01-ACL命令
本章节下载: 01-ACL命令 (266.39 KB)
1.1.8 display packet-filter statistics
1.1.9 display packet-filter statistics sum
1.1.10 display packet-filter verbose
1.1.11 display qos-acl resource
1.1.13 packet-filter default deny
1.1.14 packet-filter default hardware-count
1.1.16 reset packet-filter statistics
1.1.17 rule (Ethernet frame header ACL view)
1.1.18 rule (IPv4 advanced ACL view)
1.1.19 rule (IPv4 basic ACL view)
1.1.20 rule (IPv6 advanced ACL view)
本文中的“CSPC单板”指的是单板丝印以“CSPC”开头(如CSPC-GP48LB)的单板。
acl命令用来创建一个ACL,并进入相应的ACL视图。
undo acl命令用来删除指定或全部ACL。
acl [ ipv6 ] number acl-number [ name acl-name ] [ match-order { auto | config } ]
undo acl [ ipv6 ] { all | name acl-name | number acl-number }
number acl-number:指定ACL的编号。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:指定ACL的名称。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。
match-order { auto | config }:指定规则的匹配顺序,auto表示按照自动排序(即“深度优先”原则)的顺序进行规则匹配,config表示按照配置顺序即ACL的编号顺序进行规则匹配。缺省情况下,规则的匹配顺序为配置顺序。
all:指定全部ACL。若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL。
· 使用acl命令时,如果指定编号的ACL不存在,则创建该ACL并进入其视图,否则直接进入其视图。
· ACL的名称只能在创建时设置。ACL一旦创建,便不允许再修改或删除其原有名称。
· 当ACL内不存在任何规则时,用户可以使用本命令对该ACL的规则匹配顺序进行修改,否则不允许进行修改。
# 创建一个编号为2000的IPv4基本ACL,并进入其视图。
[Sysname] acl number 2000
# 创建一个编号为2001的IPv4基本ACL,指定其名称为flow,并进入其视图。
[Sysname] acl number 2001 name flow
[Sysname-acl-basic-2001-flow]
acl copy命令用来复制并生成一个新的ACL。
source-acl-number:指定源ACL的编号,该ACL必须存在。本参数的取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name source-acl-name:指定源ACL的名称,该ACL必须存在。source-acl-name为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
dest-acl-number:指定目的ACL的编号,该ACL必须不存在。若未指定本参数,系统将为目的ACL自动分配一个与源ACL类型相同且可用的最小编号。本参数的取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name dest-acl-name:指定目的ACL的名称,该ACL必须不存在。dest-acl-name为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。为避免混淆,ACL的名称不允许使用英文单词all。若未指定本参数,系统将不会为目的ACL设置名称。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
· 目的ACL的类型要与源ACL的类型相同。
· 目的ACL的名称只能在复制时设置。目的ACL一旦生成,便不允许再修改或删除其原有名称。
· 除了ACL的编号和名称不同外,新生成的ACL(即目的ACL)的匹配顺序、规则匹配统计功能的使能情况、规则编号的步长、所包含的规则、规则的描述信息以及ACL的描述信息等都与源ACL的相同。
# 通过复制已存在的IPv4基本ACL 2001,来生成一个新的编号为2002的同类型ACL。
[Sysname] acl copy 2001 to 2002
acl logging interval命令用来配置报文过滤日志的生成与发送周期,设备将周期性地生成并发送报文过滤的日志信息,包括该周期内被匹配的报文数量以及所使用的ACL规则。
undo acl logging interval命令用来恢复缺省情况。
acl [ ipv6 ] logging interval interval
undo acl [ ipv6 ] logging interval
报文过滤日志的生成与发送周期为0分钟,即不记录报文过滤的日志。
interval:若未指定ipv6关键字,表示IPv4报文过滤日志的生成与发送周期,否则表示IPv6报文过滤日志的生成与发送周期。取值范围为0~1440,且必须为5的整数倍,0表示不进行记录,单位为分钟。
系统只支持对应用IPv4基本ACL、IPv4高级ACL、IPv6基本ACL或IPv6高级ACL进行报文过滤的日志进行记录,且在上述ACL中配置规则时必须指定logging参数。
# 配置IPv4报文过滤日志的生成与发送周期为10分钟。
[Sysname] acl logging interval 10
· rule (IPv4 advanced ACL view)
· rule (IPv4 basic ACL view)
· rule (IPv6 advanced ACL view)
· rule (IPv6 basic ACL view)
acl name命令用来进入指定名称的ACL视图。
acl-name:指定ACL的名称,该ACL必须存在。acl-name为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
# 进入已存在的、名称为flow的IPv4基本ACL的视图。
[Sysname] acl name flow
[Sysname-acl-basic-2001-flow]
# 进入已存在的、名称为flow的IPv6基本ACL的视图。
[Sysname] acl ipv6 name flow
[Sysname-acl6-basic-2001-flow]
description命令用来配置ACL的描述信息。
undo description命令用来删除ACL的描述信息。
ACL没有任何描述信息。
IPv4基本ACL视图/IPv4高级ACL视图/IPv6基本ACL视图/IPv6高级ACL视图/二层ACL视图
text:表示ACL的描述信息,为1~127个字符的字符串,区分大小写。
[Sysname] acl number 2000
[Sysname-acl-basic-2000] description This is an IPv4 basic ACL.
display acl命令用来显示ACL的配置和运行情况。
display acl [ ipv6 ] { acl-number | all | name acl-name }
acl-number:显示指定编号的ACL的配置和运行情况。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
all:显示全部ACL的配置和运行情况。若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL。
name acl-name:显示指定名称的ACL的配置和运行情况。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
本命令将按照实际匹配顺序来排列ACL内的规则,即:当ACL的规则匹配顺序为配置顺序时,各规则将按照编号由小到大排列;当ACL的规则匹配顺序为自动排序时,各规则将按照“深度优先”原则由深到浅排列。
# 显示IPv4基本ACL 2001的配置和运行情况。
Basic ACL 2001, named flow, 1 rule, match-order is auto,
This is an IPv4 basic ACL.
