03-网络层协议命令.doc

H3C SecPath系列安全产品 命令手册（网络层协议）目 录目 录第1章 IP地址配置命令1-11.1 IP地址配置命令1-11.1.1 display ip interface1-11.1.2 ip address1-11.1.3 ip address ppp-negotiate1-31.1.4 ip address unnumbered1-31.1.5 remote address1-4第2章 IP应用配置命令2-12.1 ARP配置命令2-12.1.1 arp check enable2-12.1.2 arp send-gratuitous-arp2-12.1.3 arp static2-22.1.4 arp-proxy enable2-32.1.5 debugging arp packet2-32.1.6 display arp2-42.1.7 gratuitous-arp-learning enable2-52.1.8 gratuitous-arp-sending enable2-62.1.9 naturemask-arp2-72.1.10 reset arp2-72.2 静态域名解析（DNS）命令2-82.2.1 display ip host2-82.2.2 ip host2-82.3 DNS client配置命令2-92.3.1 debugging dns2-92.3.2 dns resolve2-102.3.3 dns server2-102.3.4 dns domain2-112.3.5 display dns domain2-122.3.6 display dns server2-122.3.7 display dns dynamic-host2-132.3.8 nslookup type2-142.3.9 reset dns dynamic-host2-152.4 DNS Proxy配置命令2-152.4.1 dns-proxy enable2-152.5 URPF配置命令2-162.5.1 ip urpf2-162.5.2 debugging ip urpf2-17第3章 UDP HELPER配置命令3-13.1 UDP HELPER配置命令3-13.1.1 debugging udp-helper3-13.1.2 display udp-helper server3-13.1.3 udp-helper enable3-23.1.4 udp-helper port3-23.1.5 udp-helper server3-3第4章 BOOTP客户端配置命令4-14.1 BOOTP客户端配置命令4-14.1.1 display bootp client4-14.1.2 ip address bootp-alloc4-2第5章 DHCP配置命令5-15.1 DHCP公共配置命令5-15.1.1 dhcp enable5-15.1.2 dhcp select （接口视图）5-15.1.3 dhcp select interface（系统视图）5-25.1.4 dhcp server detect5-35.2 DHCP服务器配置命令5-45.2.1 accounting domain5-45.2.2 bims-server5-45.2.3 debugging dhcp server5-55.2.4 dhcp server accounting domain（系统视图）5-75.2.5 dhcp server accounting domain（接口视图）5-85.2.6 dhcp server bims-server （接口视图）5-85.2.7 dhcp server bims-server （系统视图）5-95.2.8 dhcp server dns-list （接口视图）5-105.2.9 dhcp server dns-list（系统视图）5-115.2.10 dhcp server domain-name（接口视图）5-115.2.11 dhcp server domain-name（系统视图）5-125.2.12 dhcp server expired （接口视图）5-135.2.13 dhcp server expired（系统视图）5-145.2.14 dhcp server forbidden-ip5-145.2.15 dhcp server ip-pool5-155.2.16 dhcp server nbns-list （系统视图）5-165.2.17 dhcp server nbns-list（接口视图）5-175.2.18 dhcp server netbios-type（接口视图）5-185.2.19 dhcp server netbios-type（系统视图）5-185.2.20 dhcp server option（系统视图）5-195.2.21 dhcp server option（接口视图）5-205.2.22 dhcp server ping5-215.2.23 dhcp server static-bind5-225.2.24 dhcp server voice-config（接口视图）5-225.2.25 dhcp server voice-config（系统视图）5-245.2.26 display dhcp server conflict5-255.2.27 display dhcp server expired5-265.2.28 display dhcp server free-ip5-275.2.29 display dhcp server ip-in-use5-275.2.30 display dhcp server statistics5-295.2.31 display dhcp server tree5-305.2.32 dns-list5-335.2.33 domain-name5-335.2.34 