10-ACL和QoS配置指导

01-ACL配置

1 ACL配置

本文中的“业务处理板”指的是单板丝印为“CR-SPE-3020-E-I”的单板，“普通型接口板”指的是单板丝印为“CR-SPC-XP8LEF-I/CR-SPC-XP4LEF-I/CR-SPC-GP48LEF/ CR-SPC-GT48LEF”的单板，“增强型接口板”指的是单板丝印为“CR-SPC-PUP4L-E-I /CR-SPC-XP4L-E-I”的单板。

1.1 ACL简介

ACL（Access Control List，访问控制列表）是一或多条规则的集合，用于识别报文流。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。网络设备依照这些规则识别出特定的报文，并根据预先设定的策略对其进行处理。

ACL本身只能识别报文，而无法对识别出的报文进行处理，对这些报文的具体处理方法由应用ACL的业务模块来决定。

1.1.1 ACL的编号和名称

用户在创建ACL时必须为其指定编号，系统将根据用户所指定的编号来创建不同类型的ACL。

通常名称比编号更易于记忆和识别，因此用户在创建ACL时，还可以选择是否为其指定名称，而且只能在创建ACL时为其指定名称。ACL一旦创建，便不允许对其名称进行修改或删除。

当ACL创建完成后，用户可以通过指定编号或名称的方式来指定该ACL，以便对其进行操作。

IPv4基本和高级ACL的编号和名称只在IPv4中唯一；IPv6基本和高级ACL的编号和名称也只在IPv6中唯一。

1.1.2 ACL的分类

根据功能以及规则制订依据的不同，可以将ACL分为四种类型，如表1-1所示。

表1-1 ACL的分类

ACL类型	编号范围	适用的IP版本	规则制订依据
基本ACL	2000～2999	IPv4	只根据报文的源IP地址信息制定匹配规则
基本ACL	2000～2999	IPv6	只根据报文的源IPv6地址信息制定匹配规则
高级ACL	3000～3999	IPv4	根据报文的源IP地址信息、目的IP地址信息、IP承载的协议类型、协议的特性等三、四层信息制定匹配规则
高级ACL	3000～3999	IPv6	根据报文的源IPv6地址信息、目的IPv6地址信息、IPv6承载的协议类型、协议的特性等三、四层信息制定匹配规则
二层ACL	4000～4999	IPv4&IPv6	根据报文的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定匹配规则
用户自定义ACL	5000～5999	IPv4&IPv6	可以以报文的报文头、IP头等为基准，指定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串与用户定义的字符串进行比较，从而找到相匹配的报文

对于业务处理板和增强型接口板来说，二层ACL被报文过滤或QoS流分类引用时，不支持匹配IPv6报文。

1.1.3 ACL的匹配顺序

当一个ACL中包含多条规则时，报文会按照一定的顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。ACL的规则匹配顺序有以下两种：