ACL's step is 5
rule 5 permit source 1.1.1.1 0
rule 5 comment This rule is used on GigabitEthernet 3/0/1
表1-1 display acl命令显示信息描述表
该ACL的类型和编号,ACL的类型包括: · Basic ACL:表示IPv4基本ACL · Advanced ACL:表示IPv4高级ACL · Basic IPv6 ACL:表示IPv6基本ACL · Advanced IPv6 ACL:表示IPv6高级ACL · Ethernet frame ACL:表示二层ACL |
|
该ACL的名称为flow,-none-表示没有名称 |
|
该ACL内包含的规则数量 |
|
该ACL的规则匹配顺序为自动排序(匹配顺序为配置顺序时不显示本字段) |
|
该ACL的描述信息 |
|
该ACL的规则编号的步长值为5 |
|
规则5的具体内容,源地址为具体地址 |
|
规则5的描述信息 |
display packet-filter命令用来显示ACL在报文过滤中的应用情况。
global:显示ACL在报文过滤中的全局(即所有物理接口)应用情况。
interface [ interface-type interface-number ]:显示指定接口上ACL在报文过滤中的应用情况。interface-type interface-number表示接口类型和接口编号,这里的接口类型不包括VLAN接口。若未指定接口类型和接口编号,将显示除VLAN接口以外的所有接口上ACL在报文过滤中的应用情况。
interface vlan-interface vlan-interface-number:显示指定VLAN接口上ACL在报文过滤中的应用情况。vlan-interface-number表示VLAN接口的编号。
inbound:显示入方向上ACL在报文过滤中的应用情况。
outbound:显示出方向上ACL在报文过滤中的应用情况。
slot slot-number:显示指定单板上ACL在报文过滤中的应用情况,slot-number表示单板所在的槽位号。若未指定本参数,将显示主用主控板上ACL在报文过滤中的应用情况。
若未指定inbound和outbound参数,将同时显示出、入方向上ACL在报文过滤中的应用情况。
# 显示接口GigabitEthernet3/0/1入方向上ACL在报文过滤中的应用情况。
<Sysname> display packet-filter interface gigabitethernet 3/0/1 inbound
Interface: GigabitEthernet3/0/1
In-bound policy:
ACL 2003, Hardware-count
Default action: Deny
表1-2 display packet-filter命令显示信息描述表
字段 |
描述 |
Interface |
ACL在指定接口上的应用情况 |
In-bound policy |
ACL在入方向上的应用情况 |
Out-bound policy |
ACL在出方向上的应用情况 |
ACL 2003 |
IPv4基本ACL 2003应用成功 |
Hardware-count |
规则匹配统计功能应用成功 |
Default action |
报文过滤缺省动作,即对未匹配ACL的报文所采取的动作,Deny表示拒绝通过。如缺省过滤动作为允许通过,则不显示该字段。 |
display packet-filter statistics命令用来显示ACL在报文过滤中应用的统计信息以及报文过滤缺省动作的统计信息。
global:显示全局(即所有物理接口)统计信息。
interface interface-type interface-number:显示指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。
inbound:显示入方向上的统计信息。
outbound:显示出方向上的统计信息。
default:显示报文过滤缺省动作的统计信息。
acl-number:显示指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:显示指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
brief:显示简要统计信息。
若未指定default、acl-number和name acl-name参数,将显示全部ACL(若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL)在报文过滤中应用的统计信息以及报文过滤缺省动作的统计信息。
# 显示接口GigabitEthernet3/0/1入方向上全部ACL(包括IPv4基本ACL、IPv4高级ACL和二层ACL)在报文过滤中应用的统计信息。
<Sysname> display packet-filter statistics interface gigabitethernet 3/0/1 inbound
Interface: GigabitEthernet3/0/1
In-bound policy:
ACL 2001, Hardware-count
From 2012-11-16 09:07:29 to 2012-11-16 09:14:03
rule 0 permit
Totally 0 packets, 0% permitted
Totally 0 packets, 0% denied
Default action: Deny
表1-3 display packet-filter statistics命令显示信息描述表
字段 |
描述 |
Interface |
在指定接口上应用的统计信息 |
In-bound policy |
在入方向上应用的统计信息 |
Out-bound policy |
在出方向上应用的统计信息 |
ACL 2001 |
IPv4基本ACL 2001应用成功 |
Hardware-count |
规则匹配统计功能应用成功 |
From 2012-11-16 09:07:29 to 2012-11-16 09:14:03 |
该统计的起始和终止时间 |
Totally 0 packets, 0% permitted |
该ACL允许符合条件报文的个数和通过率 |
Totally 0 packets, 0% denied |
该ACL拒绝符合条件报文的个数和丢弃率 |
Default action |
报文过滤缺省动作,即对未匹配ACL的报文所采取的动作,Deny表示拒绝通过。如缺省过滤动作为允许通过,则不显示该字段 |
· reset packet-filter statistics
display packet-filter statistics sum命令用来显示ACL在报文过滤中应用的累加统计信息。
inbound:显示入方向上ACL在报文过滤中应用的累加统计信息。
outbound:显示出方向上ACL在报文过滤中应用的累加统计信息。
acl-number:显示指定编号ACL在报文过滤中应用的累加统计信息。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:显示指定名称ACL在报文过滤中应用的累加统计信息。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
brief:显示ACL在报文过滤中应用的简要累加统计信息。
# 显示入方向上IPv4基本ACL 2001在报文过滤中应用的累加统计信息。
<Sysname> display packet-filter statistics sum inbound 2001
