华为ACL配置教程Word格式.docx
《华为ACL配置教程Word格式.docx》由会员分享,可在线阅读,更多相关《华为ACL配置教程Word格式.docx(38页珍藏版)》请在冰豆网上搜索。
![华为ACL配置教程Word格式.docx](https://file1.bdocx.com/fileroot1/2023-1/21/3326a176-8ea9-4694-a5fa-9d188ce94ea1/3326a176-8ea9-4694-a5fa-9d188ce94ea11.gif)
WedWednesday#星期三
dailyEverydayoftheweek#每天
off-daySaturdayandSunday#星期六和星期日
working-dayMondaytoFriday#工作日每一天
[Huawei]time-rangetestfrom8:
002016/1/17to18:
002016/11/17
使用同一time-name可以配置多条不同的时间段,以达到这样的效果:
各周期时间段之间以及各绝对时间段之间分别取并集之后,再取二者的交集作为最终生效的时间范围。
例如,时间段“test”配置了三个生效时段:
从2016年1月1日00:
00起到2016年12月31日23:
59生效,这是一个绝对时间段。
在周一到周五每天8:
00到18:
00生效,这是一个周期时间段。
在周六、周日下午14:
则时间段“test”最终描述的时间范围为:
2016年的周一到周五每天8:
00以及周六和周日下午14:
00。
由于网络延迟等原因,可能造成网络上设备时间不同步,建议配置NTP(NetworkTimeProtocol),以保证网络上时间的一致。
2、ACL类型配置
、数字型acl配置
[Huawei]acl2000match-order
autoAutoorder#自动顺序(默认)
configConfigorder
或
[Huawei]aclnumber2000match-order
autoAutoorder
、命名型acl配置
[Huawei]aclnametest
advanceSpecifyanadvancednamedACL#设置高级acl
basicSpecifyabasicnamedACL
match-orderSetACL'
smatchorder
numberSpecifyanumberforthenamedACL
cr>
[Huawei]aclnametestad
[Huawei]aclnametestadvance
[Huawei]aclnametestnumber
INTEGER<
2000-2999>
NumberofthebasicnamedACL
42768-75535>
NumberoftheadvancednamedACL
、ACL类型配置
[Huawei]acl
1000-1999>
Interfaceaccess-list(addtocurrentusingrules)#接口访问列表acl
>
ApplyMPLSACL#应用MPLSACL
Basicaccess-list(addtocurrentusingrules)#基本acl
3000-3999>
Advancedaccess-list(addtocurrentusingrules)#高级acl
4000-4999>
MACaddressaccess-list(addtocurrentusingrules)#二层acl
ipv6ACLIPv6#基本acl6和高级acl6配置
nameSpecifyanamedACL
numberSpecifyanumberedACL
、ACL描述设置(可选)
[Huawei-acl-basic-2600]description
TEXT
、ACL步长设置(可选)
[Huawei-acl-basic-test]step
1-20>
Specifyvalueofstep
二、ACL类型规则配置
1、基本ACL规则配置
基本ACL编号acl-number的范围是2000~2999。
基本ACL可以根据报文自身的源IP地址、分片标记和时间段信息对IPv4报文进行分类。
[Huawei-acl-basic-test]rule1
denySpecifymatchedpacketdeny
permitSpecifymatchedpacketpermit
[Huawei-acl-basic-test]rule1deny
fragment-typeSpecifythefragmenttypeofpacket#分组片段类型
sourceSpecifysourceaddress
time-rangeSpecifyaspecialtime
vpn-instanceSpecifyaVPN-Instance
[Huawei-acl-basic-test]rule1denysource
Addressofsource
anyAnysource
0Wildcardbits:
(ahost)
Wildcardofsource
[Huawei-acl-basic-test]rule1denysource0
fragment-typeSpecifythefragmenttypeofpacket#对分组片段类型有效
time-rangeSpecifyaspecialtime#引用生效时间
