目  錄

1 ACL

1.1 ACL簡介

1.1.1 ACL的編號和名稱

1.1.2 ACL的分類

1.1.3 ACL的規則匹配順序

1.1.4 ACL的步長

1.1.5 ACL對分片報文的處理

1.2 ACL配置限製和指導

1.3 ACL配置任務簡介

1.4 配置基本ACL

1.4.1 功能簡介

1.4.2 配置限製和指導

1.4.3 配置IPv4基本ACL

1.4.4 配置IPv6基本ACL

1.5 配置高級ACL

1.5.1 功能簡介

1.5.2 配置限製和指導

1.5.3 配置IPv4高級ACL

1.5.4 配置IPv6高級ACL

1.6 配置二層ACL

1.7 複製ACL

1.8 配置ACL規則的加速匹配功能

1.9 應用ACL進行報文過濾

1.9.1 功能簡介

1.9.2 在接口上應用ACL進行報文過濾

1.9.3 在安全域間實例上應用ACL進行報文過濾

1.9.4 在無線服務模板上應用ACL進行報文過濾

1.9.5 配置報文過濾日誌信息或告警信息的生成與發送周期

1.9.6 配置報文過濾的缺省動作

1.9.7 配置接口報文過濾缺省動作統計功能

1.10 ACL顯示和維護

1.11 ACL典型配置舉例

1.11.1 在接口上應用包過濾的ACL配置舉例

1.11.2 在安全域間實例上應用包過濾的ACL配置舉例

 

1 ACL

1.1  ACL簡介

ACL（Access Control List，訪問控製列表）是一係列用於識別報文流的規則的集合。這裏的規則是指描述報文匹配條件的判斷語句，匹配條件可以是報文的源地址、目的地址、端口號等。設備依據ACL規則識別出特定的報文，並根據預先設定的策略對其進行處理，最常見的應用就是使用ACL進行報文過濾。此外，ACL還可應用於諸如路由、安全、QoS等業務中識別報文，對這些報文的具體處理方式由應用ACL的業務模塊來決定。

1.1.1  ACL的編號和名稱

用戶在創建ACL時必須為其指定編號或名稱，不同的編號對應不同類型的ACL，如表1-1所示；當ACL創建完成後，用戶就可以通過指定編號或名稱的方式來應用和編輯該ACL。

對於編號相同的基本ACL或高級ACL，必須通過ipv6關鍵字進行區分。對於名稱相同的ACL，必須通過ipv6、mac關鍵字進行區分。

1.1.2  ACL的分類

根據規則製定依據的不同，可以將ACL分為如表1-1所示的幾種類型。

表1-1 ACL的分類

ACL類型	編號範圍	適用的IP版本	規則製定依據
基本ACL	2000～2999	IPv4	報文的源IPv4地址
		IPv6	報文的源IPv6地址
高級ACL	3000～3999	IPv4	報文的源IPv4地址、目的IPv4地址、報文優先級、IPv4承載的協議類型及特性等三、四層信息
		IPv6	報文的源IPv6地址、目的IPv6地址、報文優先級、IPv6承載的協議類型及特性等三、四層信息
二層ACL	4000～4999	IPv4和IPv6	報文的源MAC地址、目的MAC地址、802.1p優先級、鏈路層協議類型等二層信息

 

