步骤 1

（可选）执行以下步骤创建 H.323 检测类映射。

1. 创建类映射：class-map type inspect h323 [match-all | match-any] class_map_name

   其中，class_map_name 是类映射的名称。match-all 关键字为默认值，指定流量必须匹配所有条件，才能匹配类映射。match-any 关键字指定如果流量匹配至少一个条件，则匹配类映射。CLI 将进入类映射配置模式，可以在该模式下输入一个或多个 match 命令。

2. （可选）向类映射添加说明：description string

   其中，string 是对类映射的说明（最多可包含 200 个字符）。

3. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] called-party regex {regex_name | class class_name} - 将被叫方与指定的正则表达式或正则表达式类进行匹配。

   • match [not] calling-party regex {regex_name | class class_name} - 将主叫方与指定的正则表达式或正则表达式类进行匹配。

   • match [not] media-type {audio | data | video} - 匹配媒体类型。

步骤 2

创建 H.323 检测策略映射：policy-map type inspect h323 policy_map_name

步骤 3

（可选）添加策略映射说明：description string

步骤 4

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一种方法指定要对其执行操作的流量：

   • 如果您已创建 H.323 类映射，请输入以下命令对其进行指定：class class_map_name

   • 对 H.323 类映射使用上述 match 命令之一，以直接在策略映射中指定流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop [log] - 丢弃数据包。对于媒体类型匹配，可以包括 log 关键字以发送系统日志消息。

   • drop-connection - 丢弃数据包并关闭连接。此选项适用于被叫方匹配或主叫方匹配。

   • reset - 丢弃数据包、关闭连接并向服务器和/或客户端发送 TCP 重置。此选项适用于被叫方匹配或主叫方匹配。

步骤 5

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式：

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • ras-rcf-pinholes enable - 启用 H.323 终端之间的呼叫建立。如果网守在网络内部，可以在 H.323 终端之间启用呼叫建立。使用此选项可根据 RegistrationRequest/RegistrationConfirm (RRQ/RCF) 消息为呼叫打开针孔。由于这些 RRQ/RCF 消息会进出网守，所以呼叫终端的 IP 地址未知且 ASA 会通过源 IP 地址/端口 0/0 打开针孔。默认情况下，此选项已禁用。

   • timeout users time - 设置 H.323 呼叫持续时间限制（格式为 hh:mm:ss）。如果不想设置超时，请指定 00:00:00。超时范围是 0:0:0 到 1193:0:0。

   • call-party-number - 在呼叫建立过程中强制发送主叫方号码。

   • h245-tunnel-block action {drop-connection | log} - 强制阻止 H.245 隧道。指定是要断开连接还是仅记录连接。

   • rtp-conformance [enforce-payloadtype] - 检查流经针孔的 RTP 数据包的协议符合性。可选的 enforce-payloadtype 关键字基于信令交换将负载类型限制为音频或视频。

   • state-checking {h225 | ras} - 启用状态检查验证。可以分别为 H.225 和 RAS 输入此命令来启用状态检查。

   • early-message message_type - 是否允许指定类型的 H.225 消息在 H.225 SETUP 消息之前到达可以按照 H.460.18 允许 facility 消息提前到达。

     如果遇到呼叫建立问题（使用 H.323/H.225 时连接会在完成之前被关闭），请使用此命令允许消息提前到达。此外，请确保为 H.323 RAS 和 H.225 启用检测（默认情况下，它们处于启用状态）。

步骤 6

可以在仍处于参数配置模式下时配置 HSI 组。

1. 定义 HSI 组并进入 HSI 组配置模式：hsi-group id

   其中 id 为 HSI 组 ID。范围为 0 至 2147483647。

2. 使用以下 IP 地址向 HSI 组中添加 HSI：hsi ip_address

   每个 HSI 组最多可以添加 5 台主机。

3. 向 HSI 组中添加终端：endpoint ip_address if_name

   其中 ip_address 为要添加的终端，if_name 为终端连接到 ASA 使用的接口。每个 HSI 组最多可以添加 10 个终端。

步骤 1

创建 MGCP 检测策略映射：policy-map type inspect mgcp policy_map_name

步骤 2

（可选）添加策略映射说明：description string

步骤 3

进入参数配置模式。

hostname(config-pmap)# parameters
hostname(config-pmap-p)#

步骤 4

设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项。

步骤 1

（可选）执行以下步骤创建 RTSP 检测类映射。

1. 创建类映射：class-map type inspect rtsp [match-all | match-any] class_map_name

   其中，class_map_name 是类映射的名称。match-all 关键字为默认值，指定流量必须匹配所有条件，才能匹配类映射。match-any 关键字指定如果流量匹配至少一个条件，则匹配类映射。CLI 将进入类映射配置模式，可以在该模式下输入一个或多个 match 命令。