Sum:
In-bound policy:
ACL 2001
rule 0 permit source 2.2.2.2 0 (2 packets)
rule 5 permit source 1.1.1.1 0
rule 10 permit vpn-instance test
Totally 2 packets permitted, 0 packets denied
Totally 100% permitted, 0% denied
表1-4 display packet-filter statistics sum命令显示信息描述表
ACL在报文过滤中应用的累加统计信息 |
|
ACL在入方向上应用的累加统计信息 |
|
ACL在出方向上应用的累加统计信息 |
|
IPv4基本ACL 2001应用的累加统计信息 |
|
该规则匹配了2个包(当匹配的包个数为0时不显示本字段) |
|
该ACL允许符合条件报文的个数和通过率 |
|
该ACL拒绝符合条件报文的个数和丢弃率 |
· reset packet-filter statistics
display packet-filter verbose命令用来显示ACL在报文过滤中的详细应用情况。
global:显示ACL在报文过滤中的全局(即所有物理接口)详细应用情况。
interface interface-type interface-number:显示指定接口上ACL在报文过滤中的详细应用情况。interface-type interface-number表示接口类型和接口编号。
inbound:显示入方向上ACL在报文过滤中的详细应用情况。
outbound:显示出方向上ACL在报文过滤中的详细应用情况。
acl-number:显示指定编号ACL在报文过滤中的详细应用情况。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:显示指定名称ACL在报文过滤中的详细应用情况。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
slot slot-number:显示指定单板上ACL在报文过滤中的详细应用情况,slot-number表示单板所在的槽位号。若未指定本参数,将显示主用主控板上ACL在报文过滤中的详细应用情况。
若未指定acl-number和name acl-name参数,将显示全部ACL(若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL)在报文过滤中的详细应用情况。
# 显示接口GigabitEthernet3/0/1入方向上全部ACL(包括IPv4基本ACL、IPv4高级ACL和二层ACL)在报文过滤中的详细应用情况。
<Sysname> display packet-filter verbose interface gigabitethernet 3/0/1 inbound
Interface: GigabitEthernet3/0/1
In-bound policy:
ACL 2001, Hardware-count
rule 0 permit source 2.2.2.2 0
rule 5 permit source 1.1.1.1 0
Default action: Deny
表1-5 display packet-filter verbose命令显示信息描述表
字段 |
描述 |
Interface |
ACL在指定接口上的详细应用情况 |
In-bound policy |
ACL在入方向上的详细应用情况 |
Out-bound policy |
ACL在出方向上的详细应用情况 |
ACL 2001 |
IPv4基本ACL 2001应用成功 |
Hardware-count |
规则匹配统计功能应用成功 |
Default action |
报文过滤缺省动作,即对未匹配ACL的报文所采取的动作,Deny表示拒绝通过。如缺省过滤动作为允许通过,则不显示该字段 |
display qos-acl resource命令用来显示QoS和ACL资源的使用情况。
display qos-acl resource [ slot slot-number ]
slot slot-number:显示指定单板上QoS和ACL资源的使用情况,slot-number表示单板所在的槽位号。若未指定本参数,将显示所有单板上QoS和ACL资源的使用情况。
# 显示QoS和ACL资源的使用情况。
<Sysname> display qos-acl resource
Interfaces: GE2/0/1 to GE2/0/24, XGE2/0/25 to XGE2/0/26
---------------------------------------------------------------------
Type Total Reserved Configured Remaining Usage
---------------------------------------------------------------------
IPv4Acl 65536 0 0 65536 0%
IPv6Acl 16384 0 0 16384 0%
Car&Cnt 32768 0 0 32768 0%
InBRASCar 65536 0 5138 60398 7%
OutBRASCar 65536 0 5142 60394 7%
TCPCar 16384 0 5151 11233 31%
CarProf 220 0 4 216 1%
Sampler 32768 0 0 32768 0%
表1-6 display qos-acl resource命令显示信息描述表
packet-filter命令用来在接口上应用ACL进行报文过滤。
undo packet-filter命令用来取消在接口上应用ACL进行报文过滤。
packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]
undo packet-filter [ ipv6 ] { acl-number | name acl-name } { inbound | outbound }
acl-number:指定ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:指定ACL的名称。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
inbound:对收到的报文进行过滤。
outbound:对发出的报文进行过滤。
hardware-count:表示使能规则匹配统计功能,缺省为关闭。本参数用于使能指定ACL内所有规则的匹配统计功能,而rule命令中的counting参数则用于使能当前规则的匹配统计功能。
# 应用IPv4基本ACL 2001对接口GigabitEthernet3/0/1收到的报文进行过滤,并对过滤的报文进行统计。
[Sysname] interface gigabitethernet 3/0/1
[Sysname-GigabitEthernet3/0/1] packet-filter 2001 inbound hardware-count
· display packet-filter statistics
· display packet-filter verbose
packet-filter default deny命令用来配置报文过滤的缺省动作为Deny,即禁止未匹配上ACL规则的报文通过。
undo packet-filter default deny命令用来恢复缺省情况。