1.1.3  ACL的規則匹配順序

當一個ACL中包含多條規則時，報文會按照一定的順序與這些規則進行匹配，一旦匹配上某條規則便結束匹配過程。ACL的規則匹配順序有以下兩種：

·     配置順序：按照規則編號由小到大進行匹配。

·     自動排序：按照“深度優先”原則由深到淺進行匹配，各類型ACL的“深度優先”排序法則如表1-2所示。

表1-2 各類型ACL的“深度優先”排序法則

ACL類型	“深度優先”排序法則
IPv4基本ACL	1.     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 2.     如果VPN實例的包含情況相同，再比較源IPv4地址範圍，較小者優先 3.     如果源IPv4地址範圍也相同，再比較配置的先後次序，先配置者優先
IPv4高級ACL	1.     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 2.     如果VPN實例的包含情況相同，再比較協議範圍，指定有IPv4承載的協議類型者優先 3.     如果協議範圍也相同，再比較源IPv4地址範圍，較小者優先 4.     如果源IPv4地址範圍也相同，再比較目的IPv4地址範圍，較小者優先 5.     如果目的IPv4地址範圍也相同，再比較四層端口（即TCP/UDP端口）號的覆蓋範圍，較小者優先 6.     如果四層端口號的覆蓋範圍無法比較，再比較配置的先後次序，先配置者優先
IPv6基本ACL	1.     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 2.     如果VPN實例的包含情況相同，再比較源IPv6地址範圍，較小者優先 3.     如果源IPv6地址範圍也相同，再比較配置的先後次序，先配置者優先
IPv6高級ACL	1.     先判斷規則的匹配條件中是否包含VPN實例，包含者優先 2.     如果VPN實例的包含情況相同，再比較協議範圍，指定有IPv6承載的協議類型者優先 3.     如果協議範圍相同，再比較源IPv6地址範圍，較小者優先 4.     如果源IPv6地址範圍也相同，再比較目的IPv6地址範圍，較小者優先 5.     如果目的IPv6地址範圍也相同，再比較四層端口（即TCP/UDP端口）號的覆蓋範圍，較小者優先 6.     如果四層端口號的覆蓋範圍無法比較，再比較配置的先後次序，先配置者優先
二層ACL	1.     先比較源MAC地址範圍，較小者優先 2.     如果源MAC地址範圍相同，再比較目的MAC地址範圍，較小者優先 3.     如果目的MAC地址範圍也相同，再比較配置的先後次序，先配置者優先

‌

 

1.1.4  ACL的步長

ACL中的每條規則都有自己的編號，這個編號在該ACL中是唯一的。在創建規則時，可以手工為其指定一個編號；如未手工指定編號，則由係統為其自動分配一個編號。由於規則的編號可能影響規則匹配的順序，因此當由係統自動分配編號時，為了方便後續在已有規則之前插入新的規則，係統通常會在相鄰編號之間留下一定的空間，這個空間的大小（即相鄰編號之間的差值）就稱為ACL的步長。譬如，當步長為5時，係統會將編號0、5、10、15……依次分配給新創建的規則。

係統為規則自動分配編號的方式如下：係統從規則編號的起始值開始，自動分配一個大於現有最大編號的步長最小倍數的編號。譬如原有編號為0、5、9、10和12的五條規則，步長為5，此時如果創建一條規則且不指定編號，那麼係統將自動為其分配編號15。

如果步長或規則編號的起始值發生了改變，ACL內原有全部規則的編號都將自動從規則編號的起始值開始按步長重新排列。譬如，某ACL內原有編號為0、5、9、10和15的五條規則，當修改步長為2之後，這些規則的編號將依次變為0、2、4、6和8。

需要注意的是，ACL規則的匹配順序為自動排序時，修改步長後新的編號是按照規則的匹配順序（即“深度優先”原則）重新排序的，並非按照規則的原有編號順序排序。譬如，步長為5時，規則的匹配順序為0、10、5……修改步長為2後，各規則對應的新編號為0、2、4……

1.1.5  ACL對分片報文的處理

傳統報文過濾隻對分片報文的首個分片進行匹配過濾，對後續分片一律放行，因此網絡攻擊者通常會構造後續分片進行流量攻擊。為提高網絡安全性，ACL規則缺省會匹配所有非分片報文和分片報文的全部分片，但這樣又帶來效率低下的問題。為了兼顧網絡安全和匹配效率，可將過濾規則配置為僅對後續分片有效。

