示例：为 EX 系列交换机上的端口、VLAN 和路由器流量配置防火墙过滤器

CLI 快速配置

要快速配置和应用端口防火墙过滤器，以确定发往 employee-vlan 子网的语音流量和速率限制数据包的优先级，请复制以下命令并将其粘贴到交换机终端窗口中：

分步过程

要配置并应用端口防火墙过滤器，以确定发往 employee-vlan 子网的语音流量和速率限制数据包的优先级，请执行以下操作：

1. 定义监管器和tcp-connection-policericmp-connection-policer：

2. 定义防火墙过滤器 ingress-port-voip-class-limit-tcp-icmp：

3. 定义术语 voip-high：

4. 定义术语 network-control：

5. 定义术语 tcp-connection 以配置 TCP 流量的速率限制：

6. 定义术语以 icmp-connection 配置 ICMP 流量的速率限制：

7. 在防火墙过滤器中与任何其他术语不匹配的所有数据包上定义没有匹配条件的术语 best-effort ：

8. 将防火墙过滤器 ingress-port-voip-class-limit-tcp-icmp 作为输入过滤器应用于以下端口 employee-vlan接口：

9. 配置不同调度程序所需的参数。

   注：

   为调度程序配置参数时，请定义与网络流量模式匹配的数字。

10. 使用调度器图将转发类分配给调度器：

11. 将调度器图与传出接口关联：

结果

显示配置结果：

CLI 快速配置

要快速配置 voice-vlan VLAN 防火墙过滤器以防止恶意设备使用 HTTP 会话来模仿管理 VoIP 流量的网守设备，请复制以下命令并将其粘贴到交换机终端窗口中：

分步过程

要配置 voice-vlan 并应用 VLAN 防火墙过滤器以防止恶意设备使用 HTTP 模仿管理 VoIP 流量的网守设备，请执行以下操作：

1. 定义防火墙过滤器 ingress-vlan-rogue-block ，以指定与要允许和限制的流量匹配的过滤器：

2. 定义术语以 to-gatekeeper 接受与网守目标 IP 地址匹配的数据包：

3. 定义术语以 from-gatekeeper 接受与网守的源 IP 地址匹配的数据包：

4. 定义术语 not-gatekeeper 以确保 TCP 端口上的所有 voice-vlan 流量都发往网守设备：

5. 将防火墙过滤器 ingress-vlan-rogue-block 作为输入过滤器应用于 VoIP 电话的 VLAN 接口：

结果

显示配置结果：

CLI 快速配置

配置防火墙过滤器并将其应用于 VLAN 接口以过滤 employee-vlan 出口流量。发往公司子网的员工流量将被接受，但不会受到监控。对发往 Web 的员工流量进行计数和分析。

要快速配置和应用 VLAN 防火墙过滤器，请复制以下命令并将其粘贴到交换机终端窗口中：

分步过程

要配置和应用出口端口防火墙过滤器来计算和分析 employee-vlan 发往 Web 的流量，请执行以下操作：

1. 定义防火墙过滤器 egress-vlan-watch-employee：

2. 定义术语以 employee-to-corp 接受但不监控发往企业子网的所有 employee-vlan 流量：

3. 定义术语 employee-to-web 来计算和监控发往 Web 的所有 employee-vlan 流量：

   注：

   请参阅 示例：配置端口镜像以本地监控 EX 系列交换机 上的员工资源使用情况 有关配置 employee-monitor 分析器的信息。

4. 将防火墙过滤器 egress-vlan-watch-employee 作为输出过滤器应用于 VoIP 电话的端口接口：

结果

显示配置结果：

CLI 快速配置

在以下示例中，第一个筛选器术语允许来宾与其他来宾交谈，但不允许员工在 上 employee-vlan交谈。第二个筛选器术语允许来宾进行 Web 访问，但阻止来宾在 上使用 guest-vlan对等应用程序。

要快速配置 VLAN 防火墙过滤器以限制访客与员工之间的流量，阻止访客与 上的 employee-vlan 员工或员工主机交谈或尝试在 上 guest-vlan使用对等应用程序，请复制以下命令并将其粘贴到交换机终端窗口中：

分步过程

要配置和应用 VLAN 防火墙过滤器以限制访客到员工的流量和对等应用程序 guest-vlan，请执行以下操作：

1. 定义防火墙过滤器 ingress-vlan-limit-guest：

2. 定义术语 guest-to-guest 以允许 上的 guest-vlan 来宾与其他来宾交谈，但不允许 上的 employee-vlan员工交谈：

3. 定义术语 no-guest-employee-no-peer-to-peer 以允许 Web 上的 guest-vlan 来宾访问，但阻止他们在 上使用 guest-vlan上的对等应用程序。

   注：

   是 destination-mac-address 默认网关，对于 VLAN 中的任何主机，它是下一跃点路由器。

4. 将防火墙过滤器 ingress-vlan-limit-guest 作为输入过滤器应用于以下接口 guest-vlan ：

结果

显示配置结果：

CLI 快速配置

要为路由端口（第 3 层上行链路模块）快速配置防火墙过滤器以过滤 employee-vlan 流量，从而为发往企业子网的流量提供最高转发类优先级，请复制以下命令并将其粘贴到交换机终端窗口中：

分步过程

要配置防火墙过滤器并将其应用于路由端口（第 3 层上行链路模块），以便为发往企业子网的流量提供 employee-vlan 最高优先级：

1. 定义防火墙过滤器 egress-router-corp-class：

2. 定义术语 corp-expedite：

3. 定义术语 not-to-corp：

4. 将防火墙过滤器 egress-router-corp-class 用作交换机上行链路模块上端口的输出过滤器，该模块提供与路由器的第 3 层连接：

结果

显示配置结果：

目的

验证交换机上配置的防火墙过滤器和监管器的运行状态。

操作

使用操作模式命令：

意义

该 show firewall 命令将显示交换机上配置的防火墙过滤器、监管器和计数器的名称。输出字段显示所有已配置计数器的字节和数据包计数以及所有监管器的数据包计数。

目的

验证调度程序和调度程序图在交换机上是否正常运行。

操作

使用操作模式命令：

意义

显示有关已配置调度程序和调度程序映射的统计信息。