· 配置顺序：按照规则编号由小到大进行匹配。

· 自动排序：按照“深度优先”原则由深到浅进行匹配，不同类型ACL的“深度优先”排序法则如表1-2所示。

· 用户自定义ACL的规则只能按照配置顺序进行匹配。

· 当报文与各条规则进行匹配时，一旦匹配上某条规则，就不会再继续匹配下去，系统将依据该规则对该报文执行相应的操作。

表1-2 各类型ACL的“深度优先”排序法则

ACL类型	“深度优先”排序法则
IPv4基本ACL	(1) 先判断规则的匹配条件中是否包含VPN实例，包含者优先 (2) 如果VPN实例的包含情况相同，再比较源IPv4地址范围，范围较小者优先 (3) 如果源IP地址范围也相同，再比较配置的先后次序，先配置者优先
IPv4高级ACL	(1) 先判断规则的匹配条件中是否包含VPN实例，包含者优先 (2) 如果VPN实例的包含情况相同，再比较协议范围，指定有IPv4承载的协议类型者优先 (3) 如果协议范围也相同，再比较源IPv4地址范围，较小者优先 (4) 如果源IPv4地址范围也相同，再比较目的IPv4地址范围，较小者优先 (5) 如果目的IPv4地址范围也相同，再比较四层端口（即TCP/UDP端口）号范围，较小者优先 (6) 如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先
IPv6基本ACL	(1) 先判断规则的匹配条件中是否包含VPN实例，包含者优先 (2) 如果VPN实例的包含情况相同，再比较源IPv6地址范围，较小者优先 (3) 如果源IPv6地址范围也相同，再比较配置的先后次序，先配置者优先
IPv6高级ACL	(1) 先判断规则的匹配条件中是否包含VPN实例，包含者优先 (2) 如果VPN实例的包含情况相同，再比较协议范围，指定有IPv6承载的协议类型者优先 (3) 如果协议范围相同，再比较源IPv6地址范围，较小者优先 (4) 如果源IPv6地址范围也相同，再比较目的IPv6地址范围，较小者优先 (5) 如果目的IPv6地址范围也相同，再比较四层端口（即TCP/UDP端口）号的覆盖范围，较小者优先 (6) 如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先
二层ACL	(1) 先比较源MAC地址范围，较小者优先 (2) 如果源MAC地址范围相同，再比较目的MAC地址范围，较小者优先 (3) 如果目的MAC地址范围也相同，再比较配置的先后次序，先配置者优先

· 比较IPv4地址范围的大小，就是比较IPv4地址通配符掩码中“0”位的多少：“0”位越多，范围越小。通配符掩码（又称反向掩码）以点分十进制表示，并以二进制的“0”表示“匹配”，“1”表示“不关心”，这与子网掩码恰好相反，譬如子网掩码255.255.255.0对应的通配符掩码就是0.0.0.255。此外，通配符掩码中的“0”或“1”都可以是不连续的，这样可以更加灵活地进行匹配，譬如0.255.0.255就是一个合法的通配符掩码。

· 比较IPv6地址范围的大小，就是比较IPv6地址前缀的长短：前缀越长，范围越小。

· 比较MAC地址范围的大小，就是比较MAC地址掩码中“1”位的多少：“1”位越多，范围越小。

1.1.4 ACL的规则描述和注释

在一个ACL中用户可以创建多条规则，为了方便标识这些规则的用途，用户可以为单条规则添加描述信息，也可以在各条规则之间插入注释信息来对前一段或后一段规则进行统一描述。

1. 规则描述信息

规则描述信息主要用于对单条规则进行单独标识。当需要对各条规则进行不同的标识或对某条规则进行特别标识时，适用此方式。

2. 规则注释信息

规则注释信息主要用于对一段规则进行统一标识。当需要对一段规则进行相同的标识时，如果采用对每条规则都添加相同描述信息的方式，需要进行大量配置，效率会非常低下。在这种情况下，可以在这段规则的前、后插入注释信息的方式来提高标识效率，即：在这段规则的首条规则之前以及末条规则之后分别插入一条注释信息，通过首、尾这两条注释信息就可以标识整段规则的用途。

1.1.5 ACL的步长

ACL内的每条规则都有自己的编号，每个规则的编号在一个ACL中都是唯一的。在创建规则时，可以人为地为其指定一个编号，也可以由系统为其自动分配一个编号。

在自动分配编号时，为了方便后续在已有规则之前插入新的规则，系统通常会在相邻编号之间留下一定的空间，这个空间的大小（即相邻编号之间的差值）就称为ACL的步长。譬如，当步长为5时，系统会将编号0、5、10、15……依次分配给新创建的规则。

系统为规则自动分配编号的方式如下：系统按照步长从0开始，自动分配一个大于现有最大编号的最小编号。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。

如果改变步长，ACL内原有全部规则的编号都将自动从0开始按新步长重新排列。譬如，某ACL内原有编号为0、5、9、10和15的五条规则；当修改步长为2之后，这些规则的编号将依次变为0、2、4、6和8。