undo packet-filter default deny
报文过滤的缺省动作为Permit,即允许未匹配上ACL规则的报文通过。
配置报文过滤的缺省动作会在所有的应用对象下添加一个缺省动作应用,该应用也会像其它应用的ACL一样显示。
# 配置报文过滤的缺省动作为Deny。
[Sysname] packet-filter default deny
· display packet-filter statistics
· display packet-filter verbose
packet-filter default hardware-count命令用来在接口上使能报文过滤缺省动作统计功能。
undo packet-filter default hardware-count命令用来在接口上关闭报文过滤缺省动作统计功能。
packet-filter default { inbound | outbound } hardware-count
undo packet-filter default { inbound | outbound } hardware-count
inbound:表示收到的报文。
outbound:表示发出的报文。
在接口上只有应用了ACL进行报文过滤,才允许使能报文过滤缺省动作统计功能。
# 配置报文过滤的缺省动作为Deny,在接口GigabitEthernet3/0/1上对收到的报文应用IPv4基本ACL 2001进行过滤,并使能报文过滤缺省动作统计功能。
[Sysname] packet-filter default deny
[Sysname] interface gigabitethernet 3/0/1
[Sysname-GigabitEthernet3/0/1] packet-filter 2001 inbound
[Sysname-GigabitEthernet3/0/1] packet-filter default inbound hardware-count
· display packet-filter statistics
reset acl counter命令用来清除ACL的统计信息。
reset acl [ ipv6 ] counter { acl-number | all | name acl-name }
acl-number:清除指定编号ACL的统计信息。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
all:清除全部ACL的统计信息。若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL。
name acl-name:清除指定名称ACL的统计信息。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
# 清除IPv4基本ACL 2001的统计信息。
<Sysname> reset acl counter 2001
reset packet-filter statistics命令用来清除ACL在报文过滤中应用的统计信息(包括累加统计信息)。
global:清除全局(即所有物理接口)统计信息。
interface [ interface-type interface-number ]:清除指定接口上的统计信息。interface-type interface-number表示接口类型和接口编号。若未指定接口类型和接口编号,将清除所有接口上的统计信息。
inbound:清除入方向上的统计信息。
outbound:清除出方向上的统计信息。
acl-number:清除指定编号ACL在报文过滤中应用的统计信息。acl-number表示ACL的编号,取值范围及其代表的ACL类型如下:
· 2000~2999:若未指定ipv6关键字,表示IPv4基本ACL;否则表示IPv6基本ACL。
· 3000~3999:若未指定ipv6关键字,表示IPv4高级ACL;否则表示IPv6高级ACL。
· 4000~4999:表示二层ACL(指定ipv6关键字后不会显示本项)。
name acl-name:清除指定名称ACL在报文过滤中应用的统计信息。acl-name表示ACL的名称,为1~63个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。对于基本ACL或高级ACL,若未指定ipv6关键字,表示IPv4基本ACL或IPv4高级ACL的名称,否则表示IPv6基本ACL或IPv6高级ACL的名称。
若未指定default、acl-number和name acl-name参数,将清除全部ACL(若未指定ipv6关键字,表示全部IPv4基本ACL、IPv4高级ACL和二层ACL;否则,表示全部IPv6基本ACL和IPv6高级ACL)和缺省动作在报文过滤中应用的统计信息。
# 清除接口Ten-GigabitEthernet1/0/1入方向上IPv4基本ACL 2001在报文过滤中应用的统计信息。
<Sysname> reset packet-filter statistics interface Ten-GigabitEthernet 3/0/1 inbound 2001
· display packet-filter statistics
· display packet-filter statistics sum
rule命令用来为二层ACL创建一条规则。
undo rule命令用来为二层ACL删除一条规则或删除规则中的部分内容。
undo rule rule-id [ counting | time-range ] *
二层ACL内不存在任何规则。
二层ACL视图
rule-id:指定二层ACL规则的编号,取值范围为0~65534。若未指定本参数,系统将按照步长从0开始,自动分配一个大于现有最大编号的最小编号。譬如现有规则的最大编号为28,步长为5,那么自动分配的新编号将是30。
deny:表示拒绝符合条件的报文。
permit:表示允许符合条件的报文。
cos vlan-pri:指定802.1p优先级。vlan-pri表示802.1p优先级,可输入的形式如下:
· 数字:取值范围为0~7;
· 名称:best-effort、background、spare、excellent-effort、controlled-load、video、voice和network-management,依次对应于数字0~7。
counting:表示使能规则匹配统计功能,缺省为关闭。本参数用于使能本规则的匹配统计功能,而packet-filter命令中的hardware-count参数则用于使能指定ACL内所有规则的匹配统计功能。
dest-mac dest-address dest-mask:指定目的MAC地址范围。dest-address表示目的MAC地址,格式为H-H-H。dest-mask表示目的MAC地址的掩码,格式为H-H-H。
lsap lsap-type lsap-type-mask:指定LLC封装中的DSAP字段和SSAP字段。lsap-type表示数据帧的封装格式,为16比特的十六进制数。lsap-type-mask表示LSAP的类型掩码,为16比特的十六进制数,用于指定屏蔽位。
type protocol-type protocol-type-mask:指定链路层协议类型。protocol-type表示16比特的十六进制数表征的数据帧类型,对应Ethernet_II类型和Ethernet_SNAP类型帧中的type域。protocol-type-mask表示类型掩码,为16比特的十六进制数,用于指定屏蔽位。
