在设备 > 高级配置中点击查看配置。

在“高级配置”目录中依次点击 FlexConfig > FlexConfig 对象。

创建要启用 PPTP 检测的对象。

1. 点击 + 按钮以创建新的对象。

2. 为对象输入名称。例如，Enable_PPTP_Global_Inspection。

3. 在模板编辑器中，输入以下命令，包括缩进。

   
   policy-map global_policy
    class inspection_default
     inspect pptp
   
   

4. 在取消模板编辑器中，输入撤消此配置所需的命令。

   正如要让命令启用模板需要添加父命令以进入正确的子模式那样，您也需要在取消模板中添加这些命令。

   取消模板将在您从 FlexConfig 策略删除此对象（部署成功后删除）时，以及不成功的部署期间应用（将配置重置为之前的状态）。

   因此，在本示例中，取消模板为：

   
   policy-map global_policy
    class inspection_default
     no inspect pptp
   
   

   该对象应如下所示：

   
   

   

   
   

   注	由于 inspection_default 类启用了其他检测命令，您不想取消整个类。同样，global_policy 策略映射包括这些其他检测，而您也不想否定策略映射。

5. 点击确定保存对象。

创建要禁用 SIP 检查的对象。

1. 点击 + 按钮以创建新的对象。

2. 为对象输入名称。例如，Disable_SIP_Global_Inspection。

3. 在模板编辑器中，输入以下命令，包括缩进。

   
   policy-map global_policy
    class inspection_default
     no inspect sip
   
   

4. 在取消模板编辑器中，输入撤消此配置所需的命令。

   禁用“no”命令的“否定”命令是启用功能的命令。因此，“取消”模板不仅仅是禁用某项功能的命令，它是“肯定”模板中所执行任何命令的反向命令。取消模板的实质是撤消所做的更改。

   因此，在本示例中，取消模板为：

   
   policy-map global_policy
    class inspection_default
     inspect sip
   
   

   该对象应如下所示：

   
   

   

   
   

5. 点击确定保存对象。

将对象添加到 FlexConfig 策略中。

1. 点击目录中的 FlexConfig 策略。

2. 在组列表中点击 +。

3. 选择 Enable_PPTP_Global_Inspection 和 Disable_SIP_Global_Inspection 对象，然后点击确定。

   组列表应如下所示：

   
   

   

   
   

   系统应随即使用模板中的命令更新预览。验证您是否看到预期的命令。

   
   

   

   
   

4. 点击保存。

   您现在可以部署策略。

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

在 CLI 控制台或 SSH 会话中，使用 show running-config policy-map 命令并验证运行配置是否具有正确的更改。

> show running-config policy-map 
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny  
  inspect sunrpc 
  inspect xdmcp 
  inspect netbios 
  inspect tftp 
  inspect ip-options 
  inspect icmp 
  inspect icmp error 
  inspect pptp 
!

在设备 > 高级配置中点击查看配置。

在“高级配置”目录中依次点击 FlexConfig > FlexConfig 策略。

点击 FlexConfig 策略中 Disable_SIP_Global_Inspection 对象条目右侧的 X，将其从策略中删除。

预览中将删除该对象中的命令。取消命令不会添加到预览，而是在后台执行。

点击保存。

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

在 CLI 控制台或 SSH 会话中，使用 show running-config policy-map 命令并验证运行配置是否具有正确的更改。

> show running-config policy-map 
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 512
  no tcp-inspection
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect sqlnet 
  inspect skinny  
  inspect sunrpc 
  inspect xdmcp 
  inspect netbios 
  inspect tftp 
  inspect ip-options 
  inspect icmp 
  inspect icmp error 
  inspect pptp 
  inspect sip  
!