expired5-345.2.35 gateway-list5-355.2.36 nbns-list5-355.2.37 netbios-type5-365.2.38 network5-375.2.39 option5-385.2.40 reset dhcp server conflict5-385.2.41 reset dhcp server ip-in-use5-395.2.42 reset dhcp server statistics5-395.2.43 static-bind ip-address5-405.2.44 static-bind mac-address | client-identifier 5-415.2.45 voice-config5-415.3 DHCP 客户端配置命令5-435.3.1 debugging dhcp client5-435.3.2 display dhcp client5-435.3.3 ip address dhcp-alloc5-455.4 DHCP中继配置命令5-465.4.1 debugging dhcp relay5-465.4.2 dhcp relay release5-475.4.3 display dhcp relay address5-475.4.4 display dhcp relay statistics5-485.4.5 ip relay address5-495.4.6 ip relay address cycle5-505.4.7 ip relay address interface5-505.4.8 reset dhcp relay statistics5-51第6章 IP性能配置命令6-16.1 IP性能配置命令6-16.1.1 debugging ip6-16.1.2 debugging tcp event6-26.1.3 debugging tcp md56-36.1.4 debugging tcp packet6-46.1.5 debugging udp packet6-56.1.6 display fib6-56.1.7 display fib acl6-66.1.8 display fib begin6-76.1.9 display fib ip-prefix6-86.1.10 display fib longer6-96.1.11 display fib statistics6-106.1.12 display icmp statistics6-116.1.13 display ip fast-forwarding cache6-126.1.14 display ip interface6-136.1.15 display ip interface brief6-146.1.16 display ip socket6-156.1.17 display ip statistics6-166.1.18 display tcp statistics6-176.1.19 display tcp status6-196.1.20 display udp statistics6-206.1.21 icmp redirect send6-216.1.22 ip fast-forwarding6-226.1.23 reset ip fast-forwarding cache6-236.1.24 reset ip statistics6-236.1.25 reset tcp statistics6-246.1.26 reset udp statistics6-246.1.27 tcp mss6-246.1.28 tcp timer fin-timeout6-256.1.29 tcp timer syn-timeout6-266.1.30 tcp window6-26第7章 IP单播策略路由配置命令7-17.1 IP单播策略路由配置命令7-17.1.1 apply default output-interface7-17.1.2 apply ip-address default next-hop7-17.1.3 apply ip-address next-hop7-27.1.4 apply ip-precedence7-37.1.5 apply output-interface7-47.1.6 display ip policy7-47.1.7 display ip policy setup7-57.1.8 display ip policy statistic7-67.1.9 if-match acl7-67.1.10 if-match packet-length7-77.1.11 ip local policy route-policy7-87.1.12 ip policy route-policy7-87.1.13 route-policy7-9ivH3C SecPath系列安全产品 命令手册（网络层协议）第1章 IP地址配置命令第1章 IP地址配置命令1.1 IP地址配置命令1.1.1 display ip interface【命令】display ip interface brief interface-type interface-number 【视图】所有视图【参数】brief：显示概要信息。interface-type：接口类型。interface-number：接口序号。【描述】display ip interface命令用来显示当前接口的IP信息。【举例】# 显示接口Ethernet0/0/0的IP信息。 