source-mac source-address source-mask:指定源MAC地址范围。source-address表示源MAC地址,格式为H-H-H。source-mask表示源MAC地址的掩码,格式为H-H-H。
time-range time-range-name:指定本规则生效的时间段。time-range-name表示时间段的名称,为1~32个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。若该时间段尚未配置,该规则仍会成功创建但系统将给出提示信息,并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程,请参见“ACL和QoS配置指导”中的“时间段”。
· 使用rule命令时,如果指定编号的规则不存在,则创建一条新的规则;如果指定编号的规则已存在,则对旧规则进行修改,即在其原有内容的基础上叠加新的内容。
· 新创建或修改的规则不能与已有规则的内容完全相同,否则将提示出错,并导致该操作失败。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则,否则将提示出错。
· 使用undo rule命令时,如果没有指定任何可选参数,则删除整条规则;如果指定了可选参数,则只删除该参数所对应的内容。
· 使用undo rule命令时必须指定一个已存在规则的编号,可以使用display acl all命令来查看所有已存在的规则。
# 为二层ACL 4000创建规则如下:允许ARP报文通过,但拒绝RARP报文通过。
[Sysname] acl number 4000
[Sysname-acl-ethernetframe-4000] rule permit type 0806 ffff
[Sysname-acl-ethernetframe-4000] rule deny type 8035 ffff
· time-range(ACL和QoS命令参考/时间段)
rule命令用来为IPv4高级ACL创建一条规则。
undo rule命令用来为IPv4高级ACL删除一条规则或删除规则中的部分内容。
IPv4高级ACL内不存在任何规则。
IPv4高级ACL视图
rule-id:指定IPv4高级ACL规则的编号,取值范围为0~65534。若未指定本参数,系统将按照步长从0开始,自动分配一个大于现有最大编号的最小编号。譬如现有规则的最大编号为28,步长为5,那么自动分配的新编号将是30。
deny:表示拒绝符合条件的报文。
permit:表示允许符合条件的报文。
protocol:表示IPv4承载的协议类型,可输入的形式如下:
· 数字:取值范围为0~255;
· 名称(括号内为对应的数字):可选取gre(47)、icmp(1)、igmp(2)、ip、ipinip(4)、ospf(89)、tcp(6)或udp(17)。
指定ACL规则的源地址信息 |
source-address:源IP地址 source-wildcard:源IP地址的通配符掩码(为0表示主机地址) any:任意源IP地址 |
||
指定ACL规则的目的地址信息 |
dest-address:目的IP地址 dest-wildcard:目的IP地址的通配符掩码(为0表示主机地址) any:任意目的IP地址 |
||
本参数用于使能本规则的匹配统计功能,而packet-filter命令中的hardware-count参数则用于使能指定ACL内所有规则的匹配统计功能 |
|||
IP优先级 |
precedence用数字表示时,取值范围为0~7;用文字表示时,分别对应routine、priority、immediate、flash、flash-override、critical、internet、network |
||
ToS优先级 |
tos用数字表示时,取值范围为0~15;用文字表示时,可以选取max-reliability(2)、max-throughput(4)、min-delay(8)、min-monetary-cost(1)、normal(0) |
||
DSCP优先级 |
dscp用数字表示时,取值范围为0~63;用文字表示时,可以选取af11(10)、af12(12)、af13(14)、af21(18)、af22(20)、af23(22)、af31(26)、af32(28)、af33(30)、af41(34)、af42(36)、af43(38)、cs1(8)、cs2(16)、cs3(24)、cs4(32)、cs5(40)、cs6(48)、cs7(56)、default(0)、ef(46) |
||
若未指定该参数,则表示该规则对所有报文(包括非分片报文和分片报文的每个分片)均有效 CSPC单板和丝印为CMPE-1104的单板不支持该参数 |
|||
该功能需要使用该ACL的模块支持日志记录功能,例如报文过滤 |
|||
time-range-name:时间段的名称,为1~32个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。若该时间段尚未配置,该规则仍会成功创建但系统将给出提示信息,并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程,请参见“ACL和QoS配置指导”中的“时间段” |
|||
VPN实例 |
对指定VPN实例中的报文有效 |
vpn-instance-name:MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写 CSPC单板和丝印为CMPE-1104的单板不支持该参数 |
当protocol为tcp(6)或udp(17)时,用户还可配置如表1-8所示的规则信息参数。
表1-8 TCP/UDP特有的规则信息参数
source-port operator port1 [ port2 ] |
定义TCP/UDP报文的源端口信息 |
operator为操作符,取值可以为lt(小于)、gt(大于)、eq(等于)、neq(不等于)或者range(在范围内,包括边界值)。只有操作符range需要两个端口号做操作数,其它的只需要一个端口号做操作数 port1、port2:TCP或UDP的端口号,用数字表示时,取值范围为0~65535;用文字表示时,TCP端口号可以选取chargen(19)、bgp(179)、cmd(514)、daytime(13)、discard(9)、domain(53)、echo (7)、exec (512)、finger(79)、ftp(21)、ftp-data(20)、gopher(70)、hostname(101)、irc(194)、klogin(543)、kshell(544)、login(513)、lpd(515)、nntp(119)、pop2(109)、pop3(110)、smtp(25)、sunrpc(111)、tacacs(49)、talk(517)、telnet(23)、time(37)、uucp(540)、whois(43)、www(80);UDP端口号可以选取biff(512)、bootpc(68)、bootps(67)、discard(9)、dns(53)、dnsix(90)、echo (7)、mobilip-ag(434)、mobilip-mn(435)、nameserver(42)、netbios-dgm(138)、netbios-ns(137)、netbios-ssn(139)、ntp(123)、rip(520)、snmp(161)、snmptrap(162)、sunrpc(111)、syslog(514)、tacacs-ds(65)、talk(517)、tftp(69)、time(37)、who(513)、xdmcp(177) |
