最新华为端口镜像ACL流过滤.docx

华为端口镜像ACL流过滤
1、华为交换机端口镜像设置
<HUAWEI> system-view 
[HUAWEI] observe-port 1 interface gigabitethernet 1/0/1 〔配置观察端口〕classifier C behavior C
classifier A behavior A precedence 4
classifier D behavior D
#
If-match语句之间的匹配顺序
由于Classifier中配置的是一个或多个if-match语句，按照if-match语句配置顺序进行匹配。报文命中if-match语句后，是否执行对应的behavior动作，取决于If-match语句之间是And还是Or逻辑。
If-match语句之间的And和Or逻辑
如果流分类模板下配置了多个if-match语句，那么这些语句之间有And和Or两种逻辑关系：
Or逻辑：数据包只要匹配该流分类下的任何一条if-match语句定义的规那么就属于该类。
And逻辑：数据包必须匹配该流分类下的全部if-match语句才属于该类。
流策略的执行过程〔if-match语句间是Or逻辑〕
图2 流策略的执行过程〔Or逻辑〕 
如图2，针对每个Classifier，如果If-match语句之间是Or逻辑，按照if-match语句配置顺序进行匹配，数据包一旦命中某个if-match语句：
如果命中的if-match语句没有引用ACL，那么执行behavior定义的动作。
如果命中的if-match语句引用了ACL，且命中的是permit规那么，那么执行behavior定义的动作；命中的是deny规那么，那么直接丢弃报文。
如果数据包没有命中任何if-match语句，那么
不支持任何动作，继续处理下一个Classifier。
流策略的执行过程〔if-match语句间是And逻辑〕
如果If-match语句之间是And逻辑，设备先会将这些if-match语句进行合并〔这里的“合并〞相当于集合的乘法操作〕，再按照Or逻辑的处理流程进行处理。
对于引用ACL的if-match语句，不是将ACL内部的各条Rule进行合并，而是逐条与其他if-match语句进行合并。因此值得注意的是：And逻辑中if-match语句的顺序不影响匹配结果，但ACL中Rule的顺序仍然会影响匹配结果。
例如，某个流策略下配了如下一个classifier：
#
acl 3000
rule 5 permit ip source 0
rule 10 deny ip source 0
#
traffic classifier example operator and
if-match acl 3000
if-match dscp af11
#
那么设备首先进行if-match语句的合并，合并结果相当于：
#
acl 3000
rule 5 permit ip source 0 dscp af11
rule 10 deny ip source 0 dscp af11
#
traffic classifier example operator or
if-match acl 3000
#
traffic behavior example
remark dscp af22
#
traffic policy example
share-mode
classifier example behavior example
#
interface GigabitEthernet2/0/0
traffic-policy P inbound
#
然后，再针对合并结果按Or逻辑的执行过程进行处理。处理结果是从
GE2/0/=10的报文重标记为AF22，=10的报文丢弃，其他报文由于没有匹配任何规那么，直接转发。
对于And逻辑，系统默认License中最多只允许存在一条引用ACL的if-match语句；而Or逻辑中，可以有多条引用ACL的if-match语句。
如果更改License使And逻辑允许存在多条引用ACL的if-match语句，那么这些if-match语句的合并规那么是：
permit + permit = permit
permit + deny = deny
deny + permit = deny
deny + deny = de