目  錄

1 ACL

1.1 ACL簡介

1.1.1 ACL的編號和名稱

1.1.2 ACL的分類

1.1.3 ACL的規則匹配順序

1.1.4 ACL的規則描述和注釋

1.1.5 ACL的步長

1.1.6 ACL對分片報文的處理

1.2 ACL配置限製和指導

1.3 ACL配置任務簡介

1.4 配置基本ACL

1.4.1 功能簡介

1.4.2 配置IPv4基本ACL

1.4.3 配置IPv6基本ACL

1.5 配置高級ACL

1.5.1 功能簡介

1.5.2 配置IPv4高級ACL

1.5.3 配置IPv6高級ACL

1.6 配置二層ACL

1.7 配置用戶自定義ACL

1.8 複製ACL

1.9 應用ACL進行報文過濾

1.9.1 功能簡介

1.9.2 全局應用ACL進行報文過濾

1.9.3 在接口上應用ACL進行報文過濾

1.9.4 配置報文過濾在VLAN接口的生效範圍

1.9.5 配置報文過濾的缺省動作

1.10 ACL顯示和維護

1.11 ACL典型配置舉例

1.11.1 在接口上應用包過濾的ACL配置舉例

 

1 ACL

1.1  ACL簡介

ACL（Access Control List，訪問控製列表）是一係列用於識別報文流的規則的集合。這裏的規則是指描述報文匹配條件的判斷語句，匹配條件可以是報文的源地址、目的地址、端口號等。設備依據ACL規則識別出特定的報文，並根據預先設定的策略對其進行處理，最常見的應用就是使用ACL進行報文過濾。此外，ACL還可應用於諸如路由、安全、QoS等業務中識別報文，對這些報文的具體處理方式由應用ACL的業務模塊來決定。

1.1.1  ACL的編號和名稱

用戶在創建ACL時必須為其指定編號或名稱，不同的編號對應不同類型的ACL，如表1-1所示；當ACL創建完成後，用戶就可以通過指定編號或名稱的方式來應用和編輯該ACL。

對於編號相同的基本ACL或高級ACL，必須通過ipv6關鍵字進行區分。對於名稱相同的ACL，必須通過ipv6、mac、user-defined關鍵字進行區分。

1.1.2  ACL的分類

根據規則製定依據的不同，可以將ACL分為如表1-1所示的幾種類型。

表1-1 ACL的分類

ACL類型	編號範圍	適用的IP版本	規則製定依據
基本ACL	2000～2999	IPv4	報文的源IPv4地址
		IPv6	報文的源IPv6地址
高級ACL	3000～3999	IPv4	報文的源IPv4地址、目的IPv4地址、報文優先級、IPv4承載的協議類型及特性等三、四層信息
		IPv6	報文的源IPv6地址、目的IPv6地址、報文優先級、IPv6承載的協議類型及特性等三、四層信息
二層ACL	4000～4999	IPv4和IPv6	報文的源MAC地址、目的MAC地址、802.1p優先級、鏈路層協議類型等二層信息
用戶自定義ACL	5000～5999	IPv4和IPv6	以報文頭為基準，指定從報文的第幾個字節開始與掩碼進行“與”操作，並將提取出的字符串與用戶定義的字符串進行比較，從而找出相匹配的報文

 