1.1.6 ACL的生效时间段

时间段用于描述一个特定的时间范围。用户可能有这样的需求：一些ACL规则只需在某个或某些特定的时间段内生效（即进行报文过滤），这也称为基于时间段的ACL过滤。为此，用户可以先配置一个或多个时间段，然后在ACL规则下引用这些时间段，那么该规则将只在指定的时间段内生效。

此外，如果某ACL规则所引用的时间段尚未配置，系统将给出提示信息，并仍允许该规则成功创建，但该规则将不会在其引用的时间段完成配置前生效。

1.1.7 IPv4 ACL生效规则

1. 在QoS流分类if-match中引用ACL

当在QoS流分类if-match中引用ACL时，rule中定义的deny参数表示匹配的报文不执行C-B对中的动作，rule中定义的permit表示匹配的报文执行C-B对中的动作。

2. 在报文过滤中引用ACL

在包过滤防火墙中引用ACL时，只有匹配rule deny的报文将被丢弃，没有匹配rule deny的报文都允许通过。

3. 在策略路由中引用ACL

当在策略路由中引用ACL时，配置的rule permit规则可以用来匹配报文。策略路由中引用的ACL不支持配置rule deny规则。

4. 在MTR中引用ACL

在MTR中引用ACL时，匹配rule permit的报文按照指定子拓扑转发，没有匹配rule permit的报文不在子拓扑转发。

5. 其他情况下引用ACL

除上述四种以外的其他情况下引用ACL时，匹配rule permit表示被允许，没有匹配rule permit表示被拒绝。

1.1.8 ACL统计功能

用户配置ACL规则时可能需要对匹配的报文进行统计。由于ACL统计资源的数量可能会小于ACL表项的数量，当用户大量配置ACL规则时，可能会导致部分规则因统计资源不足而无法获取到统计结果。因此需要实现对ACL统计资源的控制，即控制每个ACL组或者每条Rule是否占用统计资源。ACL统计功能可以实现对整个ACL组或单个Rule的统计，同时支持所有的ACL类型，即支持对IPv4 ACL、IPv6 ACL、二层 ACL及用户自定义 ACL的统计。

1.1.9 ACL的应用

ACL作为一种规则，可以应用在诸多领域。其中最基本的应用就是利用ACL规则进行报文过滤，即使用不同类型的ACL规则对相应类型的报文进行匹配过滤。此外，通过与其它功能的配合，ACL还可应用于诸如策略路由、包过滤防火墙、QoS策略等领域，有关ACL在这些领域的具体应用，请参见相关的配置指导。

如果ACL同时在入方向应用策略路由、包过滤防火墙、QoS策略，那么它的生效优先级如下图所示：

图1-1 应用在入方向的优先级示意图

如果ACL同时在出方向应用策略路由、包过滤防火墙、QoS策略，那么它的生效优先级如下图所示：

图1-2 应用在出方向的优先级示意图

关于包过滤防火墙的配置请参见“安全配置指导”中的“包过滤防火墙”；关于策略路由配置请参见“三层技术-IP路由配置指导”中的“策略路由”、“IPv6策略路由”；关于QoS策略参见“ACL和QoS配置指导”中的“QoS”。

1.2 ACL配置任务简介

表1-3 IPv4 ACL配置任务简介

配置任务	说明		详细配置
配置ACL的生效时间段	可选本配置任务适用于IPv4和IPv6		1.3.1
配置基本ACL	四者至少选其一	本配置任务适用于IPv4和IPv6	1.3.2
配置高级ACL		本配置任务适用于IPv4和IPv6	1.3.3
配置二层ACL		本配置任务适用于IPv4和IPv6	1.3.4
配置用户自定义ACL		本配置任务适用于IPv4和IPv6	1.3.5
复制ACL	可选本配置任务适用于IPv4和IPv6		1.3.6

