H3C路由器阻斷WannaCry攻略

1、針對高危端口建立ACL規則，阻斷TCP&UDP協議的135、137、139、445端口

acl number 3000  

 rule 5 deny tcp  destination-port eq  135 

 rule 10 deny tcp  destination-port eq  137

 rule 15 deny tcp  destination-port eq  139

 rule 20 deny tcp  destination-port eq  445

 rule 25 deny udp  destination-port eq  135 

 rule 30 deny udp  destination-port eq  137

 rule 35 deny udp  destination-port eq  139

 rule 40 deny udp  destination-port eq  445

2、建立包過濾防火牆，阻斷

MSR V5、SR66 V5配置firewall，阻斷端口

[H3C]firewall enable  //全局開啟firewall enable

[H3C]interface GigabitEthernet 0/0  //進入相關接口

[H3C-GigabitEthernet0/0]firewall packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

SR88 V5、CR16K V5配置firewall，阻斷端口

[H3C]interface GigabitEthernet 2/1/1  //進入相關接口

[H3C-GigabitEthernet0/0]firewall packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

MSR V7、SR66 V7、SR88 V7、CR16K V7配置包過濾防火牆，阻斷端口

[H3C]interface GigabitEthernet 0/0  //進入相關接口

[H3C-GigabitEthernet0/0]packet-filter 3000 inbound[outband]  //在接口下使用firewall命令在出方向或者入方向引用

SR88 V7也可以在全局下發packet-filter，全局下發後，所有接口將全部阻斷ACL 3000中的端口

[H3C]packet-filter 3000 global inbound[outbound] //全局下發packet-filter

3、部分老版本不支持firewall或者packet-filter方式下發，需要使用MQC方式來實現，該方法也同樣適用於所有產品，是一個通用的方法如下：

acl number 3000  

 rule 5 permit tcp  destination-port eq  135 

 rule 10 permit tcp  destination-port eq  137

 rule 15 permit tcp  destination-port eq  139

 rule 20 permit tcp  destination-port eq  445

 rule 25 permit udp  destination-port eq  135 

 rule 30 permit udp  destination-port eq  137

 rule 35 permit udp  destination-port eq  139

 rule 40 permit udp  destination-port eq  445

[H3C]traffic classifier acl3000  //定義流分類，引用ACL

[H3C-classifier-acl3000]if-match acl 3000

[H3C]traffic behavior deny  //定義動作類型為deny

[H3C-behavior-deny]filter deny 

[H3C]qos policy WannaCry   //配置qos策略

[H3C-qospolicy-WannaCry]classifier acl3000 behavior deny

[H3C]interface GigabitEthernet 2/1/1  //進入接口下

[H3C-GigabitEthernet2/1/1]qos apply policy WannaCry inbound[outbound] //在接口下配置qos策略

注意：SR88、CR16K產品，所有板卡隻支持1次ACL匹配，匹配順序為：包過濾>PBR>MQC，所以如果使用MQC方式，請注意接口下是否有PBR的配置，如果有，MQC是不生效的！！！