1.2  ACL配置限製和指導

通過編號創建的ACL，可以通過如下命令進入其視圖：

·     acl [ ipv6 ] number acl-number；

·     acl { [ ipv6 ] { advanced | basic } | mac } acl-number命令進入其視圖。

通過acl [ ipv6 ] number acl-number name acl-name命令指定編號和名稱創建的ACL，可以使用如下命令進入其視圖：

·     acl [ ipv6 ] name acl-name，本命令僅支持進入已創建的基本或高級ACL視圖；

·     acl [ ipv6 ] number acl-number [ name acl-name ]；

·     acl { [ ipv6 ] { advanced | basic } | mac } name acl-name。

通過acl { [ ipv6 ] { advanced | basic } | mac } name acl-name命令指定名稱創建的ACL，可以使用如下命令進入其視圖：

·     acl [ ipv6 ] name acl-name，本命令僅支持進入已創建的基本或高級ACL視圖；

·     acl { [ ipv6 ] { advanced | basic } | mac } name acl-name。

如果ACL規則的匹配項中包含了除IP五元組（源IP地址、源端口號、目的IP地址、目的端口號、傳輸層協議）、ICMP報文的消息類型和消息碼信息、VPN實例、日誌操作和時間段之外的其它匹配項，則設備轉發ACL匹配的這類報文時會啟用慢轉發流程。慢轉發時設備會將報文上送控製平麵，計算報文相應的表項信息。執行慢轉發流程時，設備的轉發能力將會有所降低。

在業務繁忙的時間段，建議不要修改ACL規則及其引用的地址對象組，以避免影響設備性能。

1.3  ACL配置任務簡介

ACL配置任務如下

·     配置不同類型的ACL

¡     配置基本ACL

¡     配置高級ACL

¡     配置二層ACL

·     （可選）複製ACL

·     （可選）配置ACL規則的加速匹配功能

·     （可選）應用ACL進行報文過濾

1.4  配置基本ACL

1.4.1  功能簡介

基本ACL根據報文的源IP地址來製定規則，對報文進行匹配。

基本ACL可以應用在設備管理、NAT業務、組播業務、QoS業務和路由策略等場景中，典型應用場景如下：

·     當設備作為FTP、TFTP服務器時，為提高其安全性，可以通過配置基本ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用基本ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“FTP和TFTP”。

·     在NAT業務場景中，可以通過配置基本ACL規則實現對特定報文進行地址轉換。關於地址轉換的詳細介紹，請參見“三層技術-IP業務配置指導”中的“NAT”。

·     在組播場景中，通過配置基本ACL，設備可以作為組播數據過濾器實現隻接收或轉發滿足過濾條件的組播報文。關於組播數據過濾器的詳細介紹，請參見“IP組播配置指導”中的“PIM”和“IPv6 PIM”。

·     當需要控製設備接收、發布的路由信息時，可以通過配置基本ACL作為路由策略的過濾器，來實現隻接收或發布滿足過濾條件的路由。關於路由策略的詳細介紹，請參見“三層技術-IP路由配置指導”中的“路由策略”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置基本ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

1.4.2  配置限製和指導

當ACL規則中配置了logging參數，且引用該ACL的模塊支持並開啟了日誌記錄功能時，logging功能生成的日誌信息不會輸出到控製台和監視終端。此時如需獲取該日誌，可通過執行display logbuffer命令進行查看。有關display logbuffer命令的詳細介紹，請參見“網絡管理和監控命令參考”中的“信息中心”。

1.4.3  配置IPv4基本ACL

(1)     進入係統視圖。

system-view

(2)     創建IPv4基本ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv4基本ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv4基本ACL。

acl basic { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | source { object-group address-group-name | source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

1.4.4  配置IPv6基本ACL

(1)     進入係統視圖。

system-view

(2)     創建IPv6基本ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv6基本ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv6基本ACL。

acl ipv6 basic { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | routing [ type routing-type ] | source { object-group address-group-name | source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

1.5  配置高級ACL

1.5.1  功能簡介

高級ACL可以應用在設備管理、NAT業務、組播業務、QoS業務和路由策略等場景中，典型應用場景如下：

·     當設備作為FTP、TFTP服務器時，為提高其安全性，可以通過配置高級ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用高級ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“FTP和TFTP”。