display ip interface Ethernet0/0/0Ethernet0/0/0 current state : UPLine protocol current state : UPInternet Address : /8Broadcast address : 55The Maximum Transmit Unit : 1500 bytesinput packets : 1231, bytes : 57557, multicasts : 1177output packets : 0, bytes : 0, multicasts : 0上面显示信息表示接口Ethernet0/0/0的物理链路状态为UP，链路层协议状态为UP，IP地址为，广播地址为55，最大传输单元是1500字节，以及该接口报文的收发情况。1.1.2 ip address【命令】ip address ip-address net-mask sub undo ip address ip-address net-mask sub 【视图】接口视图【参数】ip-address：接口IP地址，为点分十进制格式。net-mask：相应的子网掩码，为点分十进制格式或指定掩码长度。sub：为了使不同的子网之间进行通讯，需要配置从IP地址。【描述】ip address命令用来配置接口IP地址，undo ip address命令用来取消接口的IP地址。缺省情况下，接口无IP地址。用户可以根据实际情况选择合适的IP子网，另外主机地址部分全为0表示网络地址，全为1表示广播地址，不能作为一般的IP地址使用。通过子网掩码来标识IP地址包含的网络号，例如：防火墙以太网口的IP地址是2，掩码是，将IP地址与掩码相与，可知防火墙以太网接口所在的网络号为。在一般情况下，一个接口配置一个IP地址即可，为了使防火墙的一个接口可以与多个子网相连，在一个接口可以配置多个IP地址，其中一个为主IP地址，其余为从IP地址。主从地址的配置关系为：l 当配置主IP地址时，如果接口上已经有主IP地址，则原主IP地址被删除，新配置的地址成为主IP地址。l undo ip address命令不带任何参数表示删除该接口的所有IP地址。undo ip address ip-address net-mask表示删除主IP地址，undo ip address ip-address net-mask sub表示删除从IP地址。在删除主IP地址前必须先删除完所有的从IP地址。另外，对防火墙的各个接口上配置的IP地址都不能位于相同的子网。相关配置可参考命令ip route-static，display ip interface，display interface。【举例】# 为接口Ethernet 0/0/0配置主IP地址为，从IP地址为，子网掩码都为。H3C-Ethernet0/0/0 ip address H3C-Ethernet0/0/0 ip address sub1.1.3 ip address ppp-negotiate【命令】ip address ppp-negotiateundo ip address ppp-negotiate【视图】接口视图【参数】无【描述】ip address ppp-negotiate命令用来允许接口的IP地址由对端协商分配，undo ip address ppp-negotiate命令用来禁止接口IP地址的协商。缺省情况下，系统不允许接口IP地址的协商。因为PPP支持IP地址的协商，只有当接口封装链路层协议PPP时，才能设置接口IP地址的协商。在一般情况下，不需要配置IP地址的协商，只有在一些特殊情况下，如接入ISP访问Internet，此时与ISP相连接口的IP地址由ISP协商分配。配置接口IP地址的协商后，不需给该接口配置IP地址。【举例】# 设置接口Dialer0的IP地址由对端协商分配。H3C-Dialer0 ip address ppp-negotiate1.1.4 ip address unnumbered【命令】ip address unnumbered interface interface-type interface-numberundo ip address unnumbered【视图】接口视图【参数】interface-type：被借用接口的接口类型。interface-number：被借用接口的接口序号。【描述】ip address unnumbered命令用来配置接口可借用其它接口的IP地址，undo ip address unnumbered命令用来取消借用其它接口的IP地址。缺省情况下，不借用其它接口的IP地址。封装了PPP的Dialer接口、虚模板接口和Tunnel接口可以使用该命令借用以太网口或其它接口的IP地址。以太网口不能借用其它接口的IP地址。在Tunnel接口配置地址借用后，必须手工配置到Tunnel对端接口的静态路由，且建议掩码为32位，以免与其它路由冲突，导致报文被错误路由。【举例】# 封装PPP的拨号接口Dialer0借用以太网口Ethernet 0/0/0的IP地址。H3C-Dialer0 ip address unnumbered interface Ethernet 0/0/01.1.5 remote address【命令】remote address ip-address | pool pool-number undo remote address【视图】接口视图【参数】ip-address：IP地址。pool-number：为地址池号，即将分配pool-number中的一个地址给对端接口。地址池号的范围是099，缺省值是0。【描述】remote address命令用来配置为对端接口分配IP地址，undo remote address命令用来取消为对端接口分配IP地址。缺省情况下，接口不分配地址给对端。当接口封装了PPP，并且该接口还未配置IP地址而对端已经有IP地址时，可为该接口配置IP地址可协商属性（在本端上配置ip address ppp-negotiate命令，在对端上配置remote address命令），使本接口接受由PPP协商产生的对端分配的IP地址。该配置主要用于通过ISP访问Internet时，得到由ISP分配的IP地址。 