08-SecPath防火墻DAR特性V2.0(精)

1、DAR 特性應(yīng)用排錯(cuò)SecPath防火墻DAR特性ISSUE 2.0杭州華三謫信技術(shù)有限公司版權(quán)所有.未經(jīng)授權(quán)不得使用與傳ISIToIP解決方賽專家日期：DAR特性簡(jiǎn)介H3CDAR 特性應(yīng)用排錯(cuò)目錄DAR 特性簡(jiǎn)介P2P 限流介紹DAR 命令DAR特性簡(jiǎn)介H3CDAR 特性應(yīng)用排錯(cuò)深度應(yīng)用感知(Deeper Application Recognition,簡(jiǎn)稱DAR) DAR是一個(gè)智能的識(shí)別分類工具，它可以對(duì)報(bào)文中第4層 到第7層的內(nèi)容和一些動(dòng)態(tài)協(xié)議(如BT、HTTP、FTP、RTP)進(jìn)行檢查和識(shí)別，以區(qū)分出各種基于應(yīng)用的協(xié)議， 它也能夠?qū)δ承?yīng)用協(xié)議的載荷進(jìn)行匹配目錄DAR 特性簡(jiǎn)介DAR特

2、性簡(jiǎn)介H3CDAR 特性應(yīng)用排錯(cuò)P2P流介紹DAR 命令P2P限流介紹H3C P2P技術(shù)是一種用于不同PC用戶之間、不經(jīng)過中繼設(shè)備 直接交換數(shù)據(jù)或服務(wù)的技術(shù)。由于P2P技術(shù)的飛速發(fā)展，互聯(lián)網(wǎng)的存儲(chǔ)模式將由目前的 “內(nèi)容位于中心”模式轉(zhuǎn)變?yōu)椤皟?nèi)容分散存儲(chǔ)”模式，改 變了Internet現(xiàn)在的以大網(wǎng)站為中心的流量狀態(tài)。網(wǎng)上常用的P2P軟件主要有BT、eDonkey、eMule等。目錄DAR 特性簡(jiǎn)介P2P 限流介紹DAR 命令DAR 特性應(yīng)用排錯(cuò)創(chuàng)建BT報(bào)文的流分類創(chuàng)建BT報(bào)文的流行為創(chuàng)建BT報(bào)文的QoS策略將BT報(bào)文的QoS策略應(yīng)用到相應(yīng)的網(wǎng)絡(luò)接口上DAR命令之一配置對(duì) BT 報(bào)文的匹配規(guī)則H3

3、C traffic classifier btH3C-classifier-bt if-match protocol bittorrent配置對(duì) BT 報(bào)文的限流規(guī)則（限流在 20K）H3Ctraffic behavior btH3C-behavior-btcar cir 160000BT報(bào)H3CH3C在某個(gè)策略上應(yīng)用對(duì)BT報(bào)文的匹配規(guī)則H3C qos policy policysample H3C-qospolicy-policysampleclassilier bt behavior bt將BT報(bào)文的QOS策略應(yīng)用到相應(yīng)的網(wǎng)絡(luò)接口上：H3Cinterface type number H3C

4、-GigabitEthernetO/1 qos applypolicy policysample outbound |inboundDAR命令之二H3C目錄DAR 特性簡(jiǎn)介P2P 限流介紹DAR 命令DAR 特性應(yīng)用排錯(cuò)DAR典型應(yīng)用H3C要求在SecPath對(duì)內(nèi)網(wǎng)用戶上傳和下載BT進(jìn)行限流組網(wǎng)圖組網(wǎng)圖: :詳細(xì)配置（一）H3Cfirewall packet-filter default permit防火墻包過濾默認(rèn)防火墻包過濾默認(rèn)改為允許改為允許H3Cfirewall zone untrustH3C-zone-untrust add interface GigabitEthernetO/O添

