首先，我们需要创建两个访问控制列表（ACL），分别命名为anti_worm和anti_icmp。这两个列表将帮助我们定义针对特定网络行为的规则。
在anti_worm列表中，我们添加了一系列规则，用于阻断一些常见的病毒传播途径。例如，规则0禁止所有目标端口为TFTP的UDP数据包，因为TFTP常被病毒用于传播。类似地，其他规则分别禁止了目标端口为135、137、138、139、445、539、593和1434的TCP或UDP数据包，这些都是病毒传播常用的端口。
接下来，在anti_icmp列表中，我们添加了一条规则，用于禁止所有ICMP数据包。ICMP常被用于网络攻击，如DDoS攻击，因此禁止ICMP数据包可以增强网络的安全性。
创建了ACL后，我们需要将这些规则应用到交换机的各个接口上。这里以not-carefor-interface方式全局下发规则。这种方式意味着规则将应用于整个芯片，而不仅限于单个端口。对于具有两个芯片的FT48单板，前24个端口属于一个芯片，后24个端口属于另一个芯片。在任一端口应用带有not-carefor-interface参数的规则，都会使该规则在对应芯片上的所有端口生效。
以下是将规则应用到e1/0/1、e2/0/1和e2/0/48接口的示例：
``` int e1/0/1 packet-filter inbound ip-group anti_worm not-care-for-interface packet-filter inbound ip-group anti_icmp not-care-for-interface
int e2/0/1 packet-filter inbound ip-group anti_worm not-care-for-interface packet-filter inbound ip-group anti_icmp not-care-for-interface
int e2/0/48 packet-filter inbound ip-group anti_worm not-care-for-interface packet-filter inbound ip-group anti_icmp not-care-for-interface ```
需要注意的是，不同单板的芯片数量可能不同，因此在实际应用中，需要根据单板的具体情况来确定规则的下发方式。
总之，通过合理配置交换机的ACL规则，我们可以有效阻断病毒传播途径，保护网络的安全。这只是一个基本的配置模板，针对不同网络环境和病毒特征，我们可能还需要进行更详细的定制和优化。网络安全是一个持续的过程，需要我们不断学习和改进。现在网络病毒肆意横行，给网络的正常应用带来了很大的隐患，下面给出Quidway S6500系列交换机防病毒配置的一个模版，仅供大家参考：
acl name anti_worm advanced
rule 0 deny udp destination-port eq tftp
rule 1 deny tcp destination-port eq 135
>rule 2 deny udp destination-port eq 135
rule 3 deny udp destination-port eq 137
rule 4 deny udp destination-port eq 138
rule 5 deny tcp destination-port eq 139
rule 6 deny udp destination-port eq netBIOS-ssn
rule 7 deny tcp destination-port eq 445
rule 8 deny udp destination-port eq 445
rule 9 deny tcp destination-port eq 539
rule 10 deny udp destination-port eq 539
rule 11 deny tcp destination-port eq 593
rule 12 deny udp destination-port eq 593
rule 13 deny udp destination-port eq 1434
rule 14 deny tcp destination-port eq 4444
acl name anti_icmp advanced
rule 0 deny icmp
将以上规则以not-carefor-interface方式在芯片上全局下发，如：
int e1/0/1
packet-filter inbound ip-group anti_worm not-care-for-interface
packet-filter inbound ip-group anti_icmp not-care-for-interface
int e2/0/1
packet-filter inbound ip-group anti_worm not-care-for-interface
packet-filter inbound ip-group anti_icmp not-care-for-interface
int e2/0/48
packet-filter inbound ip-group anti_worm not-care-for-interface
packet-filter inbound ip-group anti_icmp not-care-for-interface
注：
1、 not-carefor-interface参数表示的意思是该规则在整个芯片下发，而不仅仅是在这个端口下发，对于FT48单板来说，一个有两个芯片，前24个端口为一个芯片，后24个端口为一个芯片，在芯片的任何一个端口带该参数下发的规则都在整个芯片上生效。
2、 其他单板为一块芯片。
