下載報文下載QOS策略策略H3C-qospolicy-BT_Downloadclassifier BT_Download behaviorBT_Download創(chuàng)建創(chuàng)建BT報文下載報文下載QOS策略策略H3C qos policy BT_Upload創(chuàng)建創(chuàng)建BT報文上傳報文上傳QOS策略策略H3C-qospolicy-BT_Uploadclassifier BT_Upload behavior BT_Upload創(chuàng)建創(chuàng)建BT報文上傳報文上傳QOS策略策略H3C interface GigabitEthernet 0/1 H3C-GigabitEthe

12、rnetO/1 qos apply policyBT_Download outbound在內網接口上應用在內網接口上應用BT報文下載報文下載QOS策略策略H3C-GigabitEthernetO/1 qos apply policy BT_Upload inbound在內網接口上應用在內網接口上應用BT報文上傳報文上傳QOS策略策略DAR調試與顯示H3C目錄DAR 特性簡介P2P 限流介紹DAR 命令DAR 特性應用DAR 調試與排錯DAR調試與顯示H3C操作命令查看DAR的模塊信息display dar information查看DAR的協(xié)議信息display dar protocol al

13、l | protocol-name 查看用戶預定義協(xié)議的重命名信息display dar protocol-rename查看DAR的報文統(tǒng)計信息display dar protocol-statistic protocol protocol name | top top-number | all interface type numberdirection in | out打開DAR的調試信息開關debugging dar packet | eve nt | error | all 關閉DAR的調試信息開關undo debugging dar packet | event | error |

14、all清除會話連接緩存reset dar session淸除DAR的協(xié)議統(tǒng)計信息reset dar protocol-statistic protocol protocol- name |interface type number * | DAR應用BT特征碼H3C.A| . . .E.00C119itTorrenolexprot.N.h?.t prctoco.0-4476 7 a pbdora4 dJ raodbof d08004e/coaslPO陽.aA-UD2 2 4 0/7 eo2of obecl98sneo.u08 C3ro8o00 4 04 8 od7 9 e 3co eoc 4

15、3商b4ce41b 4 6 24b 5 872000f61rcL40fb90 5 3 3o cbfe6 afo o 3 d2 o OJ 4O8foosf4fee76 eo00000000u1 2 3 4 5 .b7-oooooooo o o o o o oo8DAR調試與顯示H3CNo.Time| Source *DestinationProtocol | Info5 0.0018155361. 52.107.62TCP3 564 901(3 O.OQ009173.0.253221.19388171BitTor Handshake2 0.00006453

16、3TCP3229 203(1 A CCCCCC*1 n n fJL C JENAA JCCk f A A HT/OS3 Q、HI Frame 3 (122 byres on wire, 122 bytes captured) Ethernet II, Src: Micro-St_5e:7c:lf00:10:dc:52；7個：1寧)，Dst: HuaweiTe_4+ inxerner葉orocol, src: 53 (10.173.0. 253), osr : 221.193.8&171.S TransnHssion Corrtfol ProrocolfSrc Port: 3926 (3926,Dst Port: 15944 Cln BvfTorrpnTDAR排錯H3CT 先在接口下配置qos限流，然后再下載。T 如果防火墻上設置限流前，一個已經建立了會話的正 在