5、加外期接口到添加外期接口到unjust域域H3Cfirewall zone trustH3C-zone-trust add interface GigabitEthernet 0/1添加內(nèi)網(wǎng)接口到添加內(nèi)網(wǎng)接口到trust域域H3C acl number 2002創(chuàng)建標(biāo)準(zhǔn)訪問控制列表創(chuàng)建標(biāo)準(zhǔn)訪問控制列表2002H3C-acl-basic-2002rule permit配置需要進(jìn)行配置需要進(jìn)行NAT轉(zhuǎn)換的轉(zhuǎn)換的P地址范圍地址范圍H3Cacl number 3010創(chuàng)建高級(jí)訪問控制列表創(chuàng)建高級(jí)訪問控制列表3010H3C-acl-adv-301 OJrule permit ip destination

6、 55配置需要限制配置需要限制B T下載的下載的P網(wǎng)段網(wǎng)段H3C外網(wǎng)出戶詳細(xì)配置（二）H3CH3C-acl-adv-301 OJrule deny ip不限制其他網(wǎng)段的不限制其他網(wǎng)段的BT下載下載2詳細(xì)配置（二）H3CH3Cacl number 3011H3C-acl-adv-3011rule permit ip source 55配置霜要限制配置霜要限制BT上傳的上傳的P網(wǎng)段網(wǎng)段H3C-acl-adv-3011 Jrule deny ip不限制其他阿段的不限制其他阿段的BT上傳上傳H3Ctime-rangetest 08

7、:30 to 18:00 working-day創(chuàng)建創(chuàng)建BT報(bào)文限流的時(shí)間段報(bào)文限流的時(shí)間段H3Cacl number 2001H3C-acl-basic-2001 Jrule permit time-range test配置配置BT報(bào)文限流的時(shí)間段報(bào)文限流的時(shí)間段H3C interface GigabitEthernet 0/0H3C-GigabitEthernet0/0 ip address H3C-GigabitEthernet0/0 nat outbound 20021/直接使用該接口的直接使用該接口的P地址作地址作為為NAT轉(zhuǎn)換后轉(zhuǎn)換

8、后的的IP地址地址,對(duì)匹配標(biāo)準(zhǔn)訪問控制對(duì)匹配標(biāo)準(zhǔn)訪問控制列表列表2002的數(shù)據(jù)報(bào)文的源地址進(jìn)行的數(shù)據(jù)報(bào)文的源地址進(jìn)行NA丫轉(zhuǎn)換丫轉(zhuǎn)換詳細(xì)配置（三）H3CH3Cinterface GigabitEthernet 0/1H3C-GigabitEthernetO/1 ip address H3Ctrafficclassifier BT_Download創(chuàng)建創(chuàng)建BT下載報(bào)文流分類下載報(bào)文流分類H3C-classifier-BT_Downloadif match protocol bittorrent匹配匹配BT報(bào)文報(bào)文H3C-classifier-BT

9、_Downloadif-match acl 3010配置需要限制配置需要限制B T下載的下載的IP網(wǎng)段網(wǎng)段H3C-classifier-BT_Downloadif match acl 2001配置需要限制配置需要限制BT下載的時(shí)間段下載的時(shí)間段H3C traffic classifier BT_Upload創(chuàng)建創(chuàng)建BT上傳報(bào)文流分類上傳報(bào)文流分類詳細(xì)配置（二）H3CH3C-classifier-BT_Uploadif-match protocol bittorrent匹配匹配BT報(bào)文報(bào)文H3C-classifier-BT_Uploadif-match acl 3011配置需要限制配置需要限制B

10、T上傳的滬網(wǎng)段上傳的滬網(wǎng)段H3C-classifier-BT_Uploadif-match acl 2001配置需要限制配置需要限制BT上傳的時(shí)間段上傳的時(shí)間段14詳細(xì)配置（四）H3CH3Ctraffic behavior BT_Download創(chuàng)建創(chuàng)建B下報(bào)文下載流行為下報(bào)文下載流行為H3C-behavior-BT_Downloadcar cir 160000限流限流160kbpsH3Ctraffic behavior BT_Upload創(chuàng)建創(chuàng)建BY報(bào)文上傳流行為報(bào)文上傳流行為H3C-behavior-BT_Uploadcar cir 160000限流限流160kbpsH3Cqos poli