1.3 配置ACL

1.3.1 配置ACL的生效时间段

时间段定义了一个时间范围。当一个ACL规则只需在某个特定的时间范围内生效时，可以先配置好这个时间段，然后在配置该ACL规则时引用该时间段，这样该ACL规则就只能在该时间段定义的时间范围内生效。时间段可分为以下两种类型：

· 周期时间段：表示以一周为周期（如每周一的8至12点）循环生效的时间段。

· 绝对时间段：表示在指定时间范围内（如2011年1月1日8点至2011年1月3日18点）生效的时间段。

每个时间段都以一个名称来标识，用户最多可创建256个不同名称的时间段。一个时间段内可包含一或多个周期时间段（最多32个）和绝对时间段（最多12个），当一个时间段内包含有多个周期时间段和绝对时间段时，系统将先分别取各周期时间段的并集和各绝对时间段的并集，再取这两个并集的交集作为该时间段最终生效的时间范围。

表1-4 配置ACL的生效时间段

操作	命令	说明
进入系统视图	system-view	-
创建时间段	time-range time-range-name { start-time to end-time days [ from time1 date1 ] [ to time2 date2 ] \| from time1 date1 [ to time2 date2 ] \| to time2 date2 }	必选缺省情况下，不存在任何时间段

操作

命令

说明

进入系统视图

system-view

创建时间段

time-range time-range-name { start-time to end-time days [ from time1 date1 ] [ to time2 date2 ] | from time1 date1 [ to time2 date2 ] | to time2 date2 }

必选

缺省情况下，不存在任何时间段

1.3.2 配置基本ACL

1. 配置IPv4基本ACL

IPv4基本ACL只根据报文的源IP地址信息制定匹配规则，对IPv4报文进行相应的分析处理。

表1-5 配置IPv4基本ACL

操作	命令	说明
进入系统视图	system-view	-
创建IPv4基本ACL，并进入IPv4基本ACL视图	acl number acl-number [ name acl-name ] [ match-order { auto \| config } ]	必选缺省情况下，不存在任何ACL IPv4基本ACL的编号范围为2000～2999 如果在创建IPv4基本ACL时为其指定了名称，则也可以使用acl name acl-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
配置规则编号的步长	step step-value	可选缺省情况下，规则编号的步长为5
创建规则	rule [ rule-id ] { deny \| permit } [ fragment \| logging \| counting \| source { source-address soucer-wildcard \| any } \| time-range time-range-name \| vpn-instance vpn-instance-name ] *	必选缺省情况下，IPv4基本ACL内不存在任何规则重复执行本命令可以创建多条规则
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

2. 配置IPv6基本ACL

IPv6基本ACL只根据报文的源IPv6地址信息制定匹配规则，对IPv6报文进行相应的分析处理。

表1-6 配置IPv6基本ACL

操作	命令	说明
进入系统视图	system-view	-
设置系统ACL规则的长度	acl ipv6 enable	必选此命令用来设置系统ACL规则长度为80字节缺省情况下，系统ACL规则长度为40字节该命令仅对普通型接口板有效，只有在执行本命令后，此类接口板才支持用户自定义ACL、IPv6 基本ACL或IPv6 高级ACL
创建IPv6基本ACL，并进入IPv6基本ACL视图	acl ipv6 number acl6-number [ name acl6-name ] [ match-order { auto \| config } ]	必选缺省情况下，不存在任何ACL IPv6基本ACL的编号范围为2000～2999 如果在创建IPv6基本ACL时为其指定了名称，则也可以使用acl ipv6 name acl6-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
配置规则编号的步长	step step-value	可选缺省情况下，规则编号的步长为5
创建规则	rule [ rule-id ] { deny \| permit } [ counting \| fragment \| logging \| source { source-address source-prefix \| source-address/source-prefix \| any } \| time-range time-range-name \| vpn-instance vpn-instance-name ] *	必选缺省情况下，IPv6基本ACL内不存在任何规则重复执行本命令可以创建多条规则设备目前不支持vpn-instance参数
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