|
destination-port operator port1 [ port2 ] |
定义TCP/UDP报文的目的端口信息 |
||
{ ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * |
TCP报文标识 |
定义对携带不同标志位(包括ACK、FIN、PSH、RST、SYN和URG六种)的TCP报文的处理规则 |
TCP协议特有的参数。表示匹配携带不同标志位的TCP报文,各value的取值可为0或1(0表示不携带此标志位,1表示携带此标志位) 如果在一条规则中设置了多个TCP标志位的匹配值,则这些匹配条件之间的关系为“与”。譬如:当配置为ack 0 psh 1时,有些产品将匹配不携带ACK标志位且携带PSH标志位的TCP报文 |
TCP连接建立标识 |
定义对TCP连接报文的处理规则 |
TCP协议特有的参数,用于定义TCP报文中ACK或RST标志位为1的报文 |
当protocol为icmp(1)时,用户还可配置如表1-9所示的规则信息参数。
表1-9 ICMP特有的规则信息参数
ICMP报文的消息类型和消息码信息 |
指定本规则中ICMP报文的消息类型和消息码信息 |
icmp-type:ICMP消息类型,取值范围为0~255 icmp-code:ICMP消息码,取值范围为0~255 icmp-message:ICMP消息名称。可以输入的ICMP消息名称,及其与消息类型和消息码的对应关系如表1-10所示 |
表1-10 ICMP消息名称与消息类型和消息码的对应关系
ICMP消息名称 |
ICMP消息类型 |
ICMP消息码 |
· 使用rule命令时,如果指定编号的规则不存在,则创建一条新的规则;如果指定编号的规则已存在,则对旧规则进行修改,即在其原有内容的基础上叠加新的内容。
· 新创建或修改的规则不能与已有规则的内容完全相同,否则将提示出错,并导致该操作失败。
· 新创建或修改的规则若指定对象组,则该对象组必须存在,否则将提示出错,并导致该操作失败。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则,否则将提示出错。
· 使用undo rule命令时,如果没有指定任何可选参数,则删除整条规则;如果指定了可选参数,则只删除该参数所对应的内容。
· 使用undo rule命令时必须指定一个已存在规则的编号,可以使用display acl all命令来查看所有已存在的规则。
· CSPC单板和丝印为CMPE-1104的单板不支持配置操作符operator取值为neq。
【举例】
# 为IPv4高级ACL 3000创建规则如下:允许129.9.0.0/16网段内的主机与202.38.160.0/24网段内主机的WWW端口(端口号为80)建立连接。
[Sysname] acl number 3000
[Sysname-acl-adv-3000] rule permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port eq 80
# 为IPv4高级ACL 3001创建规则如下:允许IP报文通过,但拒绝发往192.168.1.0/24网段的ICMP报文通过。
[Sysname] acl number 3001
[Sysname-acl-adv-3001] rule deny icmp destination 192.168.1.0 0.0.0.255
[Sysname-acl-adv-3001] rule permit ip
# 为IPv4高级ACL 3002创建规则如下:在出、入双方向上都允许建立FTP连接并传输FTP数据。
[Sysname] acl number 3002
[Sysname-acl-adv-3002] rule permit tcp source-port eq ftp
[Sysname-acl-adv-3002] rule permit tcp source-port eq ftp-data
[Sysname-acl-adv-3002] rule permit tcp destination-port eq ftp
[Sysname-acl-adv-3002] rule permit tcp destination-port eq ftp-data
# 为IPv4高级ACL 3003创建规则如下:在出、入双方向上都允许SNMP报文和SNMP Trap报文通过。
[Sysname] acl number 3003
[Sysname-acl-adv-3003] rule permit udp source-port eq snmp
[Sysname-acl-adv-3003] rule permit udp source-port eq snmptrap
[Sysname-acl-adv-3003] rule permit udp destination-port eq snmp
[Sysname-acl-adv-3003] rule permit udp destination-port eq snmptrap
· acl logging interval
· time-range(ACL和QoS命令参考/时间段)
rule命令用来为IPv4基本ACL创建一条规则。
undo rule命令用来为IPv4基本ACL删除一条规则或删除规则中的部分内容。
undo rule rule-id [ counting | fragment | logging | source | time-range | vpn-instance ] *
IPv4基本ACL内不存在任何规则。
IPv4基本ACL视图
rule-id:指定IPv4基本ACL规则的编号,取值范围为0~65534。若未指定本参数,系统将按照步长从0开始,自动分配一个大于现有最大编号的最小编号。譬如现有规则的最大编号为28,步长为5,那么自动分配的新编号将是30。
deny:表示拒绝符合条件的报文。
permit:表示允许符合条件的报文。
counting:表示使能规则匹配统计功能,缺省为关闭。本参数用于使能本规则的匹配统计功能,而packet-filter命令中的hardware-count参数则用于使能指定ACL内所有规则的匹配统计功能。
fragment:表示仅对非首片分片报文有效,而对非分片报文和首片分片报文无效。若未指定本参数,表示该规则对非分片报文和分片报文均有效。CSPC单板和丝印为CMPE-1104的单板不支持该参数。
logging:表示对符合条件的报文可记录日志信息。该功能需要使用该ACL的模块支持日志记录功能,例如报文过滤。
source { source-address source-wildcard | any }:指定规则的源IP地址信息。source-address表示报文的源IP地址,source-wildcard表示源IP地址的通配符掩码(为0表示主机地址),any表示任意源IP地址。
time-range time-range-name:指定本规则生效的时间段。time-range-name表示时间段的名称,为1~32个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。若该时间段尚未配置,该规则仍会成功创建但系统将给出提示信息,并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程,请参见“ACL和QoS配置指导”中的“时间段”。
vpn-instance vpn-instance-name:表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。若未指定本参数,表示该规则仅对非VPN报文有效。SPC单板和丝印为MPE-1104的单板不支持该参数。