1.1.3  ACL的規則匹配順序

當一個ACL中包含多條規則時，報文會按照一定的順序與這些規則進行匹配，一旦匹配上某條規則便結束匹配過程。ACL的規則匹配順序有以下兩種：

·     配置順序：按照規則編號由小到大進行匹配。

·     自動排序：按照“深度優先”原則由深到淺進行匹配，各類型ACL的“深度優先”排序法則如下表所示。

‌

表1-2 各類型ACL的“深度優先”排序法則

ACL類型	“深度優先”排序法則
IPv4基本ACL	a     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 b     如果VPN實例的包含情況相同，再比較源IPv4地址範圍，較小者優先 c     如果源IPv4地址範圍也相同，再比較配置的先後次序，先配置者優先
IPv4高級ACL	a     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 b     如果VPN實例的包含情況相同，再比較協議範圍，指定有IPv4承載的協議類型者優先 c     如果協議範圍也相同，再比較源IPv4地址範圍，較小者優先 d     如果源IPv4地址範圍也相同，再比較目的IPv4地址範圍，較小者優先 e     如果目的IPv4地址範圍也相同，再比較四層端口（即TCP/UDP端口）號的覆蓋範圍，較小者優先 f     如果四層端口號的覆蓋範圍無法比較，再比較配置的先後次序，先配置者優先
IPv6基本ACL	a     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 b     如果VPN實例的包含情況相同，再比較源IPv6地址範圍，較小者優先 c     如果源IPv6地址範圍也相同，再比較配置的先後次序，先配置者優先
IPv6高級ACL	a     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 b     如果VPN實例的包含情況相同，再比較協議範圍，指定有IPv6承載的協議類型者優先 c     如果協議範圍相同，再比較源IPv6地址範圍，較小者優先 d     如果源IPv6地址範圍也相同，再比較目的IPv6地址範圍，較小者優先 e     如果目的IPv6地址範圍也相同，再比較四層端口（即TCP/UDP端口）號的覆蓋範圍，較小者優先 f     如果四層端口號的覆蓋範圍無法比較，再比較配置的先後次序，先配置者優先
二層ACL	a     先比較源MAC地址範圍，較小者優先 b     如果源MAC地址範圍相同，再比較目的MAC地址範圍，較小者優先 c     如果目的MAC地址範圍也相同，再比較配置的先後次序，先配置者優先

‌

 

1.1.4  ACL的規則描述和注釋

在一個ACL中用戶可以創建多條規則，為了方便標識這些規則的用途，用戶可以為單條規則添加描述信息，也可以在各條規則之間插入注釋信息來對前一段或後一段規則進行統一描述。

·     規則描述信息

規則描述信息主要用於對單條規則進行單獨標識。當需要對各條規則進行不同的標識或對某條規則進行特別標識時，適用此方式。

·     規則注釋信息

規則注釋信息主要用於對一段規則進行統一標識。當需要對一段規則進行相同的標識時，如果采用對每條規則都添加相同描述信息的方式，需要進行大量配置，效率會非常低下。在這種情況下，可以在這段規則的前、後插入注釋信息的方式來提高標識效率，即：在這段規則的首條規則之前以及末條規則之後分別插入一條注釋信息，通過首、尾這兩條注釋信息就可以標識整段規則的用途。

1.1.5  ACL的步長

ACL中的每條規則都有自己的編號，這個編號在該ACL中是唯一的。在創建規則時，可以手工為其指定一個編號；如未手工指定編號，則由係統為其自動分配一個編號。由於規則的編號可能影響規則匹配的順序，因此當由係統自動分配編號時，為了方便後續在已有規則之前插入新的規則，係統通常會在相鄰編號之間留下一定的空間，這個空間的大小（即相鄰編號之間的差值）就稱為ACL的步長。譬如，當步長為5時，係統會將編號0、5、10、15……依次分配給新創建的規則。

係統為規則自動分配編號的方式如下：係統從規則編號的起始值開始，自動分配一個大於現有最大編號的步長最小倍數的編號。譬如原有編號為0、5、9、10和12的五條規則，步長為5，此時如果創建一條規則且不指定編號，那麼係統將自動為其分配編號15。

如果步長或規則編號的起始值發生了改變，ACL內原有全部規則的編號都將自動從規則編號的起始值開始按步長重新排列。譬如，某ACL內原有編號為0、5、9、10和15的五條規則，當修改步長為2之後，這些規則的編號將依次變為0、2、4、6和8。

