【文章內容簡介】 e remaining bandwidth r2(configpmapc)ban per 25 r2(config)int s1/2 r2(configif)servicepolicy output feng r2sh policymap interface s1/2 查詢 NBAR 是否中招 Serial1/2 Servicepolicy output: feng Classmap: HTTP (matchall) 5 packets, 411 bytes 5 minute offered rate 0 bps, drop rate 0 bps Match: protocol Queueing Output Queue: Conversation 25 Bandwidth 25 (kbps)Max Threshold 64 (packets) (pkts matched/bytes matched) 5/411 (depth/total drops/nobuffer drops) 0/0/0 Classmap: classdefault (matchany) 5392 packets, 1127630 bytes 5 minute offered rate 37000 bps, drop rate 5000 bps Match: any 實驗：、過濾從 R2 上過來的流量 ，綜合性的實驗 公司要求，從 R1 到 R2 的流量，其中， HTTP 的流量的優(yōu)先級 =5， FTP 的優(yōu)先級流量 =4， tel的優(yōu)先級流量 =3， dhcp 的優(yōu)先級流量 =2， icmp 的優(yōu)先級流量 =1，其他的剩余的流量的優(yōu)先級 =0 當這些流量從 R2 去往 R3 的時候，根據下表來安排帶寬： 5 14K 4 13K 3 12K 2 11K 1 10K 0 8K 步驟： 我把從 R1 到 R2 過來的不同的流量我抓下來： r2sh classmap Class Map matchall TELNET (id 3) Match protocol tel Class Map matchall ICMP (id 5) Match protocol icmp Class Map matchall HTTP (id 1) Match protocol Class Map matchall DHCP (id 4) Match protocol dhcp Class Map matchany classdefault (id 0) Match any Class Map matchall FTP (id 2) Match protocol ftp 設置不同流量的不同優(yōu)先級 r2sh policymap fengxuhuiin Policy Map fengxuhuiin Class HTTP set ip precedence 5 Class FTP set ip precedence 4 Class TELNET set ip precedence 3 Class DHCP set ip precedence 2 Class ICMP set ip precedence 1 Class classdefault set ip precedence 0 應用到 in 方向的接口 r2(config)int s1/0 r2(configif)servicepolicy in fengxuhuiin 根據優(yōu)先級來做不同的出接口方向的 分類 Class Map matchall P5 (id 6) Match ip precedence 5 Class Map matchall P4 (id 7) Match ip precedence 4 Class Map matchall P1 (id 10) Match ip precedence 1 Class Map matchall P0 (id 11) Match ip precedence 0 Class Map matchall P3 (id 8) Match ip precedence 3 Class Map matchall P2 (id 9) Match ip precedence 2 針對你的抓取的不同的優(yōu)先級，根據領導優(yōu)先級帶寬分配列表來操作策略 r2sh policymap fengxuhuiout Policy Map fengxuhuiout Class P5 Bandwidth 14 (kbps) Max Threshold 64 (packets) Class P4 Bandwidth 13 (kbps) Max Threshold 64 (packets) Class P3 Bandwidth 12 (kbps) Max Threshold 64 (packets) Class P2 Bandwidth 11 (kbps) Max Threshold 64 (packets) Class P1 Bandwidth 10 (kbps) Max Threshold 64 (packets) Class P0 Bandwidth 8 (kbps) Max Threshold 64 (packets) 應用到出接口方向 r2(configif)servicepolicy out fengxuhuiout 實驗、利用 NBAR 創(chuàng)建 PDLM 首先操作 R1 的基本配置，讓上網和本地沒有任何問題： R1(config)int f0/0 R1(configif)ip add dhcp R1(configif)no shut R1(config)int f0/1 R1(configif)ip add R1(configif)no shut 在 本地做一個 NAT，讓本地地址也可以上網！?。。? R1(config)accesslist 1 permit any R1(config) R1(config)int f0/0 R1(configif)ip nat outside R1(configif)int f0/1 R1(configif)ip nat inside R1(config)ip nat inside source list 1 interface f0/0 overload 這樣，我可以通過主機能夠訪問你的外網了 ！?。。。。。。? ip nbar custom feng01 tcp 1524 27665 ip nbar custom feng02 udp 31335 27444 上面所建立的就是一個 DDOS 的攻擊特性 r2(config)classmap DDOS r2(configcmap)match protocol feng01 r2(configcmap)match protocol feng02 r2(config)policymap DDOSDENY r2(configpmap)class DDOS r2(configpmapc)drop r2(configpmap)int s1/0 r2(configif)servicepolicy in DDOSDENY 甚至是我們可以過濾掉 url 實驗、利用下載的 PDLM做過濾 需求，利用 NBAR 來干掉所有的 BT 下載： R1(config)ip nbar pdlm // 是 tftp 服務器的地址 需求：干掉 bt 下載，你從 cisco 網站，下載一個 bt 的 pdlm， copy 你的路由器的 flash *你們可以下去下載各種 PDLM 實驗二、利用 PBR 來做分類 需求：客戶希望 voip 的流量的優(yōu)先級為 5， HTTP 的流量優(yōu)先級為 4， tel 的流量優(yōu)先級為3， ftp 的流量優(yōu)先級為 2，其他的流量優(yōu)先級為 1. 把上面的場景搭建出來，并且配置好流量發(fā)生。 利用訪問控制列表來抓取這個流量 r2sh accesslist Extended IP access list 101 10 permit ip host host （抓取的是 voip 的流量） Extended IP access list 102 10 permit tcp any any eq （抓取的 流量） Extended IP access list 103 10 permit tcp any any eq tel （抓取的 tel 流量） Extended IP access list 104 10 permit tcp any any eq ftpdata （抓取的是 ftp 流量） 20 permit tcp any any eq ftp PBR 來進行優(yōu)先級的配置 r2sh routemap fxh 名稱叫 fxh routemap fxh, permit, sequence 10 第一條策略，序號為 10 Match clauses: ip address (accesslists): 101 抓取的 acl是 101 Set clauses: ip precedence critical 設置的優(yōu)先級為 5 Policy routing matches: 0 packets, 0 bytes （ 0 代表是策略沒有起作用） routemap fxh, permit, sequence 20 Match clauses: ip address (accesslists): 102 Set clauses: ip precedence flashoverride Policy routing matches: 0 packets, 0 bytes routemap fxh, permit, sequence 30 Match clauses: ip address (accesslists): 103 Set clauses: ip precedence flash Policy routing matches: 0 packets, 0 bytes routemap fxh, permit, sequence 40 Match clauses: ip address (accesslists): 104 Set clauses: ip precedence immediate Policy routing matches: 0 packets, 0 bytes routemap fxh, permit, sequence 50 Match clauses: Set clauses: ip precedence priority Policy routing matches: 0 packets, 0 bytes 調用到接口上 r2(config)int s1/0 r2(configif)ip policy routemap fxh 測試一下配置的結果 r2sh routemap routemap fxh, permit, sequence 10 Match clauses: ip address (accesslists): 101 Set clauses: ip precedence critical Policy routing matches: 0 packets, 0 bytes routemap fxh, permit, sequence 20 Match clauses: ip address (accesslists): 102 Set clauses: ip precedence flash