vpn-instanceSpecifyaVPN-Instance#用于vpn
[Huawei-acl-basic-2600]description#配置规则描述
TEXTACLdescription(nomorethan127characters)
在ACL中配置首条规则时,如果未指定参数rule-id,设备使用步长值作为规则的起始编号。
后续配置规则如仍未指定参数rule-id,设备则使用最后一个规则的rule-id的下一个步长的整数倍数值作为规则编号。
例如ACL中包含规则rule5和rule7,ACL的步长为5,则系统分配给新配置的未指定rule-id的规则的编号为10。
当用户指定参数time-range引入ACL规则生效时间段时,如果time-name不存在,该规则将无法绑定该生效时间段。
如果不指定参数vpn-instancevpn-instance-name,设备会对公网和私网的报文均进行匹配。
设备在收到报文时,会按照匹配顺序将报文与ACL规则进行逐条匹配,一旦匹配上规则组内的某条规则,则停止匹配动作。
之后,设备将依据匹配的规则对报文执行相应的动作。
2、高级ACL规则配置
高级ACL编号acl-number的范围是3000~3999。
高级acl主要对源/目的IP地址、端口号、优先级、时间段等报文进行过滤。
[Huawei-acl-adv-3000]rule1permit
1-255>
Protocolnumber
greGREtunneling(47)
icmpInternetControlMessageProtocol
(1)
igmpInternetGroupManagementProtocol
(2)
ipAnyIPprotocol
ipinipIPinIPtunneling(4)
ospfOSPFroutingprotocol(89)
tcpTransmissionControlProtocol(6)
udpUserDatagramProtocol(17)
[Huawei-acl-adv-3000]rule1permitudp
destinationSpecifydestinationaddress
destination-portSpecifydestinationport
dscpSpecifydscp
fragment-typeSpecifythefragmenttypeofpacket
precedenceSpecifyprecedence
source-portSpecifysourceport
tosSpecifytos
[Huawei-acl-adv-3000]rule1permitudpsource
[Huawei-acl-adv-3000]rule1permitudpsourceany
[Huawei-acl-adv-3000]rule1permitudpsourceanydes
[Huawei-acl-adv-3000]rule1permitudpsourceanydestination
Specifydestinationaddress
anyAnydestinationIPaddress
Wildcardofdestination
[Huawei-acl-adv-3000]rule1permitudpsourceanydestination0
[Huawei-acl-adv-3000]rule1permitudpsourceanydestination0destination-port
eqEqualtogivenportnumber
gtGreaterthangivenportnumber
ltLessthangivenportnumber
neqNotequaltogivenportnumber#不等于指定端口
rangeBetweentwoportnumbers
[Huawei-acl-adv-3000]rule1permitudpsourceanydestination0destination-porteq
0-65535>
biffMailnotify(512)
bootpcBootstrapProtocolClient(68)
bootpsBootstrapProtocolServer(67)
discardDiscard(9)
dnsDomainNameService(53)
dnsixDNSIXSecurityAttributeTokenMap(90)
echoEcho(7)
mobilip-agMobileIP-Agent(434)
mobilip-mnMobilIP-MN(435)
nameserverHostNameServer(42)
netbios-dgmNETBIOSDatagramService(138)
netbios-nsNETBIOSNameService(137)
netbios-ssnNETBIOSSessionService(139)
ntpNetworkTimeProtocol(123)
ripRoutingInformationProtocol(520)
snmpSNMP(161)
snmptrapSNMPTRAP(162)
sunrpcSUNRemoteProcedureCall(111)
syslogSyslog(514)