·     在NAT業務場景中，可以通過配置高級ACL規則實現對特定報文進行地址轉換。關於地址轉換的詳細介紹，請參見“三層技術-IP業務配置指導”中的“NAT”。

·     在組播場景中，通過配置高級ACL，設備可以作為組播數據過濾器實現隻接收或轉發滿足過濾條件的組播報文。關於組播數據過濾器的詳細介紹，請參見“IP組播配置指導”中的“PIM”和“IPv6 PIM”。

·     當需要控製設備接收、發布的路由信息時，可以通過配置高級ACL作為路由策略的過濾器，來實現隻接收或發布滿足過濾條件的路由。關於路由策略的詳細介紹，請參見“三層技術-IP路由配置指導”中的“路由策略”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置高級ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

高級ACL可根據報文的源地址、目的地址、報文優先級、QoS本地值、承載的協議類型及特性（如TCP/UDP的源端口和目的端口、TCP報文標識、ICMP或ICMPv6協議的消息類型和消息碼等），對報文進行匹配。用戶可利用高級ACL製定比基本ACL更準確、豐富、靈活的規則。

1.5.2  配置限製和指導

當ACL規則中配置了logging參數，且引用該ACL的模塊支持並開啟了日誌記錄功能時，logging功能生成的日誌信息不會輸出到控製台和監視終端。此時如需獲取該日誌，可通過執行display logbuffer命令進行查看。有關display logbuffer命令的詳細介紹，請參見“網絡管理和監控命令參考”中的“信息中心”。

高級ACL規則建議不要配置匹配DSCP字段，否則可能導致設備性能下降。

1.5.3  配置IPv4高級ACL

(1)     進入係統視圖。

system-view

(2)     創建IPv4高級ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv4高級ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv4高級ACL。

acl advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { object-group address-group-name | dest-address dest-wildcard | any } | destination-port { object-group port-group-name | operator port1 [ port2 ] } | { dscp dscp | { precedence precedence | tos tos } * } | fragment | icmp-type { icmp-type [ icmp-code ] | icmp-message } | logging | source { object-group address-group-name | source-address source-wildcard | any } | source-port { object-group port-group-name | operator port1 [ port2 ] } | time-range time-range-name | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

1.5.4  配置IPv6高級ACL

(1)     進入係統視圖。

system-view

(2)     創建IPv6高級ACL。請至少選擇其中一項進行配置。

¡     通過編號創建IPv6高級ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建IPv6高級ACL。

acl ipv6 advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { object-group address-group-name | dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port { object-group port-group-name | operator port1 [ port2 ] } | dscp dscp | flow-label flow-label-value | fragment | icmp6-type { icmp6-type icmp6-code | icmp6-message } | logging | routing [ type routing-type ] | hop-by-hop [ type hop-type ] | source { object-group address-group-name | source-address source-prefix | source-address/source-prefix | any } | source-port { object-group port-group-name | operator port1 [ port2 ] } | time-range time-range-name | ttl operator ttl-value1 [ ttl-value2 ] | vpn-instance vpn-instance-name ] *

logging參數是否生效取決於引用該ACL的模塊是否支持日誌記錄功能，例如報文過濾支持日誌記錄功能，如果其引用的ACL規則中配置了logging參數，該參數可以生效。

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

1.6  配置二層ACL

1. 功能簡介

二層ACL可以應用在設備管理和QoS業務等場景中，典型應用場景如下：

·     當設備作為Telnet服務器時，為提高其安全性，可以通過配置二層ACL實現隻允許滿足過濾條件的客戶端訪問服務器。關於使用二層ACL限製客戶端訪問設備的詳細內容，請參見“基礎配置指導”中的“登錄設備”。

·     當需要對不同類型的流量進行分類操作時，可以通過配置二層ACL實現對滿足過濾條件的流量進行流量監管、流量整形、流分類。關於流量監管、流量整形、流分類的詳細介紹，請參見“ACL和QoS配置指導”中的“QoS”。