· 使用rule命令时,如果指定编号的规则不存在,则创建一条新的规则;如果指定编号的规则已存在,则对旧规则进行修改,即在其原有内容的基础上叠加新的内容。
· 新创建或修改的规则不能与已有规则的内容完全相同,否则将提示出错,并导致该操作失败。
· 新创建或修改的规则若指定对象组,则该对象组必须存在,否则将提示出错,并导致该操作失败。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则,否则将提示出错。
· 使用undo rule命令时,如果没有指定任何可选参数,则删除整条规则;如果指定了可选参数,则只删除该参数所对应的内容。
· 使用undo rule命令时必须指定一个已存在规则的编号,可以使用display acl all命令来查看所有已存在的规则。
# 为IPv4基本ACL 2000创建规则如下:仅允许来自10.0.0.0/8、172.17.0.0/16和192.168.1.0/24网段的报文通过,而拒绝来自所有其它网段的报文通过。
[Sysname] acl number 2000
[Sysname-acl-basic-2000] rule permit source 10.0.0.0 0.255.255.255
[Sysname-acl-basic-2000] rule permit source 172.17.0.0 0.0.255.255
[Sysname-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Sysname-acl-basic-2000] rule deny source any
· acl logging interval
· time-range(ACL和QoS命令参考/时间段)
rule命令用来为IPv6高级ACL创建一条规则。
undo rule命令用来为IPv6高级ACL删除一条规则或删除规则中的部分内容。
IPv6高级ACL内不存在任何规则。
IPv6高级ACL视图
rule-id:指定IPv6高级ACL规则的编号,取值范围为0~65534。若未指定本参数,系统将按照步长从0开始,自动分配一个大于现有最大编号的最小编号。譬如现有规则的最大编号为28,步长为5,那么自动分配的新编号将是30。
deny:表示拒绝符合条件的报文。
permit:表示允许符合条件的报文。
protocol:表示IPv6承载的协议类型,可输入的形式如下:
· 数字:取值范围为0~255;
· 名称(括号内为对应的数字):可选取gre(47)、icmpv6(58)、ipv6、ipv6-ah(51)、ipv6-esp(50)、ospf(89)、tcp(6)或udp(17)。
source { source-address source-prefix | source-address/source-prefix | any } |
源IPv6地址 |
指定ACL规则的源IPv6地址信息 |
source-address:源IPv6地址 source-prefix:源IPv6地址的前缀长度,取值范围1~128 any:任意源IPv6地址 |
destination { dest-address dest-prefix | dest-address/dest-prefix | any } |
目的IPv6地址 |
指定ACL规则的目的IPv6地址信息 |
dest-address:目的IPv6地址 dest-prefix:目的IPv6地址的前缀长度,取值范围1~128 any:任意目的IPv6地址 |
本参数用于使能本规则的匹配统计功能,而packet-filter ipv6命令中的hardware-count参数则用于使能指定ACL内所有规则的匹配统计功能 |
|||
DSCP优先级 |
dscp:用数字表示时,取值范围为0~63;用名称表示时,可选取af11(10)、af12(12)、af13(14)、af21(18)、af22(20)、af23(22)、af31(26)、af32(28)、af33(30)、af41(34)、af42(36)、af43(38)、cs1(8)、cs2(16)、cs3(24)、cs4(32)、cs5(40)、cs6(48)、cs7(56)、default(0)或ef(46) |
||
指定IPv6基本报文头中流标签字段的值 |
flow-label-value:流标签字段的值,取值范围为0~1048575 |
||
若未指定本参数,表示该规则对所有报文(包括非分片报文和分片报文的每个分片)均有效 CSPC单板和丝印为CMPE-1104的单板不支持该参数 |
|||
该功能需要使用该ACL的模块支持日志记录功能,例如报文过滤 |
|||
routing-type:路由头类型的值,取值范围为0~255 若指定了type routing-type参数,表示仅对指定类型的路由头有效;否则,表示对IPv6所有类型的路由头都有效 |
|||
hop-type:逐跳头类型的值,取值范围为0~255 若指定了type hop-type参数,表示仅对指定类型的逐跳头有效;否则,表示对IPv6所有类型的逐跳头都有效 |
|||
time-range-name:时间段的名称,为1~32个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。若该时间段尚未配置,该规则仍会成功创建但系统将给出提示信息,并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程,请参见“ACL和QoS配置指导”中的“时间段” |
|||
VPN实例 |
对指定VPN实例中的报文有效 |
vpn-instance-name:MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写 CSPC单板和丝印为CMPE-1104的单板不支持该参数 |
当protocol为tcp(6)或udp(17)时,用户还可配置如表1-12所示的规则信息参数。
表1-12 TCP/UDP特有的规则信息参数
source-port operator port1 [ port2 ] |
定义TCP/UDP报文的源端口信息 |
operator:操作符,取值可以为lt(小于)、gt(大于)、eq(等于)、neq(不等于)或者range(在范围内,包括边界值)。只有range操作符需要两个端口号做操作数,其它操作符只需要一个端口号做操作数 port1/port2:TCP或UDP的端口号,用数字表示时,取值范围为0~65535;用名称表示时,TCP端口号可选取chargen(19)、bgp(179)、cmd(514)、daytime(13)、discard(9)、domain(53)、echo (7)、exec (512)、finger(79)、ftp(21)、ftp-data(20)、gopher(70)、hostname(101)、irc(194)、klogin(543)、kshell(544)、login(513)、lpd(515)、nntp(119)、pop2(109)、pop3(110)、smtp(25)、sunrpc(111)、tacacs(49)、talk(517)、telnet(23)、time(37)、uucp(540)、whois(43)或www(80);UDP端口号可选取biff(512)、bootpc(68)、bootps(67)、discard(9)、dns(53)、dnsix(90)、echo (7)、mobilip-ag(434)、mobilip-mn(435)、nameserver(42)、netbios-dgm(138)、netbios-ns(137)、netbios-ssn(139)、ntp(123)、rip(520)、snmp(161)、snmptrap(162)、sunrpc(111)、syslog(514)、tacacs-ds(65)、talk(517)、tftp(69)、time(37)、who(513)或xdmcp(177) |