2. （可选）向类映射添加说明：description string

   其中，string 是对类映射的说明（最多可包含 200 个字符）。

3. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] request-method method - 匹配 RTSP 请求方法。这些方法包括：announce、describe、get_parameter、options、pause、play、record、redirect、setup、set_parameter、teardown。

   • match [not] url-filter regex {regex_name | class class_name} - 将 URL 与指定的正则表达式或正则表达式类进行匹配。

步骤 2

要创建 RTSP 检测策略映射：policy-map type inspect rtsp policy_map_name

步骤 3

（可选）添加策略映射说明：description string

步骤 4

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一种方法指定要对其执行操作的流量：

   • 如果您已创建 RTSP 类映射，请输入以下命令对其进行指定：class class_map_name

   • 要直接在策略映射中指定流量，请对 RTSP 类映射使用上述 match 命令之一。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop-connection [log] - 丢弃数据包，关闭连接，并选择性地发送系统日志消息。此选项适用于 URL 匹配。

   • log - 发送系统日志消息。

   • rate-limit message_rate - 限制每秒发生消息的速率。此选项适用于请求方法匹配。

   可以在策略映射中指定多个 class 或 match 命令。有关 class 和 match 命令顺序的信息，请参阅如何处理多个流量类。

步骤 5

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式：

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • reserve-port-protect - 在媒体协商期间限制保留端口的使用。

   • url-length-limit bytes - 设置消息中使用的 URL 的长度限制（0 到 6000 字节）。

步骤 1

（可选）执行以下步骤创建 SIP 检测类映射。

1. 创建类映射：class-map type inspect sip [match-all | match-any] class_map_name

   其中，class_map_name 是类映射的名称。match-all 关键字为默认值，指定流量必须匹配所有条件，才能匹配类映射。match-any 关键字指定只要流量至少与一个 match 语句匹配，即为与类映射匹配。CLI 将进入类映射配置模式，可以在该模式下输入一个或多个 match 命令。

2. （可选）向类映射添加说明：description string

   其中，string 是对类映射的说明（最多可包含 200 个字符）。

3. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] called-party regex {regex_name | class class_name} - 将 To 报头中指定的被叫方与指定的正则表达式或正则表达式类进行匹配。

   • match [not] calling-party regex {regex_name | class class_name} - 将 From 报头中指定的主叫方与指定的正则表达式或正则表达式类进行匹配。

   • match [not] content length gt bytes - 匹配在 SIP 报头中的内容长度大于指定字节数（0 到 65536）的消息。

   • match [not] content type {sdp | regex {regex_name | class class_name} - 将内容类型匹配为 SDP 或者与指定的正则表达式或正则表达式类进行匹配。

   • match [not] im-subscriber regex {regex_name | class class_name} - 将 SIP IM 用户与指定的正则表达式或正则表达式类进行匹配。

   • match [not] message-path regex {regex_name | class class_name} - 将 SIP Via 报头与指定的正则表达式或正则表达式类进行匹配。

   • match [not] request-method method - 匹配 SIP 请求方法：ack、bye、cancel、info、invite、message、notify、options、prack、refer、register、subscribe、unknown、update。

   • match [not] third-party-registration regex {regex_name | class class_name} - 将第三方注册的请求方与指定的正则表达式或正则表达式类进行匹配。

   • match [not] uri {sip | tel} length gt bytes - 匹配长度大于指定长度（0 到 65536 字节）的选定类型（SIP 或 TEL）的 SIP 报头 URI。

4. 输入 exit 退出类映射配置模式。

步骤 2

创建 SIP 检测策略映射：policy-map type inspect sip policy_map_name

步骤 3

（可选）添加策略映射说明：description string

步骤 4

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一种方法指定要对其执行操作的流量：

   • 如果您已创建 SIP 类映射，请输入以下命令对其进行指定：class class_map_name

   • 要直接在策略映射中指定流量，请对 SIP 类映射使用上述 match 命令之一。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop - 丢弃匹配的所有数据包。