二層ACL可根據報文的源MAC地址、目的MAC地址、802.1p優先級、鏈路層協議類型、報文的封裝類型等二層信息來製定規則，對報文進行匹配。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建二層ACL。請至少選擇其中一項進行配置。

¡     通過編號創建二層ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通過關鍵字創建二層ACL。

acl mac { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可選）配置ACL的描述信息。

description text

缺省情況下，未配置ACL的描述信息。

(4)     （可選）配置規則編號的步長。

step step-value

缺省情況下，規則編號的步長為5，起始值為0。

(5)     創建規則。

rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | { lsap lsap-type lsap-type-mask | type protocol-type protocol-type-mask } | source-mac source-address source-mask | time-range time-range-name ] *

(6)     （可選）為規則配置描述信息。

rule rule-id comment text

缺省情況下，未配置規則的描述信息。

1.7  複製ACL

1. 功能簡介

用戶可通過複製一個已存在的ACL（即源ACL），來生成一個新的同類型ACL（即目的ACL）。除了ACL的編號和名稱不同外，目的ACL與源ACL完全相同。

2. 配置限製和指導

目的ACL要與源ACL的類型相同，且目的ACL必須不存在，否則將導致複製ACL失敗。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     複製並生成一個新的ACL。

acl [ ipv6 | mac ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

1.8  配置ACL規則的加速匹配功能

1. 功能簡介

在對基於會話的業務報文（如NAT、ASPF等）進行規則匹配時，通常隻對首個報文進行匹配以加快報文的處理速度，但這有時並不足以解決報文匹配的效率問題。譬如，當有大量用戶同時與設備新建連接時，需要對每個新建連接都進行規則匹配，如果ACL內包含有大量規則，那麼這個匹配過程將很長，這會導致用戶建立連接時間超長，從而影響設備新建連接的性能。

ACL規則的加速匹配功能則可以解決上述問題，當對包含大量規則的ACL開啟了加速匹配功能之後，其規則匹配速度將大大提高，從而提升設備的轉發性能以及新建連接的性能。

當設備支持軟件加速，並開啟本功能後，添加、刪除和修改規則時，並不會立即加速，而是延遲一定時間後加速。如果在該時間內，規則又發生變化，則重新計時。當ACL中的規則小於等於100條時，此時間為2秒；當ACL中的規則大於100條時，此時間為20秒。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     創建ACL，並進入ACL視圖。

acl { [ ipv6 ] { advanced | basic } { acl-number | name acl-name } | mac { acl-number | name acl-name } } [ match-order { auto | config } ]

(3)     配置ACL規則的加速匹配功能。

accelerate

缺省情況下，ACL規則的加速匹配功能狀態為關閉狀態。

 

1.9  應用ACL進行報文過濾

1.9.1  功能簡介

ACL最基本的應用就是進行報文過濾。例如，將ACL規則應用到指定接口的入或出方向上，從而對該接口收到或發出的報文進行過濾。

1.9.2  在接口上應用ACL進行報文過濾

1. 配置限製和指導

一個接口在一個方向上最多可應用32個ACL進行報文過濾。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     在接口上應用ACL進行報文過濾。

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound }

缺省情況下，未配置接口的報文過濾。

1.9.3  在安全域間實例上應用ACL進行報文過濾

1. 配置限製和指導

一個安全域間實例上最多可應用32個ACL進行報文過濾。有關安全域間實例的詳細介紹和配置，請參見“安全配置指導”中的“安全域”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入安全域間實例視圖。

zone-pair security source source-zone-name destination destination-zone-name

(3)     在安全域間實例上應用ACL進行報文過濾。

packet-filter [ ipv6 ] { acl-number | name acl-name }

缺省情況下，安全域間實例不對報文進行過濾。

1.9.4  在無線服務模板上應用ACL進行報文過濾

1. 功能簡介

在AC上配置無線服務模板並應用本功能，在AP上則需要創建本功能中應用的ACL規則，通過該無線服務模板的AP上線後，才能對符合ACL規則的報文進行過濾。

2. 配置限製和指導

無線服務模板在一個方向上最多隻能應用1個ACL進行報文過濾。

本命令隻能在無線服務模板處於關閉狀態時配置。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入無線服務模板視圖。