1.3.3 配置高级ACL

1. 配置IPv4高级ACL

IPv4高级ACL可以使用报文的源IPv4地址信息、目的IPv4地址信息、IPv4承载的协议类型、协议的特性（例如TCP或UDP的源端口、目的端口，TCP标记，ICMP协议的消息类型、消息码等）等信息来制定匹配规则。IPv4高级ACL支持对以下三种报文优先级进行分析处理：

· ToS（Type of Service，服务类型）优先级；

· IP优先级；

· DSCP（Differentiated Services Codepoint，差分服务编码点）优先级。

用户可以利用IPv4高级ACL定义比IPv4基本ACL更准确、丰富、灵活的匹配规则。

表1-7 配置IPv4高级ACL

操作	命令	说明
进入系统视图	system-view	-
创建IPv4高级ACL，并进入IPv4高级ACL视图	acl number acl-number [ name acl-name ] [ match-order { auto \| config } ]	必选缺省情况下，不存在任何ACL IPv4高级ACL的编号范围为3000～3999 如果在创建IPv4高级ACL时为其指定了名称，则也可以使用acl name acl-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
配置规则编号的步长	step step-value	可选缺省情况下，规则编号的步长为5
创建规则	rule [ rule-id ] { deny \| permit } protocol [ { { ack ack-value \| fin fin-value \| psh psh-value \| rst rst-value \| syn syn-value \| urg urg-value } * \| established } \| counting \| destination { dest-address dest-wildcard \| any } \| destination-port operator port1 [ port2 ] \| dscp dscp \| fragment \| icmp-type { icmp-type [ icmp-code ] \| icmp-message } \| logging \| precedence precedence \| reflective \| source { source-address source-wildcard \| any } \| source-port operator port1 [ port2 ] \| time-range time-range-name \| tos tos \| vpn-instance vpn-instance-name ] *	必选缺省情况下，IPv4高级ACL内不存在任何规则重复执行本命令可以创建多条规则设备目前不支持reflective参数
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

如果在创建IPv4高级ACL时为其指定了名称，则也可以使用acl name acl-name命令通过指定名称的方式进入其视图。

2. 配置IPv6高级ACL

IPv6高级ACL可以使用报文的源IPv6地址信息、目的IPv6地址信息、IPv6承载的协议类型、协议的特性（例如TCP或UDP的源端口、目的端口，ICMP协议的消息类型、消息码等）等信息来制定匹配规则。

用户可以利用IPv6高级ACL定义比IPv6基本ACL更准确、丰富、灵活的规则。

表1-8 配置IPv6高级ACL

操作	命令	说明
进入系统视图	system-view	-
设置系统ACL规则的长度	acl ipv6 enable	必选此命令用来设置系统ACL规则长度为80字节缺省情况下，系统ACL规则长度为40字节该命令仅对普通型接口板有效，只有在执行本命令后，此类接口板才支持用户自定义ACL、IPv6 基本ACL或IPv6 高级ACL
创建IPv6高级ACL，并进入IPv6高级ACL视图	acl ipv6 number acl6-number [ name acl6-name ] [ match-order { auto \| config } ]	必选缺省情况下，不存在任何ACL IPv6高级ACL的编号范围3000～3999 如果在创建IPv6高级ACL时为其指定了名称，则也可以使用acl ipv6 name acl6-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
配置规则编号的步长	step step-value	可选缺省情况下，规则编号的步长为5
创建规则	rule [ rule-id ] { deny \| permit } protocol [ { { ack ack-value \| fin fin-value \| psh psh-value \| rst rst-value \| syn syn-value \| urg urg-value } * \| established } \| counting \| destination { dest-address dest-prefix \| dest-address/dest-prefix \| any } \| destination-port operator port1 [ port2 ] \| dscp dscp \| flow-label flow-label-value \| fragment \| icmp6-type { icmp6-type icmp6-code \| icmp6-message } \| logging \| source { source-address source-prefix \| source/source-prefix \| any } \| source-port operator port1 [ port2 ] \| time-range time-range-name \| vpn-instance vpn-instance-name ] *	必选缺省情况下，IPv6高级ACL内不存在任何规则重复执行本命令可以创建多条规则设备目前不支持vpn-instance参数 flow-label参数仅在普通型接口板所在端口入方向支持
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

