示例：为 EX 系列交换机上的端口、VLAN 和路由器流量配置防火墙过滤器

CLI 快速配置

要快速配置和应用端口防火墙过滤器，以确定发往子网的语音流量和速率限制数据包的 employee-vlan 优先级，请复制以下命令并将其粘贴到交换机终端窗口中：

逐步过程

要配置和应用端口防火墙过滤器，以便确定发往子网的语音流量和速率限制数据包的 employee-vlan 优先级：

1. 定义监管器 tcp-connection-policer ： icmp-connection-policer：

2. 定义防火墙过滤器 ingress-port-voip-class-limit-tcp-icmp：

3. 定义术语 voip-high：

4. 定义术语 network-control：

5. 定义用于配置 TCP 流量速率限制的术语 tcp-connection ：

6. 定义为 ICMP 流量配置速率限制的术语 icmp-connection ：

7. 在防火墙过滤器中，对于与任何其他术语 best-effort 不匹配的所有数据包，定义无匹配条件的术语：

8. 将防火墙过滤器 ingress-port-voip-class-limit-tcp-icmp 作为输入过滤器应用于端口接口，用于 employee-vlan：

9. 配置不同调度程序所需的参数。

   注：

   配置调度器参数时，请定义与网络流量模式匹配的数字。

10. 使用调度器图将转发类分配给调度程序：

11. 将调度器图与传出接口相关联：

结果

显示配置结果：

CLI 快速配置

要快速配置 voice-vlan VLAN 防火墙过滤器，以防止非法设备使用 HTTP 会话模仿管理 VoIP 流量的守门设备，请复制以下命令并将其粘贴到交换机终端窗口中：

逐步过程

要配置并应用 VLAN 防火墙过滤器 voice-vlan 以防止非法设备使用 HTTP 模仿管理 VoIP 流量的守门设备：

1. 定义防火墙过滤器 ingress-vlan-rogue-block ，以针对要允许和限制的流量指定过滤器匹配：

2. 定义接受与门卫程序目标 IP 地址匹配的数据包的术语 to-gatekeeper ：

3. 定义接受与网关源 IP 地址匹配的数据包的术语 from-gatekeeper ：

4. 定义术语 not-gatekeeper 以确保 TCP 端口上的所有 voice-vlan 流量都流向网关设备：

5. 将防火墙过滤器 ingress-vlan-rogue-block 作为输入过滤器应用于 VoIP 电话的 VLAN 接口：

结果

显示配置结果：

CLI 快速配置

配置了防火墙过滤器并应用于 VLAN 接口，以过滤 employee-vlan 出口流量。接收面向公司子网的员工流量，但不会受到监控。对运往 Web 的员工流量进行计数和分析。

要快速配置和应用 VLAN 防火墙过滤器，请复制以下命令并将其粘贴到交换机终端窗口中：

逐步过程

要配置并应用出口端口防火墙过滤器来计数和分析 employee-vlan 前往 Web 的流量：

1. 定义防火墙过滤器 egress-vlan-watch-employee：

2. 定义接受但不监控以公司子网为目的地的所有employee-vlan流量的术语employee-to-corp：

3. 定义对以 Web 为目的地的所有employee-vlan流量进行计数和监控的术语employee-to-web：

   注：

   请参阅 示例：配置端口镜像以本地监控 EX 系列交换机 上员工资源使用情况，了解有关配置 employee-monitor 分析器的信息。

4. 将防火墙过滤器 egress-vlan-watch-employee 作为输出过滤器应用于 VoIP 电话的端口接口：

结果

显示配置结果：

CLI 快速配置

在以下示例中，第一个过滤器术语允许访客与其他访客交谈，但不允许员工交谈 employee-vlan。第二个过滤器术语允许访客进行 Web 访问，但会阻止访客在上 guest-vlan使用对等应用程序。

要快速配置 VLAN 防火墙过滤器以限制访客到员工的流量，阻止访客与员工或员工主机上 employee-vlan 对话或尝试在 guest-vlan对等上使用应用程序，请复制以下命令并将其粘贴到交换机终端窗口中：

逐步过程

要配置和应用 VLAN 防火墙过滤器以限制访客到员工的流量和对等应用程序 guest-vlan：

1. 定义防火墙过滤器 ingress-vlan-limit-guest：

2. 定义该术语 guest-to-guest 以允许访客 guest-vlan 与其他访客交谈，但不允许员工在以下方面 employee-vlan交谈：

3. 定义术语 no-guest-employee-no-peer-to-peer 以允许访客 guest-vlan 访问 Web，但防止访客在上使用对等应用程序 guest-vlan。

   注：

   这是 destination-mac-address 默认网关，对于 VLAN 中的任何主机而言，该网关都是下一跃点路由器。

4. 将防火墙过滤器 ingress-vlan-limit-guest 作为输入过滤器应用于接口，用于 guest-vlan ：

结果

显示配置结果：

CLI 快速配置

要为路由端口（第 3 层上行链路模块）快速配置防火墙过滤器以过滤 employee-vlan 流量，为发往企业子网的流量提供最高转发等级优先级，请复制以下命令并将其粘贴到交换机终端窗口中：

逐步过程

要配置防火墙过滤器并将其应用于路由端口（第 3 层上行链路模块），以便对 employee-vlan 发往企业子网的流量给予最高优先级：

1. 定义防火墙过滤器 egress-router-corp-class：

2. 定义术语 corp-expedite：

3. 定义术语 not-to-corp：

4. 将防火墙过滤器 egress-router-corp-class 用作交换机上行链路模块上端口的输出过滤器，后者为路由器提供第 3 层连接：

结果

显示配置结果：

目的

验证交换机上配置的防火墙过滤器和监管器的操作状态。

行动

使用操作模式命令：

含义

命令 show firewall 显示交换机上配置的防火墙过滤器、监管者和计数器的名称。输出字段显示所有配置的计数器的字节和数据包计数，以及所有监管者的数据包计数。

目的

验证交换机上的调度工具和调度器图是否正常运行。

行动

使用操作模式命令：

含义

显示有关已配置时间表和调度器图的统计信息。