在思科和华为下如何禁止traceroute而不禁止PING

很费解，我在华为设备上做了如下操作：
6 G, M$ [' |' j0 X
Advanced ACL 3000, 3 rules
Acl's step is 5
: h$ z7 H; i# C. ]9 ^8 x" F2 H$ Brule 10 deny icmp icmp-type ttl-exceeded
rule 20 deny udp destination-port range 33434 33600
rule 25 deny udp source-port range 33434 33600



User Defined Traffic Policy Information:
  Q- E+ f! Q6 |1 X% P9 H3 |  Policy: Xtracert
- z9 S) t4 Y* G( m) O  k   Classifier: Xtracert
7 K" l5 j+ ]9 j2 ~7 ]- x* t    Operator: OR
- y0 R  {6 D& ~2 V( b3 d. s9 P- ^  a     Behavior: Xtracert
5 m; s+ z) j! C      Deny

  L8 D" b, T: E% T5 F7 m3 E5 L( y
vlan 12
% m; X  j; v2 n( q' c# V4 L  Ktraffic-policy Xtracert inbound

3 c* S3 ?# b2 w5 \( a


PC-----------A设备----------------(Xtracert inbound)B设备-------------ISP
6 i' ^, j3 H0 i5 S) d


6 O0 i( ]6 i% q- e, O

9 G9 k. a2 `" C  U9 R3 p上面的策略在A设备上是可以禁止住traceroute，也就是说A设备可以Ping,但是不能traceroute。但是在A设备的后端的PC上可以Ping,同时也可以traceroute。
, ?; W4 ?5 _, r- k+ P9 [
根据上述问题，在下向各位大神求教。求详解。

可以的，用以下：
; t6 w" `- J# X: j: Z4 r2 z! xcisco(config)#access-list 100 deny icmp 192.168.1.0 0.0.0.255 any traceroute
: n7 s- q% ^& r) _( Gcisco(config)#access-list 100 permit ip any any
/ B, O& ^/ R) q0 E注意：192.168.1.0 0.0.0.255 为PC所在的网段，使用参数traceroute低版本IOS可能不支持，可以用range 33434 33600。

請問套到哪個介面的哪個方向?

做在入接口，如果上面不行的话，也可以用禁止端口达到目的：
cisco(config)#access-list 100 deny udp 192.168.1.0 0.0.0.255 any range 33434 65535
cisco(config)#access-list 100 permit ip any any