在设备 > 高级配置中点击查看配置。

在“高级配置”目录中依次点击 FlexConfig > FlexConfig 对象。

点击 + 按钮以创建新的对象。

为对象输入名称。例如，Enable_PPTP_Inspection_on_Interface。

为内部接口添加一个变量。

1. 点击变量列表上方的 +。

2. 输入变量的名称，例如 pptp-if。

3. 对于类型，请选择接口。

4. 对于值，请选择内部接口。

   对话框应如下所示：

   
   

   

   
   

5. 点击添加。

在模板编辑器中，输入以下命令，包括缩进。

access-list MATCH_ACL permit ip host 192.168.1.55 host 198.51.100.1 
class-map MATCH_CMAP
 match access-list MATCH_ACL
policy-map PPTP_POLICY
 class MATCH_CMAP
  inspect pptp
service-policy PPTP_POLICY interface {{pptp-if.name}}

在取消模板编辑器中，输入撤消此配置所需的命令。

对于本示例中，我们将假设类映射、策略映射和服务策略仅用于应用 PPTP 检测目的。因此，在取消模板中，我们想要删除所有这些要素。

但是，如果您将 PPTP 检测实际添加到接口上的现有服务策略，不需要对策略映射或服务策略求反。您可以从策略映射对类求反，或仅在策略映射的类中关闭检测。您需要清楚了解您在其他 FlexConfig 对象中实施的策略，确保取消模板不会产生意外的后果。

删除嵌套项目时，您需要按照与项目创建顺序相反的顺序执行删除。因此，您需要先删除服务策略，最后再删除访问列表。否则，您将尝试删除正在使用的对象，而系统将返回错误，不允许您执行此操作。

no service-policy PPTP_POLICY interface {{pptp-if.name}}
no policy-map PPTP_POLICY
no class-map MATCH_CMAP
no access-list MATCH_ACL permit ip host 192.168.1.55 host 198.51.100.1 

该对象应如下所示：

点击确定保存对象。

将对象添加到 FlexConfig 策略中。

1. 点击目录中的 FlexConfig 策略。

2. 在组列表中点击 +。

3. 选择 Enable_PPTP_Inspection_on_Interface 对象，然后点击确定。

   组列表应如下所示：

   
   

   

   
   

   系统应随即使用模板中的命令更新预览。验证您是否看到下图所示的预期命令。请注意，接口变量在预览中解析为名称"inside”。需要特别注意变量：如果在预览中解析不正确，它们将不能正确部署。编辑 FlexConfig 对象，直到可以在预览中获得正确的变量转换。

   
   

   

   
   

4. 点击保存。

   您现在可以部署策略。

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

在 CLI 控制台或 SSH 会话中，使用 show running-config 命令的变体并验证运行配置是否具有正确的更改。

> show running-config access-list MATCH_ACL 
access-list MATCH_ACL extended permit ip host 192.168.1.55 host 198.51.100.1 

> show running-config class 
!
class-map MATCH_CMAP
 match access-list MATCH_ACL
class-map inspection_default
 match default-inspection-traffic
!

> show running-config policy-map PPTP_POLICY 
!
policy-map PPTP_POLICY
 class MATCH_CMAP
  inspect pptp 
!
> show running-config service-policy 
service-policy global_policy global
service-policy PPTP_POLICY interface inside

在设备 > 高级配置中点击查看配置。

在“高级配置”目录中依次点击 FlexConfig > FlexConfig 对象。

点击 + 按钮以创建新的对象。

为对象输入名称。例如，Enable_Hardware_Bypass。

在模板编辑器中，启用硬件绕行。

hardware-bypass GigabitEthernet 1/1-1/2
hardware-bypass GigabitEthernet 1/3-1/4

（可选。）输入命令以禁用 TCP 序列号随机化。

policy-map global_policy
 class default_class
  set connection random-sequence-number disable

在取消模板编辑器中，输入撤消此配置所需的命令。

no hardware-bypass GigabitEthernet 1/1-1/2
no hardware-bypass GigabitEthernet 1/3-1/4
policy-map global_policy
 class default_class
  set connection random-sequence-number enable 

点击确定保存对象。

将对象添加到 FlexConfig 策略中。

1. 点击目录中的 FlexConfig 策略。

2. 在组列表中点击 +。

3. 选择 Enable_Hardware_Bypass 对象，然后点击确定。

   系统应随即使用模板中的命令更新预览。验证您是否看到预期的命令。

4. 点击保存。

   您现在可以部署策略。

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

在 CLI 控制台或 SSH 会话中，使用 show running-config 命令并验证运行配置是否具有正确的更改。