wlan service-template service-template-name

(3)     在無線服務模板下應用ACL進行報文過濾。

packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound }

缺省情況下，無線服務模板未應用AC來進行報文過濾。

1.9.5  配置報文過濾日誌信息或告警信息的生成與發送周期

1. 功能簡介

報文過濾日誌或告警信息的生成與發送周期起始於報文過濾中ACL匹配數據流的第一個數據包，報文過濾日誌或告警信息包括周期內被匹配的報文數量以及所使用的ACL規則。在一個周期內：

·     對於規則匹配數據流的第一個數據包，設備會立即生成報文過濾日誌或告警信息；

·     對於規則匹配數據流的其他數據包，設備將在周期結束後生成報文過濾日誌或告警信息。

設備生成的報文過濾日誌將發送給信息中心，有關信息中心的詳細介紹，請參見“網絡管理和監控配置指導”中的“信息中心”。

設備生成的告警信息將發送給SNMP，有關SNMP的詳細介紹，請參見“網絡管理和監控配置指導”中的“SNMP”。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置報文過濾日誌信息或告警信息的生成與發送周期。

acl { logging | trap } interval interval

缺省情況下，報文過濾日誌信息或告警信息的生成與發送周期為0分鍾，即不記錄報文過濾的日誌和告警信息。

1.9.6  配置報文過濾的缺省動作

1. 功能簡介

係統缺省的報文過濾動作為Permit，即允許未匹配上ACL規則的報文通過。通過本配置可更改報文過濾的缺省動作為Deny，即禁止未匹配上ACL規則的報文通過。配置報文過濾的缺省動作在安全域間實例上不會生效。安全域間實例報文過濾的缺省動作為deny。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     配置報文過濾的缺省動作為Deny。

packet-filter default deny

缺省情況下，報文過濾的缺省動作為Permit，即允許未匹配上ACL規則的報文通過。

1.9.7  配置接口報文過濾缺省動作統計功能

1. 功能簡介

在接口上隻有應用了ACL進行報文過濾，才允許使能報文過濾缺省動作統計功能。使能了報文過濾缺省動作統計功能之後，接口將對報文過濾缺省動作的執行次數進行統計。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     在接口上使能報文過濾缺省動作統計功能。

packet-filter default { inbound | outbound } hardware-count

缺省情況下，報文過濾的缺省動作統計功能處於關閉狀態。

1.10  ACL顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示ACL配置後的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下執行reset命令可以清除ACL的統計信息。