如果在创建IPv6高级ACL时为其指定了名称，则也可以使用acl ipv6 name acl6-name命令通过指定名称的方式进入其视图。

1.3.4 配置二层ACL

二层ACL根据报文的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定匹配规则，对报文进行相应的分析处理。

表1-9 配置二层ACL

操作	命令	说明
进入系统视图	system-view	-
创建二层ACL，并进入二层ACL视图	acl number acl-number [ name acl-name ] [ match-order { auto \| config } ]	必选缺省情况下，不存在任何ACL 二层ACL的编号范围为4000～4999 如果在创建二层ACL时为其指定了名称，则也可以使用acl name acl-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
配置规则编号的步长	step step-value	可选缺省情况下，规则编号的步长为5
创建规则	rule [ rule-id ] { deny \| permit } [ cos vlan-pri \| counting \| dest-mac dest-address dest-mask \| { lsap lsap-type lsap-type-mask \| type protocol-type protocol-type-mask } \| source-mac source-addr ess source-mask \| time-range time-range-name ] *	必选缺省情况下，二层ACL内不存在任何规则重复执行本命令可以创建多条规则设备目前不支持lsap关键字
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

1.3.5 配置用户自定义ACL

用户自定义ACL可以以报文的报文头、IP头等为基准，指定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串和用户定义的字符串进行比较，找到匹配的报文，然后进行相应的处理。

表1-10 配置用户自定义ACL

操作	命令	说明
进入系统视图	system-view	-
设置系统ACL规则的长度	acl ipv6 enable	必选此命令用来设置系统ACL规则长度为80字节缺省情况下，系统ACL规则长度为40字节该命令仅对普通型接口板有效，只有在执行本命令后，此类接口板才支持用户自定义ACL、IPv6 基本ACL或IPv6 高级ACL
创建用户自定义ACL，并进入用户自定义ACL视图	acl number acl-number [ name acl-name ]	必选缺省情况下，不存在任何ACL 用户自定义ACL的编号范围为5000～5999 如果在创建用户自定义ACL时为其指定了名称，则也可以使用acl name acl-name命令通过指定名称的方式进入其视图
配置ACL的描述信息	description text	可选缺省情况下，ACL没有任何描述信息
创建规则	rule [ rule-id ] { deny \| permit } [ { { ipv4 \| ipv6 \| l2 \| l4 } rule-string rule-mask offset }&<1-8> ] [ time-range time-range-name ] [ counting ]	必选缺省情况下，用户自定义ACL内不存在任何规则
为指定规则配置描述信息	rule rule-id comment text	可选缺省情况下，规则没有任何描述信息
配置规则注释信息	rule [ rule-id ] remark text	可选缺省情况下，ACL内没有任何规则注释信息
使能ACL的规则匹配统计功能	hardware-count enable	可选缺省情况下，ACL的规则匹配统计功能处于关闭状态

· 用户自定义ACL仅在普通型接口板的入方向上支持。

· 用户自定义ACL的规则只能按照配置顺序进行匹配。

1.3.6 复制ACL

用户可通过复制一个已存在的ACL（即源ACL），来生成一个新的同类型ACL（即目的ACL）。除了ACL的编号和名称不同外，目的ACL与源ACL完全相同。

目的ACL要与源ACL的类型相同，且目的ACL必须不存在，否则将导致复制失败。

1. 复制IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL

表1-11 复制IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL

操作	命令	说明
进入系统视图	system-view	-
复制并生成一个新的同类型IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL	acl copy { source-acl-number \| name source-acl-name } to { dest-acl-number \| name dest-acl-name }	必选