   • drop-connection - 丢弃数据包并关闭连接。

   • reset - 丢弃数据包、关闭连接并向服务器和/或客户端发送 TCP 重置。

   • log - 发送系统日志消息。您可以单独使用此选项，也可以与其他某项操作一起使用。

   • rate-limit message_rate - 限制发出消息的速率。速率限制仅适用于匹配“invite”和“register”的请求方法。

   可以在策略映射中指定多个 class 或 match 命令。有关 class 和 match 命令顺序的信息，请参阅如何处理多个流量类。

步骤 5

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式：

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • im - 启用即时消息。

   • ip-address-privacy - 启用 IP 地址隐私（即，隐藏服务器和终端的 IP 地址）。

   • max-forwards-validation action {drop | drop-connection | reset | log} [log] - 检查 Max-Forwards 报头值（在到达目标之前，此值不能为 0）。必须选择要对不符合要求的流量执行的操作（丢弃数据包、断开连接、重置连接或记录连接）以及是启用还是禁用日志记录。

   • rtp-conformance [enforce-payloadtype] - 检查流经针孔的 RTP 数据包的协议符合性。可选的 enforce-payloadtype 关键字基于信令交换将负载类型限制为音频或视频。

   • software-version action {mask [log] | log} - 使用 Server 和 User-Agent（终端）报头字段标识软件版本。可以在 SIP 消息中掩蔽软件版本以及（可选）进行有关记录，或者仅进行有关记录。

   • state-checking action {drop | drop-connection | reset | log} [log] - 启用状态转换检查。必须选择要对不符合要求的流量执行的操作（丢弃数据包、断开连接、重置连接或记录连接）以及是启用还是禁用日志记录。

   • strict-header-validation action {drop | drop-connection | reset | log} [log] - 根据 RFC 3261 对 SIP 消息中的报头字段启用严格验证。必须选择要对不符合要求的流量执行的操作（丢弃数据包、断开连接、重置连接或记录连接）以及是启用还是禁用日志记录。

   • traffic-non-sip - 允许已知 SIP 信令端口上出现非 SIP 流量。

   • trust-verification-server ip ip_address - 标识信任验证服务服务器（这些服务器使思科统一 IP 电话在 HTTPS 建立过程中可以对应用服务器进行身份验证）。最多可以输入命令四次来标识四台服务器。SIP 检测会为每个已注册的电话打开用于连接到每台服务器的针孔，由电话确定使用哪个针孔。可在 CUCM 服务器上配置信任验证服务服务器。

   • trust-verification-server port number - 标识信任验证服务端口。默认端口是 2445，因此，请仅在服务器使用其他端口的情况下使用此命令。允许的端口范围是 1026 到 32768。

   • uri-non-sip action {mask [log] | log} - 标识在 Alert-Info 和 Call-Info 报头字段中出现的非 SIP URI。可以在 SIP 消息中掩蔽这部分信息以及（可选）进行有关记录，或者仅进行有关记录。

步骤 1

创建 SCCP 检测策略映射：policy-map type inspect skinny policy_map_name

步骤 2

（可选）添加策略映射说明：description string

步骤 3

（可选）根据 SCCP 消息的站消息 ID 字段丢弃流量。

1. 根据十六进制的站消息 ID 值（0x0 到 0xffff）标识流量。使用 match [not] message-id 命令可以指定单个 ID 或 ID 范围。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   match message-id {value | range start_value end_value}

   示例:

   
   hostname(config-pmap)# match message-id 0x181
   hostname(config-pmap)# match message-id range 0x200 0xffff
   
   

2. 指定要对匹配的数据包执行的操作。可以丢弃数据包和或者记录数据包：drop [log]

3. 重复以上步骤，直至标识出所有要丢弃的消息 ID。

步骤 4

配置影响检测引擎的参数。

1. 进入参数配置模式。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • enforce-registration - 要求必须进行注册才能发出呼叫。

   • message-ID max hex_value - 设置允许的 SCCP 站消息 ID 的最大值。消息 ID 采用十六进制，默认最大值是 0x181。

   • rtp-conformance [enforce-payloadtype] - 检查流经针孔的 RTP 数据包的协议符合性。可选的 enforce-payloadtype 关键字基于信令交换将负载类型限制为音频或视频。

   • sccp-prefix-len {max | min} length - 设置允许的最大或最小 SCCP 前缀长度值。请输入此命令两次，以设置最小值和最大值。默认最小值是 4，没有默认最大值。

   • timeout {media | signaling} time - 为媒体和信令连接设置超时（格式为 hh:mm:ss）。如果不想设置超时，请指定数字 0。默认的媒体超时是 5 分钟，默认的信令超时是 1 小时。