H3C交换机配置准入设备需要的qos流策略

准入设备部分情况下用户不希望安装终端做802.1X，而是通过镜像流量来做准入。

镜像流量存在的问题往往是被镜像端口的流量过大，而准入往往只有1个千兆电口，这种情况下，需要用QOS流策略来精准捕捉需要准入设备感兴趣的报文：
包括TCP的3次握手报文，DNS，ICMP，DHCP，HTTP,HTTPS;二层的ARP报文。

3层报文通过劫持回应包，向客户端发送HTTP 302重定向，伪造DNS ICMP ,TCP reset包，伪造ARP包等方式来达到一个阻断的效果。

具体配置如下：

acl，要syn，要http，要icmp dhcp dns流量编号 3000-3999 是3层ACL

acl number 3333
description tcpsyn
rule 0 permit tcp syn 1
rule 5 permit tcp syn 1 ack 1
rule 10 permit tcp destination-port eq 80
rule 15 permit tcp destination-port eq 443
rule 20 permit tcp destination-port eq 8080
rule 25 permit tcp destination-port eq 8088
rule 26 permit tcp destination-port eq 8443
rule 30 permit udp destination-port range bootps bootpc
rule 35 permit udp destination-port eq dns
rule 40 permit icmp icmp-type echo-reply

acl，要arp 必须是4000及以上4000-4999 是2层ACL,0806是ARP协议号，掩码ffff是协议掩码，表示完全匹配0806

acl number 4444
rule 0 permit type 0806 ffff

创建流分类，名称是name,调用之前创建的2个ACL

traffic classifier name
if-match acl 3333
if-match acl 4444

创建流行为，名称为name 动作是把流量丢到某个交换机端口

traffic behavior name
filter permit
mirror-to interface GigabitEthernet1/0/48

创建qos策略，名称为name,关联之前创建的traffic classifier感兴趣流和traffic behavior动作

qos policy name
classifier name behavior name
在需要捕捉感兴趣流量的每个端口下调用QOS策略：

interface range gi 1/0/1 - gi 1/0/47
qos apply policy name inbound
（可以用port-group来简化）

48口接准入设备，感兴趣的流量发给准入设备

interface gi 1/0/48
port link-type access
port access vlan 80
description connect_to_zhunru