目的IPv4 ACL的类型要与源IPv4 ACL的类型相同，且源IPv4 ACL必须存在，目的IPv4 ACL必须不存在。

2. 复制IPv6基本ACL或IPv6高级ACL

表1-12 复制IPv6基本ACL或IPv6高级ACL

操作	命令	说明
进入系统视图	system-view	-
复制并生成新的IPv6基本ACL或IPv6高级ACL	acl ipv6 copy { source-acl6-number \| name source-acl6-name } to { dest-acl6-number \| name dest-acl6-name }	必选

目的IPv6 ACL的类型要与源IPv6 ACL的类型相同，且源IPv6 ACL必须存在，目的IPv6 ACL必须不存在。

1.4 ACL显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示ACL配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除ACL的统计信息。

表1-13 ACL显示和维护

配置	命令
显示指定或全部ACL（包括IPv4基本ACL、IPv4高级ACL、二层ACL和用户自定义ACL）的配置和运行情况（独立运行模式）	display acl { acl-number \| all \| name acl-name } [ slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示指定或全部ACL（包括IPv4基本ACL、IPv4高级ACL、二层ACL和用户自定义ACL）的配置和运行情况（IRF模式）	display acl { acl-number \| all \| name acl-name } [ chassis chassis-number slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示指定或全部ACL（包括IPv6基本ACL和IPv6高级ACL）的配置和运行情况（独立运行模式）	display acl ipv6 { acl6-number \| all \| name acl6-name } [ slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示指定或全部ACL（包括IPv6基本ACL和IPv6高级ACL）的配置和运行情况（IRF模式）	display acl ipv6 { acl6-number \| all \| name acl6-name } [ chassis chassis-number slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示ACL资源的使用情况（独立运行模式）	display acl resource [ slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示ACL资源的使用情况（IRF模式）	display acl resource [ chassis chassis-number slot slot-number ] [ \| { begin \| exclude \| include } regular-expression ]
显示时间段的配置和状态信息	display time-range { time-range-name \| all } [ \| { begin \| exclude \| include } regular-expression ]
清除指定或全部ACL（包括IPv4基本ACL、IPv4高级ACL、二层ACL和用户自定义ACL）统计信息	reset acl counter { acl-number \| all \| name acl-name }
清除指定或全部ACL（包括IPv6基本ACL和IPv6高级ACL）统计信息	reset acl ipv6 counter { acl6-number \| all \| name acl6-name }

1.5 ACL典型配置举例

1.5.1 IPv4高级ACL典型配置举例

缺省情况下，以太网接口、VLAN接口及聚合接口处于DOWN状态。如果要对这些接口进行配置，请先使用undo shutdown命令使接口状态处于UP。

<Router> system-view

[Router] time-range trname 8:00 to 18:00 working-day

(2) 定义ACL

# 定义总裁办公室到工资服务器的访问规则。

[Router] acl number 3000

[Router-acl-adv-3000] rule 1 permit ip source 129.111.1.2 0.0.0.0 destination 129.110.1.2 0.0.0.0

[Router-acl-adv-3000] quit

# 定义其它部门到工资服务器的访问规则。

[Router] acl number 3001

[Router-acl-adv-3001] rule 1 permit ip source any destination 129.110.1.2 0.0.0.0 time-range trname