tacacs-dsTACACS-DatabaseService(65)
talkTalk(517)
tftpTrivialFileTransfer(69)
timeTime(37)
whoWho(513)
xdmcpXDisplayManagerControlProtocol(177)
[Huawei-acl-adv-3000]rule1permitudpsourceanydestination0destination-porteq21
高级acl可以匹配的功能有:
、高级acl常用协议数值对照表
协议类型
数值
ICMP
1
IGMP
2
IPinIP
4
TCP
6
UDP
17
GRE
47
IP
OSPF
89
、高级acl常用功能说明
参数
说明
deny
拒绝符合条件的报文
permit
允许符合条件的报文
source{sour-addrsour-wildcard|any}
sour-addrsour-wildcard:
源ip地址源通配符掩码
any:
任意源IP地址
destination{dest-addrdest-wildcaard|any
dest-addrdest-wildcaard:
目的IP地址及通配符掩码
任意目的IP地址
icmp-type{icmp-name|icmp-typeicmp-code}
指定acl规则匹配报文的icmp报文的类型和消息码信息,仅在报文协议是ICMP的情况下有效
precedence
指定acl匹配报文时依据优先级字段进行过滤。
与tos参数一起共同构成DSCP组成的二选一参数。
tos
指定acl匹配报文时依据服务类型字段进行过滤。
与precedence参数一起共同构成DSCP组成的二选一参数。
dscp
指定acl匹配报文时区分服务代码点,依据IP包中的DSCP优先级字段进行过滤。
tcp-flag
指定acl规则匹配TCP报文中的SYN标志的类型
time-range
指定acl规则生效时间段
destination-port{eqprot|gtport|ltport|rageport-startportend}
指定acl规则匹配报文的UDP或TCP的目的端口,仅在报文协议是UDP或TCP时生效。
端口号可用名称或数字表示
eqport:
指定等于目的端口
gtport:
指定大于目的端口
ltport:
指定小于目的端口
rangeport-startport-end:
指定目的端口范围start为起始端口end为结束端口
soure-port{eqprot|gtport|ltport|rageport-startportend}
指定acl规则匹配报文的UDP或TCP的源端口,仅在报文协议是UDP或TCP时生效。
loging
指定acl匹配的报文信息进行日志记录
fragmen
指定acl规则是否仅对非首片分片报文有效,当包含此参数时仅对非首片分片报文有效。
但此参数不能同时与source-port、destination-port、icmp-type、tcp-flag参数同时配置。
ttl-expired
指定acl是否依据数据报文中的ttl值是否为1进行过滤。
启用此命令表示过滤。
5700SI及以下版本不支持。
举例:
拒绝网段与主机进行UDP9090通信
[Huawei-acl-adv-3002]ruledenyudpsourcedestination0.destination-porteq9090
3、二层ACL规则配置
二层ACL编号acl-number的范围是4000~4999。
二层acl对源/目的MAC、优先级、二层协议等二层信息进行过滤。
[Huawei-acl-L2-4000]rule1
descriptionSpecifyruledescription
[Huawei-acl-L2-4000]rule1denysource-mac1
format
8021pVlanpriority
H-H-HSourceMACaddressmask,defaultisffff-ffff-ffff
cvlan-8021pVlanpriorityofinnervlan
cvlan-idInnervlanid
destination-macDestination-mac
double-tagDoubletag
ether-iiEthernetIIformat
l2-protocolLayer2protocol
snapSnapformat
vlan-idVlanid
[Huawei-acl-L2-4000]rule1denysource-mac1destination-mac
H-H-HDestinationMACaddressvalue
[Huawei-acl-L2-4000]rule1denysource-mac1destination-mac2222-2222-2222
H-H-HDestinationMACaddressmask,defaultisffff-ffff-ffff
二层acl支持的常用功能
8021p
指定acl规则匹配报文的外层vlan的8021p优先级
cvlan-8021p
指定acl规则匹配报文的内层vlan的8021p优先级
cvlan-idcvlan-id[cvlan-id-mask]
指定acl规则匹配报文的内层vlanID
cvlan-id-mask:
指定内层ID值的掩码十六进制
des