表1-3 ACL顯示和維護

配置	命令
顯示ACL的配置和運行情況	display acl [ ipv6 | mac ] { acl-number | all | name acl-name }
顯示ACL的加速狀態	（獨立運行模式） display acl accelerate { summary [ ipv6 | mac ] | verbose [ ipv6 | mac ] { acl-number | name acl-name } slot slot-number } （IRF模式） display acl accelerate { summary [ ipv6 | mac ] | verbose [ ipv6 | mac ] { acl-number | name acl-name } chassis chassis-number slot slot-number }
顯示ACL在報文過濾中的應用情況	（獨立運行模式） display packet-filter { interface [ interface-type interface-number ] [ inbound | outbound ] | zone-pair security [ source source-zone-name destination destination-zone-name ] } [ slot slot-number  ] （IRF模式） display packet-filter { interface [ interface-type interface-number ] [ inbound | outbound ]| zone-pair security [ source source-zone-name destination destination-zone-name ] } [ chassis chassis-number slot slot-number ]
顯示ACL在報文過濾中應用的統計信息	display packet-filter statistics {  interface interface-type interface-number { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ] | zone-pair security source source-zone-name destination destination-zone-name [ [ ipv6 ] { acl-number | name acl-name } ] } [ brief ]
顯示ACL在報文過濾中應用的累加統計信息	display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac ] { acl-number | name acl-name } [ brief ]
顯示ACL在報文過濾中的詳細應用情況	（獨立運行模式） display packet-filter verbose { interface interface-type interface-number { inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ] | zone-pair security source source-zone-name destination destination-zone-name [ [ ipv6 ] { acl-number | name acl-name } ] } [ slot slot-number ] （IRF模式） display packet-filter verbose { interface interface-type interface-number{ inbound | outbound } [ [ ipv6 | mac ] { acl-number | name acl-name } ] | zone-pair security source source-zone-name destination destination-zone-name [ [ ipv6 ] { acl-number | name acl-name } ] } [ chassis chassis-number slot slot-number ]
清除ACL的統計信息	reset acl [ ipv6 | mac ] counter { acl-number | all | name acl-name }
清除ACL在報文過濾中應用的統計信息	reset packet-filter statistics { interface [ interface-type interface-number ] { inbound | outbound } [ default | [ ipv6 | mac ] { acl-number | name acl-name } ] | zone-pair security [ source source-zone-name destination destination-zone-name ] [ ipv6 ] { acl-number | name acl-name } }

 

1.11  ACL典型配置舉例

1.11.1  在接口上應用包過濾的ACL配置舉例

1. 組網需求

·     某公司內的各部門之間通過Device實現互連，該公司的工作時間為每周工作日的8點到18點。

·     通過配置，允許總裁辦在任意時間、財務部在工作時間訪問財務數據庫服務器，禁止其它部門在任何時間、財務部在非工作時間訪問該服務器。

2. 組網圖

圖1-1 ACL典型配置組網圖

‌

3. 配置步驟

# 創建名為work的時間段，其時間範圍為每周工作日的8點到18點。

<Device> system-view

[Device] time-range work 08:00 to 18:00 working-day

# 創建IPv4高級ACL 3000，並製定如下規則：允許總裁辦在任意時間、財務部在工作時間訪問財務數據庫服務器，禁止其它部門在任何時間、財務部在非工作時間訪問該服務器。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] quit

# 應用IPv4高級ACL 3000對接口GigabitEthernet1/0/1出方向上的報文進行過濾。

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] packet-filter 3000 outbound

[Device-GigabitEthernet1/0/1] quit

4. 驗證配置

配置完成後，在各部門的PC（假設均為Windows XP操作係統）上可以使用ping命令檢驗配置效果，在Device上可以使用display acl命令查看ACL的配置和運行情況。例如在工作時間：

# 在財務部的PC上檢查到財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

 

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可見，財務部的PC能夠在工作時間訪問財務數據庫服務器。

# 在市場部的PC上檢查財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可見，市場部的PC不能在工作時間訪問財務數據庫服務器。

# 查看IPv4高級ACL 3000的配置和運行情況。

[Device] display acl 3000

Advanced IPv4 ACL 3000, 3 rules,

ACL's step is 5

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

 rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (4 times matched) (Active)

 rule 10 deny ip destination 192.168.0.100 0 (4 times matched)

由此可見，由於目前是工作時間，因此規則5是生效的；且由於之前使用了ping命令的緣故，規則5和規則10分別被匹配了4次。

1.11.2  在安全域間實例上應用包過濾的ACL配置舉例

1. 組網需求

·     某公司內的各部門之間通過Device實現互連，總裁辦、財務部和市場部分別屬於President域、Finance域和Market域。該公司的工作時間為每周工作日的8點到18點。