需要注意的是，ACL規則的匹配順序為自動排序時，修改步長後新的編號是按照規則的匹配順序（即“深度優先”原則）重新排序的，並非按照規則的原有編號順序排序。譬如，步長為5時，規則的匹配順序為0、10、5……修改步長為2後，各規則對應的新編號為0、2、4……

1.1.6  ACL對分片報文的處理

傳統報文過濾隻對分片報文的首個分片進行匹配過濾，對後續分片一律放行，因此網絡攻擊者通常會構造後續分片進行流量攻擊。為提高網絡安全性，ACL規則缺省會匹配所有非分片報文和分片報文的全部分片，但這樣又帶來效率低下的問題。為了兼顧網絡安全和匹配效率，可將過濾規則配置為僅對後續分片有效。

1.2  ACL配置限製和指導

通過編號創建的ACL，可以通過如下命令進入其視圖：

·     acl [ ipv6 ] number acl-number；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } acl-number。

通過acl [ ipv6 ] number acl-number name acl-name命令指定編號和名稱創建的ACL，可以使用如下命令進入其視圖：

·     acl [ ipv6 ] name acl-name，本命令僅支持進入已創建的基本或高級ACL視圖；

·     acl [ ipv6 ] number acl-number [ name acl-name ]；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name。

通過acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name命令指定名稱創建的ACL，可以使用如下命令進入其視圖：

·     acl [ ipv6 ] name acl-name，本命令僅支持進入已創建的基本或高級ACL視圖；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name。

如果ACL規則的匹配項中包含了除IP五元組（源IP地址、源端口號、目的IP地址、目的端口號、傳輸層協議）、ICMP報文的消息類型和消息碼信息、VPN實例、日誌操作和時間段之外的其它匹配項，則設備轉發ACL匹配的這類報文時會啟用慢轉發流程。慢轉發時設備會將報文上送控製平麵，計算報文相應的表項信息。執行慢轉發流程時，設備的轉發能力將會有所降低。

1.3  ACL配置任務簡介

ACL配置任務如下

·     配置不同類型的ACL

¡     配置基本ACL

¡     配置高級ACL

¡     配置二層ACL

¡     配置用戶自定義ACL

·     （可選）複製ACL

·     （可選）應用ACL進行報文過濾

1.4  配置基本ACL

1.4.1  功能簡介

基本ACL根據報文的源IP地址來製定規則，對報文進行匹配。

基本ACL可以應用在設備管理、NAT業務、組播業務、QoS業務和路由策略等場景中，典型應用場景如下：

·     當設備作為FTP、TFTP服務器時，為提高其安全性，可以通過配置基本ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用基本ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“FTP和TFTP”。

·     在NAT業務場景中，可以通過配置基本ACL規則實現對特定報文進行地址轉換。關於地址轉換的詳細介紹，請參見“三層技術-IP業務配置指導”中的“NAT”。

·     在組播場景中，通過配置基本ACL，設備可以作為組播數據過濾器實現隻接收或轉發滿足過濾條件的組播報文。關於組播數據過濾器的詳細介紹，請參見“IP組播配置指導”中的“PIM”和“IPv6 PIM”。

·     當需要控製設備接收、發布的路由信息時，可以通過配置基本ACL作為路由策略的過濾器，來實現隻接收或發布滿足過濾條件的路由。關於路由策略的詳細介紹，請參見“三層技術-IP路由配置指導”中的“路由策略”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置基本ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

1.4.2  配置IPv4基本ACL

(1)     進入係統視圖。

system-view

(2)     創建IPv4基本ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv4基本ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv4基本ACL。

acl basic { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value [ start start-value ]

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(7)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.4.3  配置IPv6基本ACL

(8)     進入係統視圖。

system-view

(9)     創建IPv6基本ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv6基本ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv6基本ACL。

acl ipv6 basic { acl-number | name acl-name } [ match-order { auto | config } ]

(10)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(11)     （可選）配置規則編號的步長。

step step-value [ start start-value ]

缺省情況下，規則編號的步長為5，起始值為0。

(12)     創建規則。

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | routing [ type routing-type ] | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(13)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(14)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.5  配置高級ACL