[Router-acl-adv-3001] quit

(3) 定义QoS策略并在端口上应用。

# 配置流分类和流行为。

[Router] traffic classifier test_permit

[Router-classifier-test_permit] if-match acl 3000

[Router-classifier-test_permit] quit

[Router] traffic behavior test_permit

[Router-behavior-test_permit] filter permit

[Router-behavior-test_permit] quit

[Router] traffic classifier test_deny

[Router-classifier-test_deny] if-match acl 3001

[Router-classifier-test_deny] quit

[Router] traffic behavior test_deny

[Router-behavior-test_deny] filter deny

[Router-behavior-test_deny] quit

# 配置QoS策略。

[Router] qos policy test

[Router-qospolicy-test] classifier test_permit behavior test_permit

[Router-qospolicy-test] classifier test_deny behavior test_deny

[Router-qospolicy-test] quit

# 在GigabitEthernet4/0/1～GigabitEthernet4/0/3端口的入方向上应用QoS策略。

[Router] interface gigabitethernet 4/0/1

[Router-GigabitEthernet4/0/1] qos apply policy test inbound

[Router-GigabitEthernet4/0/1] quit

[Router] interface gigabitethernet 4/0/2

[Router-GigabitEthernet4/0/2] qos apply policy test inbound

[Router-GigabitEthernet4/0/2] quit

[Router] interface gigabitethernet 4/0/3

[Router-GigabitEthernet4/0/3] qos apply policy test inbound

[Router-GigabitEthernet4/0/3] quit

1.5.2 IPv6 基本ACL典型配置举例

1. 组网需求

在以太网端口GigabitEthernet4/0/1上配置IPv6报文过滤，允许接收源IPv6地址为4050::9000到4050::90FF的报文，禁止接收其他报文。

2. 配置步骤

# 配置源地址为4050::9000到4050::90FF的ACL规则。

<Sysname> system-view

[Sysname] acl ipv6 number 2000

[Sysname-acl6-basic-2000] rule permit source 4050::9000/120

[Sysname-acl6-basic-2000] quit

# 配置其他源地址的ACL规则。

[Sysname] acl ipv6 number 2001

[Sysname-acl6-basic-2001] rule permit source any

[Sysname-acl6-basic-2001] quit

# 配置允许接收源地址为4050::9000到4050::90FF的类和流行为。

[Sysname] traffic classifier c_permit

[Sysname-classifier-c_permit] if-match acl ipv6 2000

[Sysname-classifier-c_permit] quit

[Sysname] traffic behavior b_permit

[Sysname-behavior-b_permit] filter permit

[Sysname-behavior-b_permit] quit

# 配置拒绝其它源地址的类和流行为。

[Sysname] traffic classifier c_deny

[Sysname-classifier-c_deny] if-match acl ipv6 2001

[Sysname-classifier-c_deny] quit

[Sysname] traffic behavior b_deny

[Sysname-behavior-b_deny] filter deny

[Sysname-behavior-b_deny] quit

# 配置QoS策略。

[Sysname] qos policy test

[Sysname-qospolicy-test] classifier c_permit behavior b_permit

[Sysname-qospolicy-test] classifier c_deny behavior b_deny

[Sysname-qospolicy-test] quit

# 在端口GigabitEthernet4/0/1入方向上应用策略。

[Sysname] interface gigabitethernet 4/0/1

[Sysname-GigabitEthernet4/0/1] qos apply policy test inbound

[Sysname-GigabitEthernet4/0/1] quit

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

行业解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

10-ACL和QoS配置指导

目录

01-ACL配置

1 ACL配置

1.1 ACL简介

1.1.1 ACL的编号和名称

1.1.2 ACL的分类

1.1.3 ACL的匹配顺序

1.1.4 ACL的规则描述和注释

1. 规则描述信息

2. 规则注释信息

1.1.5 ACL的步长

1.1.6 ACL的生效时间段

1.1.7 IPv4 ACL生效规则

1. 在QoS流分类if-match中引用ACL

2. 在报文过滤中引用ACL

3. 在策略路由中引用ACL

4. 在MTR中引用ACL

5. 其他情况下引用ACL

1.1.8 ACL统计功能

1.1.9 ACL的应用

1.2 ACL配置任务简介

1.3 配置ACL

1.3.1 配置ACL的生效时间段

1.3.2 配置基本ACL

1. 配置IPv4基本ACL

2. 配置IPv6基本ACL

1. 配置IPv4高级ACL

2. 配置IPv6高级ACL

1.3.5 配置用户自定义ACL

1.3.6 复制ACL

1. 复制IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL

2. 复制IPv6基本ACL或IPv6高级ACL