注意：该命令不具有地址分配的强制性，即在配置该命令后，也允许对端自行配置IP地址；如不希望（或不允许）对端自行配置IP地址，必须再配置ppp ipcp remote-address forced。相关配置可参考命令ip address ppp-negotiate、ppp ipcp address forced。【举例】# 封装PPP的拨号接口Dialer0为对端分配的IP地址为。H3C-Dialer0 remote address 1-5H3C SecPath系列安全产品 命令手册（网络层协议）第2章 IP应用配置命令第2章 IP应用配置命令2.1 ARP配置命令2.1.1 arp check enable【命令】arp check enableundo arp check enable【视图】系统视图【参数】无【描述】arp check enable命令用来使能ARP表项的检查功能，即不学习MAC地址为组播MAC的ARP表项。undo arp check enable命令用来关闭ARP表项的检查功能，即学习MAC地址为组播MAC的ARP表项。缺省情况下，使能ARP表项的检查功能，即不学习MAC地址为组播MAC的ARP表项。【举例】# 使能ARP表项的检查功能。H3C arp check enable2.1.2 arp send-gratuitous-arp【命令】arp send-gratuitous-arp secondsundo arp send-gratuitous-arp【视图】接口视图【参数】seconds：发送免费ARP报文的周期，取值范围为1180，单位为秒。【描述】arp send-gratuitous-arp命令用来在本接口上使能周期性发送免费ARP的功能并设置发送免费ARP报文的周期。undo arp send-gratuitous-arp命令用来关闭周期性发送免费ARP的功能。缺省情况下，接口不会周期性的发送免费ARP报文。注意事项：l 发送的免费ARP报文是本接口主地址的免费ARP，这个主地址可以是使用命令行配置的，也可以是通过协商等其他方式获得的；l 不发送从地址的免费ARP；l 接口链路层没有UP的情况下不发送免费ARP报文。【举例】# 在以太网接口Ethernet0/0/0上使能周期性发送免费ARP报文功能，并设置发送周期为120秒。H3C-Ethernet0/0/0 arp send-gratuitous-arp 1202.1.3 arp static【命令】arp static ip-address mac-address vpn-instance-name undo arp ip-address vpn-instance-name 【视图】系统视图【参数】ip-address：为ARP映射项的IP地址，为点分十进制格式。mac-address：ARP映射项的以太网MAC地址，格式为H-H-H。vpn-instance-name：VPN实例的名称。【描述】arp static命令用来配置ARP映射表，undo arp命令用来取消ARP映射表中对应地址的映射项。缺省情况下，系统ARP映射表为空，由动态ARP协议获取地址映射。一般情况下，ARP映射表由动态ARP协议维护，在特殊情况下，才需要手工配置。另外ARP映射表只用于局域网内，对于广域网的地址解析，有其它的配置或获取方法（如帧中继的逆向地址解析）。相关配置可参考命令reset arp，display arp。【举例】# 配置IP地址对应的以太网MAC地址为00e0-fc01-0ec5。H3C arp static 00e0-fc01-0ec52.1.4 arp-proxy enable【命令】arp-proxy enableundo arp-proxy enable【视图】以太网接口视图【参数】无【描述】arp-proxy enable命令用来使能以太网接口的代理ARP功能，undo arp-proxy enable命令用来禁用代理ARP功能。缺省情况下，禁用代理ARP功能。该命令应用在以太网口上，对于处在同一网段，却在不同物理网络上的主机而言，代理ARP功能屏蔽了分离的物理网络这一事实，使用户使用起来，好象在同一个物理网络上。【举例】# 在以太网口使能代理ARP。H3C-Ethernet0/0/0 arp-proxy enable2.1.5 debugging arp packet【命令】debugging arp packetundo debugging arp packet【视图】用户视图【参数】无。【描述】debugging arp packet命令用来打开ARP报文调试功能，undo debugging arp packet命令用来关闭ARP报文调试功能。【举例】# 打开ARP报文调试功能。 debugging arp packet2.1.6 display arp【命令】display arp static | dynamic | all | begin text | exclude text | include text 【视图】所有视图【参数】static：表示显示静态ARP项。dynamic：表示显示动态ARP项。all：表示显示所有的ARP项。|：匹配输出。begin：匹配正则表达式起始的串。exclude：匹配排除正则表达式的串。include：匹配包含正则表达式的串。text：正则表达式。【描述】display arp命令用来显示ARP映射表。相关配置可参考命令arp static，reset arp。【举例】# 显示所有ARP表项。 display arpType: S-Static D-Dynamic IP AddressMAC AddressTypeVpn-instance NameInterface0012-0012-0012S00e0-fc00-0007D Eth0/0/1# 显示静态ARP表项。 display arp staticType: S-Static D-Dynamic IP AddressMAC AddressTypeVpn-instance NameInterface0012-0012-0012S# 显示动态ARP表项。 