1.5.1  功能簡介

高級ACL可以應用在設備管理、NAT業務、組播業務、QoS業務和路由策略等場景中，典型應用場景如下：

·     當設備作為FTP、TFTP服務器時，為提高其安全性，可以通過配置高級ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用高級ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“FTP和TFTP”。

·     在NAT業務場景中，可以通過配置高級ACL規則實現對特定報文進行地址轉換。關於地址轉換的詳細介紹，請參見“三層技術-IP業務配置指導”中的“NAT”。

·     在組播場景中，通過配置高級ACL，設備可以作為組播數據過濾器實現隻接收或轉發滿足過濾條件的組播報文。關於組播數據過濾器的詳細介紹，請參見“IP組播配置指導”中的“PIM”和“IPv6 PIM”。

·     當需要控製設備接收、發布的路由信息時，可以通過配置高級ACL作為路由策略的過濾器，來實現隻接收或發布滿足過濾條件的路由。關於路由策略的詳細介紹，請參見“三層技術-IP路由配置指導”中的“路由策略”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置高級ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

高級ACL可根據報文的源地址、目的地址、報文優先級、QoS本地值、承載的協議類型及特性（如TCP/UDP的源端口和目的端口、TCP報文標識、ICMP或ICMPv6協議的消息類型和消息碼等）以及報文的封裝類型、內層源地址、內層目的地址、內層承載的協議類型及特性（如TCP/UDP的內層源端口和內層目的端口）等信息來製定規則，對報文進行匹配。用戶可利用高級ACL製定比基本ACL更準確、豐富、靈活的規則。

1.5.2  配置IPv4高級ACL

(15)     進入係統視圖。

system-view

(16)     創建IPv4高級ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv4高級ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv4高級ACL。

acl advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(17)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(18)     （可選）配置規則編號的步長。

step step-value [ start start-value ]

缺省情況下，規則編號的步長為5，起始值為0。

(1)     創建規則。請至少選擇其中一項進行配置。

¡     創建匹配普通報文的規則。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { { precedence precedence | tos tos } * | precedence precedence | dscp dscp } | fragment | icmp-type { icmp-type [ icmp-code ] | icmp-message } | logging | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(2)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(3)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.5.3  配置IPv6高級ACL

(4)     進入係統視圖。

system-view

(5)     創建IPv6高級ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv6高級ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv6高級ACL。

acl ipv6 advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(6)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(7)     （可選）配置規則編號的步長。

step step-value [ start start-value ]

缺省情況下，規則編號的步長為5，起始值為0。

(8)     創建規則，請至少選擇其中一項進行配置。

¡     創建匹配普通報文的規則。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | flow-label flow-label-value | fragment | icmp6-type { icmp6-type icmp6-code | icmp6-message } | logging | routing [ type routing-type ]source { source-address source-prefix | source-address/source-prefix | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(9)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(10)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.6  配置二層ACL

1. 功能簡介

二層ACL可以應用在設備管理和QoS業務等場景中，典型應用場景如下：

·     當設備作為Telnet服務器時，為提高其安全性，可以通過配置二層ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用二層ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“登錄設備”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置二層ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

二層ACL可根據報文的源MAC地址、目的MAC地址、802.1p優先級、鏈路層協議類型、報文的封裝類型、報文的內層源MAC地址、內層目的MAC地址、內層鏈路層協議類型等二層信息來製定規則，對報文進行匹配。

2. 配置步驟

(11)     進入係統視圖。

system-view

(12)     創建二層ACL。請至少選擇其中一項進行配置。

¡     通過編號創建二層ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建二層ACL。

acl mac { acl-number | name acl-name } [ match-order { auto | config } ]

(13)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(14)     （可選）配置規則編號的步長。

step step-value [ start start-value ]

缺省情況下，規則編號的步長為5，起始值為0。

(15)     創建規則。請至少選擇其中一項進行配置。

¡     創建匹配普通報文的規則。

rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | { lsap lsap-type lsap-type-mask | type protocol-type protocol-type-mask } | source-mac source-address source-mask | time-range time-range-name ] *

