H3C ASPF

ASPF：高级状态包过滤

  在网络边界，ASPF和包过滤防火墙协同工做，包过滤防火墙负责按照ACL规则进行报文过滤（阻断或放行），ASPF负责对已放行报文进行信息记录，使已放行的报文的回应报文能够正常经过配置了包过滤防火墙的接口。所以，ASPF可以为企业内部网络提供更全面的、更符合实际需求的安全策略。

配置：

[RouterA] acl number 3111

[RouterA-acl-adv-3111] rule deny ip

[RouterA-acl-adv-3111] quit

[RouterA] aspf policy 1

[RouterA-aspf-policy-1] detect ftp 检测经过的FTP流量

[RouterA-aspf-policy-1] quit

[RouterA] interface gigabitethernet 2/1/1

[RouterA-GigabitEthernet2/1/1] packet-filter 3111 inbound

[RouterA-GigabitEthernet2/1/1] aspf apply policy 1 outbound

[RouterA-aspf-policy-1] icmp-error drop 

[RouterA-aspf-policy-1] tcp syn-check

ICMP差错报文检测及TCP非SYN首报文丢弃