11、cy BT_Download創(chuàng)連創(chuàng)連BT報(bào)文下載報(bào)文下載QOS策略策略H3C-qospolicy-BT_Downloadclassifier BT_Download behaviorBT_Download創(chuàng)建創(chuàng)建BT報(bào)文下載報(bào)文下載QOS策略策略H3C qos policy BT_Upload創(chuàng)建創(chuàng)建BT報(bào)文上傳報(bào)文上傳QOS策略策略H3C-qospolicy-BT_Uploadclassifier BT_Upload behavior BT_Upload創(chuàng)建創(chuàng)建BT報(bào)文上傳報(bào)文上傳QOS策略策略H3C interface GigabitEthernet 0/1 H3C-GigabitEthe

12、rnetO/1 qos apply policyBT_Download outbound在內(nèi)網(wǎng)接口上應(yīng)用在內(nèi)網(wǎng)接口上應(yīng)用BT報(bào)文下載報(bào)文下載QOS策略策略H3C-GigabitEthernetO/1 qos apply policy BT_Upload inbound在內(nèi)網(wǎng)接口上應(yīng)用在內(nèi)網(wǎng)接口上應(yīng)用BT報(bào)文上傳報(bào)文上傳QOS策略策略DAR調(diào)試與顯示H3C目錄DAR 特性簡(jiǎn)介P2P 限流介紹DAR 命令DAR 特性應(yīng)用DAR 調(diào)試與排錯(cuò)DAR調(diào)試與顯示H3C操作命令查看DAR的模塊信息display dar information查看DAR的協(xié)議信息display dar protocol al

13、l | protocol-name 查看用戶預(yù)定義協(xié)議的重命名信息display dar protocol-rename查看DAR的報(bào)文統(tǒng)計(jì)信息display dar protocol-statistic protocol protocol name | top top-number | all interface type numberdirection in | out打開DAR的調(diào)試信息開關(guān)debugging dar packet | eve nt | error | all 關(guān)閉DAR的調(diào)試信息開關(guān)undo debugging dar packet | event | error |

14、all清除會(huì)話連接緩存reset dar session淸除DAR的協(xié)議統(tǒng)計(jì)信息reset dar protocol-statistic protocol protocol- name |interface type number * | DAR應(yīng)用BT特征碼H3C.A| . . .E.00C119itTorrenolexprot.N.h?.t prctoco.0-4476 7 a pbdora4 dJ raodbof d08004e/coaslPO陽(yáng).aA-UD2 2 4 0/7 eo2of obecl98sneo.u08 C3ro8o00 4 04 8 od7 9 e 3co eoc 4

15、3商b4ce41b 4 6 24b 5 872000f61rcL40fb90 5 3 3o cbfe6 afo o 3 d2 o OJ 4O8foosf4fee76 eo00000000u1 2 3 4 5 .b7-oooooooo o o o o o oo8DAR調(diào)試與顯示H3CNo.Time| Source *DestinationProtocol | Info5 0.0018155361. 52.107.62TCP3 564 901(3 O.OQ009173.0.253221.19388171BitTor Handshake2 0.00006453

16、3TCP3229 203(1 A CCCCCC*1 n n fJL C JENAA JCCk f A A HT/OS3 Q、HI Frame 3 (122 byres on wire, 122 bytes captured) Ethernet II, Src: Micro-St_5e:7c:lf00:10:dc:52；7個(gè)：1寧)，Dst: HuaweiTe_4+ inxerner葉orocol, src: 53 (10.173.0. 253), osr : 221.193.8&171.S TransnHssion Corrtfol ProrocolfSrc Port: 3926 (3926,Dst Port: 15944 Cln BvfTorrpnTDAR排錯(cuò)H3CT 先在接口下配置qos限流，然后再下載。T 如果防火墻上設(shè)置限流前，一個(gè)已經(jīng)建立了會(huì)話的正 在