display arp dynamicType: S-Static D-Dynamic IP AddressMAC AddressType Vpn-instance NameInterface00e0-fc00-0007DEth0/0/1表2-1 display arp显示解释表域名解释Ip AddressIP地址Mac AddressMAC地址Type ARP表项类型Vpn-instance NameVpn-instance名称interface接口名称2.1.7 gratuitous-arp-learning enable【命令】gratuitous-arp-learning enableundo gratuitous-arp-learning enable【视图】系统视图【参数】无【描述】gratuitous-arp-learning enable命令用来使能免费ARP报文的学习功能。undo gratuitous-arp-learning enable命令用来关闭免费ARP报文的学习功能。缺省情况下，关闭免费ARP报文的学习功能。免费ARP是指设备通过对外发送免费ARP报文，来实现以下功能：l 网络中设备可以通过发送免费ARP报文来确定其它设备的IP地址是否与自己冲突。l 如果发送免费ARP报文的设备正好改变了硬件地址（很可能是设备关机了，并换了一块接口卡，然后重新启动），那么这个报文就可以使其它设备高速缓存中旧的硬件地址进行相应的更新。相关配置可参考命令gratuitous-arp-sending enable。【举例】# 使能学习免费ARP报文信息。H3C gratuitous-arp-learning enable2.1.8 gratuitous-arp-sending enable 【命令】gratuitous-arp-sending enableundo gratuitous-arp-sending enable【视图】系统视图【参数】无【描述】gratuitous-arp-sending enable命令用来配置当收到不同网段的APR请求报文时，回送免费ARP报文（但此时自己并不学习收到的ARP表项）。undo gratuitous-arp-sending enable命令用来取消应答不同网段的ARP请求报文的功能。缺省情况下，关闭应答不同网段的ARP请求报文的功能。相关配置可参考命令gratuitous-arp-learning enable。【举例】# 使能发送免费ARP报文信息。H3C gratuitous-arp-sending enable2.1.9 naturemask-arp【命令】naturemask-arp enableundo naturemask-arp enable【视图】系统视图【参数】无【描述】naturemask-arp enable命令用来取消对ARP报文必须是同一子网网段的限制，支持自然网段的ARP请求。undo naturemask-arp enable命令用来关闭支持自然网段的ARP请求的功能。缺省情况下，不支持自然网段的ARP请求。【举例】# 取消对ARP报文必须是同一子网网段的限制。H3C naturemask-arp enable2.1.10 reset arp【命令】reset arp all | dynamic | static | interface interface-type interface-number 【视图】用户视图【参数】static：表示清除静态ARP项。dynamic：表示清除动态ARP项。all：表示清除所有的ARP项。interface：表示选择接口。interface-type：接口类型。interface-number：接口序号。【描述】reset arp命令用来清除ARP映射表中的ARP项。对指定interface的接口进行操作时，接口类型只能是以太网口，而且只能删除该接口的动态（dynamic）表项。相关配置可参考命令arp static，display arp。【举例】# 删除接口Ethernet 0/0/0的ARP映射表中的dynamic项。 reset arp interface Ethernet 0/0/02.2 静态域名解析（DNS）命令2.2.1 display ip host【命令】display ip host【视图】所有视图【参数】无【描述】display ip host命令用来显示所有的主机名和对应的IP地址。【举例】# 显示所有的主机名和对应的IP地址。 display ip host Host Age Flags Address eth 0 static secpath 0 static 2.2.2 ip host【命令】ip host hostname ip-addressundo ip host hostname ip-address 【视图】系统视图【参数】hostname：主机名，字符串类型，取值范围为120。ip-address：与主机名对应的IP地址。【描述】ip host命令用来配置静态域名解析表项，即主机名和对应的IP地址，undo ip host命令用来取消主机名和对应的IP地址。每个主机名只能对应一个IP地址。当对同一主机名配置对应多个IP地址时，后配置的对应关系生效。主机名中可以包括大小写英文字母（a-z、A-Z）、数字（0-9）、下划线（_）和点（.），但主机名中必须至少含有一个英文字母（a-z或A-Z）。缺省情况下，静态域名解析表为空，即无主机名与IP地址对应。【举例】# 设置主机名router1对应的IP地址为。H3C ip host router1 # 设置主机名router2对应的IP地址为。H3C ip host router2 # 设置主机名router3对应的IP地址为。H3C ip host router3 # 取消主机名router2与IP地址的对应关系。