(16)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(17)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.7  配置用戶自定義ACL

1. 功能簡介

用戶自定義ACL可以以報文頭為基準，指定從報文的第幾個字節開始與掩碼進行“與”操作，並將提取出的字符串與用戶定義的字符串進行比較，從而找出相匹配的報文。

2. 配置步驟

(18)     進入係統視圖。

system-view

(19)     創建用戶自定義ACL。請至少選擇其中一項進行配置。

¡     通過編號創建用戶自定義ACL。

acl number acl-number [ name acl-name ]

¡     通過關鍵字創建用戶自定義ACL。

acl user-defined { acl-number | name acl-name }

(20)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(21)     創建規則。

命令形式一

rule [ rule-id ] { deny | permit } [ { { ipv4 | ipv6 | l2 | l4 }rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

命令形式二

rule [ rule-id ] { deny | permit } [ ipv6-protocol ] protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination { dest-address dest-wildcard | any } | destination-port { operator port1 [ port2 ] } | { { precedence precedence | tos tos } * | { precedence precedence | ecn ecn } * | { dscp dscp | ecn ecn } * } | source {  source-address source-wildcard | any } | source-port { operator port1 [ port2 ] } | udf-format | vpn-instance vpn-instance-name ] * [ { { ipv4 | ipv6 | l2 | l4 | l5 } rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

命令形式三

rule [ rule-id ] { deny | permit } dual-stack { tcp | udp } [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination any | destination-port { operator port1 [ port2 ] } | source any | source-port { operator port1 [ port2 ] } | vpn-instance vpn-instance-name ] * [ counting | time-range time-range-name ] *

(22)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

(23)     （可選）為規則配置注釋信息。

rule [ rule-id ] remark text

缺省情況下，未配置規則的注釋信息。

1.8  複製ACL

1. 功能簡介

用戶可通過複製一個已存在的ACL（即源ACL），來生成一個新的同類型ACL（即目的ACL）。除了ACL的編號和名稱不同外，目的ACL與源ACL完全相同。

2. 配置限製和指導

目的ACL要與源ACL的類型相同，且目的ACL必須不存在，否則將導致複製ACL失敗。

3. 配置步驟

(24)     進入係統視圖。

system-view

(25)     複製並生成一個新的ACL。

acl [ ipv6 | mac | user-defined ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

1.9  應用ACL進行報文過濾

1.9.1  功能簡介

ACL最基本的應用就是進行報文過濾。例如，將ACL規則應用到指定接口的入或出方向上，從而對該接口收到或發出的報文進行過濾。

1.9.2  全局應用ACL進行報文過濾

1. 配置限製和指導

全局在一個方向上最多可應用32個ACL進行報文過濾。

2. 配置步驟

(26)     進入係統視圖。

system-view

(27)     全局應用ACL進行報文過濾。

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情況下，未配置全局的報文過濾。

1.9.3  在接口上應用ACL進行報文過濾

1. 配置限製和指導

一個接口在一個方向上最多可應用32個ACL進行報文過濾。

2. 配置步驟

(28)     進入係統視圖。

system-view

(29)     進入接口視圖。

interface interface-type interface-number

(30)     在接口上應用ACL進行報文過濾。

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]

缺省情況下，未配置接口的報文過濾。

1.9.4  配置報文過濾在VLAN接口的生效範圍

1. 功能簡介

在VLAN接口下應用ACL進行報文過濾時，可以通過本功能指定報文過濾的生效範圍：

·     僅對三層轉發的報文生效。

·     對所有報文生效，即通過VLAN接口進行三層轉發的報文和通過VLAN接口對應的物理接口進行二層轉發的報文均生效。

2. 配置步驟

(31)     進入係統視圖。

system-view

(32)     進入已創建的VLAN接口視圖。

interface vlan-interface vlan-interface-id

(33)     配置報文過濾的生效範圍。

packet-filter filter [ route | all ]

