H3C配置ACL
1. ACL简介
随着网络规模的扩大和流量的增加，对网络安全的控制和对带宽的分配成为网络管理的重要内容。 通过对数据包进行过滤，可以有效防止非法用户对网络的访问，同时也可以控制流量，节约网络 资源。ACL（Access Control List，访问控制列表）即是通过配置对报文的匹配规则和处理操作 来实现包过滤的功能。
当交换机的端口接收到报文后，即根据当前端口上应用的 ACL 规则对报文的字段进行分析，在识 别出特定的报文之后，根据预先设定的策略允许或禁止相应的数据包通过。
由 ACL 定义的数据包匹配规则，也可以被其它需要对流量进行区分的功能引用，如 QoS 中流分 类规则的定义。
ACL 通过一系列的匹配条件对数据包进行分类，这些条件可以是数据包的源地址、目的地址、端 口号等。根据应用目的，可将 ACL 分为以下几种：
- 基本ACL：只根据数据包的源IP地址指定规则
- 高级ACL：根据数据包的源IP、目的IP、IP承载的协议类型、协议特性等三、四层信息制定规则。
- 二层ACL：根据数据包的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定规则。
- 用户自定义ACL：以数据包的头部为基准，制定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串和用户定义的字符串进行比较，找到匹配的报文。
2. ACL配置
2.1 配置时间段
| 配置步骤 | 命令 | 说明 |
|---|---|---|
| 进入系统视图 | system-view | - |
| 创建一个时间段 | time-range time-name { start-time to end-time days-of-the-week [ from start-time start-date ] [ to end-time end-date ] from start-time start-date | [ to end-time end-date ] | 必选 |
举例
# 配置周期时间段，时间范围为周一到周五每天 8:00 到 18:00。
<Sysname> system-view
[Sysname] time-range test 8:00 to 18:00 working-day
[Sysname] display time-range test
Current time is 13:27:32 Apr/16/2005 Saturday
2.2 定义基本 ACL
基本 ACL 只根据源 IP 地址制定规则，对数据包进行相应的分析处理。
基本 ACL 的序号取值范围为 2000～2999。
| 配置步骤 | 命令 | 说明 |
|---|---|---|
| 进入系统视图 | system-view | - |
| 创建一个时间段 | acl number acl-number [ match-order { auto | config } ] |
必选 缺省情况下，匹配顺序为 config |
| 定义 ACL 规则 | rule [ rule-id ] { deny | permit } [ rule-string ] |
必选 rule-string 的具体内容请参见命令手 册 |
| 定义 ACL 的描述信息 | description text |
可选 缺省情况下，ACL 没有描述信息 |
举例
# 配置基本 ACL 2000，禁止源 IP 地址为 192.168.0.1 的报文通过。
<Sysname> system-view
[Sysname] acl number 2000
[Sysname-acl-basic-2000] rule deny source 192.168.0.1 0
# 显示基本 ACL 2000 的配置信息。
[Sysname-acl-basic-2000] display acl 2000
Basic ACL 2000, 1 rule
Acl's step is 1
rule 0 deny source 192.168.0.1 0
2.2 定义高级ACL
高级 ACL 可以使用数据包的源 IP 地址、目的 IP 地址、IP 承载的协议类型、针对协议的特性（例 如 TCP 或 UDP 的源端口、目的端口，ICMP 协议的消息类型、消息码等）内容定义规则。 高级 ACL 序号取值范围 3000～3999（3998 与 3999 是系统为集群管理预留的编号，用户无法配 置）。
高级 ACL 支持对三种报文优先级的分析处理：ToS（Type of Service，服务类型）优先级、IP 优先级和 DSC（Differentiated Services CodePoint，差分服务编码点）优先级。 用户可以利用高级 ACL 定义比基本 ACL 更准确、更丰富、更灵活的规则。
| 配置步骤 | 命令 | 说明 |
|---|---|---|
| 进入系统视图 | system-view | - |
| 创建并进入高级ACL视图 | acl number acl-number [ match-order { auto | config } ] |
必选 缺省情况下，匹配顺序为 config |
| 定义 ACL 规则 | rule [ rule-id ] { deny | permit } protocol [ rule-string ] |
必选 protocol 和rule-string 的具体内容请参见命令手 册 |
| 定义 ACL 规则的注释信息 | rule rule-id comment text |
可选 缺省情况下，ACL 规则没有注释信息 |
| 定义ACL的描述信息 | description text |
可选 缺省情况下，ACL 没有描述信息 |
举例
# 配置高级 ACL 3000，允许从 129.9.0.0/16 网段的主机向 202.38.160.0/24 网段的主机发送的端 口号为 80 的 TCP 报文通过。
<Sysname> system-view
[Sysname] acl number 3000
[Sysname-acl-adv-3000] rule permit tcp source 129.9.0.0 0.0.255.255 destination
202.38.160.0 0.0.0.255 destination-port eq 80
# 显示高级 ACL 3000 的配置信息。
[Sysname-acl-adv-3000] display acl 3000
Advanced ACL 3000, 1 rule
Acl's step is 1
rule 0 permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255
destination-port eq www
2.3 定义二层ACL
二层 ACL 根据源 MAC 地址、目的 MAC 地址、802.1p 优先级、二层协议类型等二层信息制定规 则，对数据进行相应处理。
二层 ACL 的序号取值范围为 4000～4999。
| 配置步骤 | 命令 | 说明 |
|---|---|---|
| 进入系统视图 | system-view | - |
| 创建并进入二层ACL视图 | acl number acl-number | 必选 |
| 定义 ACL 规则 | rule [ rule-id ] { deny | permit } [ rule-string ] |
必选 rule-string 的具体内容请参见命令手 册 |
| 定义 ACL 规则的注释信息 | rule rule-id comment text |
可选 缺省情况下，ACL 规则没有注释信息 |
| 定义ACL的描述信息 | description text |
可选 缺省情况下，ACL 没有描述信息 |
举例
配置二层 ACL 4000，禁止从 MAC 地址 000d-88f5-97ed 发送到 MAC 地址 0011-4301-991e 且 802.1p 优先级为 3 的报文通过。文章来源：https://www.toymoban.com/news/detail-444875.html
<Sysname> system-view
[Sysname] acl number 4000
[Sysname-acl-ethernetframe-4000] rule deny cos 3 source 000d-88f5-97ed ffff-ffff-ffff
dest 0011-4301-991e ffff-ffff-ffff
# 显示二层 ACL 4000 的配置信息。文章来源地址https://www.toymoban.com/news/detail-444875.html
[Sysname-acl-ethernetframe-4000] display acl 4000
Ethernet frame ACL 4000, 1 rule
Acl's step is 1
rule 0 deny cos excellent-effort source 000d-88f5-97ed ffff-ffff-ffff dest
0011-4301-991e ffff-ffff-ffff
到了这里，关于H3C配置ACL的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！