·     通過在安全域間實例上配置包過濾，允許總裁辦在任意時間、財務部在工作時間訪問財務數據庫服務器，禁止其它部門在任何時間、財務部在非工作時間訪問該服務器。

2. 組網圖

圖1-2 ACL典型配置組網圖

‌

3. 配置步驟

# 將接口GigabitEthernet1/0/1加入Server域。

<Device> system-view

[Device] security-zone name Server

[Device-security-zone-Server] import interface gigabitethernet 1/0/1

[Device-security-zone-Server] quit

# 將接口GigabitEthernet1/0/2加入President域。

[Device] security-zone name President

[Device-security-zone-President] import interface gigabitethernet 1/0/2

[Device-security-zone-President] quit

# 將接口GigabitEthernet1/0/3加入Finance域。

[Device] security-zone name Finance

[Device-security-zone-Finance] import interface gigabitethernet 1/0/3

[Device-security-zone-Finance] quit

# 將接口GigabitEthernet1/0/4加入Market域。

[Device] security-zone name Market

[Device-security-zone-Market] import interface gigabitethernet 1/0/4

[Device-security-zone-Market] quit

# 創建名為work的時間段，其時間範圍為每周工作日的8點到18點。

[Device] time-range work 08:00 to 18:00 working-day

# 創建IPv4高級ACL 3000，允許總裁辦在任意時間訪問財務數據庫服務器。

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0

[Device-acl-ipv4-adv-3000] quit

# 創建IPv4高級ACL 3001，允許財務部在工作時間訪問財務數據庫服務器。

[Device] acl advanced 3001

[Device-acl-ipv4-adv-3001] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work

[Device-acl-ipv4-adv-3001] quit

# 創建IPv4高級ACL 3002，禁止其它部門在任何時間訪問財務數據庫服務器。

[Device] acl advanced 3002

[Device-acl-ipv4-adv-3002] rule deny ip source any destination 192.168.0.100 0

[Device-acl-ipv4-adv-3002] quit

# 創建域間實例（源域為President、目的域為Server），並在該域間實例上引用ACL 3000進行包過濾。

[Device] zone-pair security source president destination server

[Device-zone-pair-security-President-Server] packet-filter 3000

[Device-zone-pair-security-President-Server] quit

# 創建域間實例（源域為Finance、目的域為Server），並在該域間實例上引用ACL 3001進行包過濾。

[Device] zone-pair security source finance destination server

[Device-zone-pair-security-Finance-Server] packet-filter 3001

[Device-zone-pair-security-President-Server] quit

# 創建域間實例（源域為Market、目的域為Server），並在該域間實例上引用ACL 3002進行包過濾。

[Device] zone-pair security source market destination server

[Device-zone-pair-security-Market-Server] packet-filter 3002

[Device-zone-pair-security-Market-Server] quit

4. 驗證配置

配置完成後，在各部門的PC（假設均為Windows XP操作係統）上可以使用ping命令檢驗配置效果，在Device上可以使用display acl命令查看ACL的配置和運行情況。例如在工作時間：

# 在財務部的PC上檢查到財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Reply from 192.168.0.100: bytes=32 time=1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Reply from 192.168.0.100: bytes=32 time<1ms TTL=255

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 1ms, Average = 0ms

由此可見，財務部的PC能夠在工作時間訪問財務數據庫服務器。

# 在市場部的PC上檢查財務數據庫服務器是否可達。

C:\> ping 192.168.0.100

 

Pinging 192.168.0.100 with 32 bytes of data:

 

Request timed out.

Request timed out.

Request timed out.

Request timed out.

 

Ping statistics for 192.168.0.100:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可見，市場部的PC不能在工作時間訪問財務數據庫服務器。

# 查看IPv4高級ACL 3001和ACL 3002的配置和運行情況。

[Device] display acl 3001

Advanced IPv4 ACL 3001, 2 rules,

ACL's step is 5

 rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (4 times matched) (Active)

[Device] display acl 3002

Advanced IPv4 ACL 3002, 1 rule,

ACL's step is 5

 rule 0 deny ip destination 192.168.0.100 0 (4 times matched)

由此可見，由於目前是工作時間，因此ACL 3001的規則0是生效的；且由於之前使用了ping命令的緣故，ACL3001和ACL 3002的規則0分別被匹配了4次。