缺省情況下，報文過濾對通過VLAN接口進行三層轉發的報文生效。

1.9.5  配置報文過濾的缺省動作

1. 功能簡介

係統缺省的報文過濾動作為Permit，即允許未匹配上ACL規則的報文通過。通過本配置可更改報文過濾的缺省動作為Deny，即禁止未匹配上ACL規則的報文通過。

2. 配置步驟

(34)     進入係統視圖。

system-view

(35)     配置報文過濾的缺省動作為Deny。

packet-filter default deny

缺省情況下，報文過濾的缺省動作為Permit，即允許未匹配上ACL規則的報文通過。

1.10  ACL顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示ACL配置後的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下執行reset命令可以清除ACL的統計信息。

表1-3 ACL顯示和維護

配置	命令
顯示ACL的配置和運行情況	display acl [ ipv6 | mac | user-defined ] { acl-number | all | name acl-name }
顯示ACL在報文過濾中的應用情況	display packet-filter { { global | interface [ interface-type interface-number ] } [ inbound | outbound ] }
顯示ACL在報文過濾中應用的統計信息	display packet-filter statistics { { global | interface interface-type interface-number } { inbound | outbound } [ default | [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] | [ [ ipv6 ] { acl-number | name acl-name } ] } [ brief ]
顯示ACL在報文過濾中應用的累加統計信息	display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac | user-defined ] { acl-number | name acl-name } [ brief ]
顯示ACL在報文過濾中的詳細應用情況	display packet-filter verbose { { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]
顯示QoS和ACL資源的使用情況	display qos-acl resource [ slot slot-number ]
清除ACL的統計信息	reset acl [ ipv6 | mac | user-defined ] counter { acl-number | all | name acl-name }
清除ACL在報文過濾中應用的統計信息	reset packet-filter statistics { global | interface [ interface-type interface-number ] } { inbound | outbound } [[ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]

 

1.11  ACL典型配置舉例

1.11.1  在接口上應用包過濾的ACL配置舉例

1. 組網需求

·     某公司內的各部門之間通過Device實現互連，該公司的工作時間為每周工作日的8點到18點。

·     通過配置，允許總裁辦在任意時間、財務部在工作時間訪問財務數據庫服務器，禁止其它部門在任何時間、財務部在非工作時間訪問該服務器。

2. 組網圖

圖1-1 ACL典型配置組網圖

‌

3. 配置步驟

# 創建名為work的時間段，其時間範圍為每周工作日的8點到18點。

<Device> system-view

[Device] time-range work 08:00 to 18:00 working-day

# 創建IPv4高級ACL 3000，並製定如下規則：允許總裁辦在任意時間、財務部在工作時間訪問財務數據庫服務器，禁止其它部門在任何時間、財務部在非工作時間訪問該服務器。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] quit

# 應用IPv4高級ACL 3000對接口GigabitEthernet1/0/1出方向上的報文進行過濾。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] packet-filter 3000 outbound

[Device-GigabitEthernet1/0/1] quit

4. 驗證配置

配置完成後，在各部門的PC（假設均為Windows XP操作係統）上可以使用ping命令檢驗配置效果，在Device上可以使用display acl命令查看ACL的配置和運行情況。例如在工作時間：

# 在財務部的PC上檢查到財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

 

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可見，財務部的PC能夠在工作時間訪問財務數據庫服務器。

# 在市場部的PC上檢查財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可見，市場部的PC不能在工作時間訪問財務數據庫服務器。

# 查看IPv4高級ACL 3000的配置和運行情況。

[Device] display acl 3000

Advanced IPv4 ACL 3000, 3 rules,

ACL's step is 5

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

 rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)

 rule 10 deny ip destination 192.168.0.100 0

由此可見，由於目前是工作時間，因此規則5是生效的；且由於之前使用了ping命令的緣故，規則5和規則10分別被匹配了4次。