H3C undo ip host router2 2.3 DNS client配置命令2.3.1 debugging dns【命令】debugging dnsundo debugging dns【视图】用户视图【参数】无【描述】debugging dns命令用来打开DNS Client的调试开关，undo debugging dns用来关闭DNS Client的调试开关。缺省情况下，关闭DNS Client的调试开关。【举例】# 打开DNS Client的调试开关。 debugging dns# 关闭DNS Client的调试开关。 undo debugging dns2.3.2 dns resolve【命令】dns resolve undo dns resolve【视图】系统视图【参数】无【描述】dns resolve命令用来启动DNS域名解析功能。undo dns resolve命令用来关闭DNS域名解析功能。缺省情况下，DNS域名解析功能没有开启。【举例】# 打开域名解析功能。H3C dns resolve2.3.3 dns server【命令】dns server ip-address undo dns server ip-address 【视图】系统视图【参数】ip-address：DNS服务器的IP地址。【描述】dns server命令用来配置DNS服务器的IP地址，undo dns server命令用来删除DNS服务器的IP地址。【举例】# 配置DNS服务器的IP地址。H3C dns server # 删除指定IP地址的DNS服务器。H3C undo dns server # 删除所有DNS服务器。H3C undo dns server2.3.4 dns domain【命令】dns domain domain-name undo dns domain domain-name 【视图】系统视图【参数】domain-name：DNS域后缀。【描述】dns domain命令用来配置DNS域后缀，undo dns domain命令用来删除DNS域后缀的配置。【举例】# 配置DNS域后缀。H3C dns domain # 删除指定名称的DNS域后缀。H3C undo dns domain # 删除所有DNS域后缀。H3C undo dns domain2.3.5 display dns domain【命令】display dns domain dynamic 【视图】所有视图【参数】dynamic：显示通过DHCP等协议动态获得的域后缀。【描述】display dns domain命令用来显示用户手工配置的DNS域后缀，display dns domain dynamic命令用来显示通过DHCP等协议动态获得的DNS域后缀。【举例】# 显示手工获得的DNS域后缀。H3C display dns domainNo Domain-name0 # 显示动态配置的DNS域后缀。H3C display dns domain dynamicNo Domain-name0 2.3.6 display dns server【命令】display dns server dynamic 【视图】所有视图【参数】dynamic：显示通过DHCP等协议动态获得的域名服务器地址。【描述】display dns server命令用来显示用户手工配置的DNS服务器地址，display dns server dynamic命令用来显示通过DHCP等协议动态获得的DNS服务器地址。【举例】# 显示动态获得的DNS服务器地址。H3C display dns server dynamicDomain-server IpAddress 0 6# 显示手工配置的DNS服务器地址。H3C display dns serverDomain-server IpAddress 0 2.3.7 display dns dynamic-host【命令】display dns dynamic-host【视图】所有视图【参数】无【描述】display dns dynamic-host命令用来显示当前DNS Client解析的域名缓存中的内容。在一次成功的域名解析之后，DNS Client会把解析的结果放到缓存中，如果再有相同的域名解析请求，那么DNS Client会首先在缓存中查找，如果没有，再向DNS服务器发送域名解析请求，使用该命令可以显示当前缓存中的内容。【举例】# 显示DNS Client的缓存中的内容。H3C display dns dynamic-hostNo Host - Ipaddress TTL Alias1 35212 3000No Host - Ipaddress TTL Alias1 35612 3300表2-2 display dns dynamic-host命令显示信息说明项目含义Host字段表示主机名Ipaddress字段表示对应主机的IP地址TTL表示该映射项存在的时间，单位是秒Alias显示的是主机名对应的别名。& 说明：上半部显示的是从Host查询到的列表，为A类查询结果；下半部显示的是从IP address查询到Host”，为PTR类查询结果；2.3.8 nslookup type【命令】nslookup type ptr ip-address | a domain-name 【视图】所有视图【参数】ptr ip-address：解析IP地址对应的DNS域名。a domain-name：解析DNS域名对应的IP地址。域名长度为小于30的字符串，支持自动域名追加。【描述】nslookup type命令用来解析指定IP地址对应的域名或解析指定域名对应的IP地址。【举例】# 解析对应的域名。 nslookup type ptr Trying DNS server （6）Name: Address: # 解析对应的IP地址。 nslookup type a Trying DNS server （1