|
destination-port operator port1 [ port2 ] |
定义TCP/UDP报文的目的端口信息 |
||
{ ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * |
TCP报文标识 |
定义对携带不同标志位(包括ACK、FIN、PSH、RST、SYN和URG六种)的TCP报文的处理规则 |
TCP协议特有的参数。表示匹配携带不同标志位的TCP报文,各value的取值可为0或1(0表示不携带此标志位,1表示携带此标志位) 如果在一条规则中设置了多个TCP标志位的匹配值,则这些匹配条件之间的关系为“与”。譬如:当配置为ack 0 psh 1时,有些产品将匹配不携带ACK标志位且携带PSH标志位的TCP报文 |
TCP连接建立标识 |
定义对TCP连接报文的处理规则 |
TCP协议特有的参数,用于定义TCP报文中ACK或RST标志位为1的报文 |
当protocol为icmpv6(58)时,用户还可配置如表1-13所示的规则信息参数。
表1-13 ICMPv6特有的规则信息参数
ICMPv6报文的消息类型和消息码 |
指定本规则中ICMPv6报文的消息类型和消息码信息 |
icmp6-type:ICMPv6消息类型,取值范围为0~255 icmp6-code:ICMPv6消息码,取值范围为0~255 icmp6-message:ICMPv6消息名称。可以输入的ICMPv6消息名称,及其与消息类型和消息码的对应关系如表1-14所示 |
表1-14 ICMPv6消息名称与消息类型和消息码的对应关系
ICMPv6消息名称 |
ICMPv6消息类型 |
ICMPv6消息码 |
· 使用rule命令时,如果指定编号的规则不存在,则创建一条新的规则;如果指定编号的规则已存在,则对旧规则进行修改,即在其原有内容的基础上叠加新的内容。
· 新创建或修改的规则不能与已有规则的内容完全相同,否则将提示出错,并导致该操作失败。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则,否则将提示出错。
· 新创建或修改的规则若指定对象组,则该对象组必须存在,否则将提示出错,并导致该操作失败。
· 使用undo rule命令时,如果没有指定任何可选参数,则删除整条规则;如果指定了可选参数,则只删除该参数所对应的内容。
· 使用undo rule命令时必须指定一个已存在规则的编号,可以使用display acl ipv6 all命令来查看所有已存在的规则。
· 如果ACL匹配的是IPv6扩展报文头内层的报文内容,则对于扩展报文头超过两层,或包含Encapsulating Security Payload Header报文头的报文,ACL将无法进行匹配。
· CSPC单板和丝印为CMPE-1104的单板不支持配置操作符operator取值为neq。
· 需要注意的是,当IPv6高级ACL用于QoS策略的流分类或用于报文过滤功能时:如果QoS策略或报文过滤功能应用于出方向,不支持配置routing参数和flow-label参数。
【举例】
# 为IPv6高级ACL 3000创建规则如下:允许2030:5060::/64网段内的主机与FE80:5060::/96网段内主机的WWW端口(端口号为80)建立连接。
[Sysname] acl ipv6 number 3000
[Sysname-acl6-adv-3000] rule permit tcp source 2030:5060::/64 destination fe80:5060::/96 destination-port eq 80
# 为IPv6高级ACL 3001创建规则如下:允许IPv6报文通过,但拒绝发往FE80:5060:1001::/48网段的ICMPv6报文通过。
[Sysname] acl ipv6 number 3001
[Sysname-acl6-adv-3001] rule deny icmpv6 destination fe80:5060:1001:: 48
[Sysname-acl6-adv-3001] rule permit ipv6
# 为IPv6高级ACL 3002创建规则如下:在出、入双方向上都允许建立FTP连接并传输FTP数据。
[Sysname] acl ipv6 number 3002
[Sysname-acl6-adv-3002] rule permit tcp source-port eq ftp
[Sysname-acl6-adv-3002] rule permit tcp source-port eq ftp-data
[Sysname-acl6-adv-3002] rule permit tcp destination-port eq ftp
[Sysname-acl6-adv-3002] rule permit tcp destination-port eq ftp-data
# 为IPv6高级ACL 3003创建规则如下:在出、入双方向上都允许SNMP报文和SNMP Trap报文通过。
[Sysname] acl ipv6 number 3003
[Sysname-acl6-adv-3003] rule permit udp source-port eq snmp
[Sysname-acl6-adv-3003] rule permit udp source-port eq snmptrap
[Sysname-acl6-adv-3003] rule permit udp destination-port eq snmp
[Sysname-acl6-adv-3003] rule permit udp destination-port eq snmptrap
# 为IPv6高级ACL 3004创建规则如下:在含有逐跳头的报文中,只允许转发含有MLD选项(Type=5)的报文,丢弃其他报文。
[Sysname] acl ipv6 number 3004
[Sysname-acl6-adv-3004] rule permit ipv6 hop-by-hop type 5
[Sysname-acl6-adv-3004] rule deny ipv6 hop-by-hop
· acl logging interval
· time-range(ACL和QoS命令参考/时间段)
rule命令用来为IPv6基本ACL创建一条规则。
undo rule命令用来为IPv6基本ACL删除一条规则或删除规则中的部分内容。
undo rule rule-id [ counting | fragment | logging | routing | source | time-range | vpn-instance ] *
IPv6基本ACL内不存在任何规则。
IPv6基本ACL视图
rule-id:指定IPv6基本ACL规则的编号,取值范围为0~65534。若未指定本参数,系统将按照步长从0开始,自动分配一个大于现有最大编号的最小编号。譬如现有规则的最大编号为28,步长为5,那么自动分配的新编号将是30。
deny:表示拒绝符合条件的报文。
permit:表示允许符合条件的报文。
counting:表示使能规则匹配统计功能,缺省为关闭。本参数用于使能本规则的匹配统计功能,而packet-filter ipv6命令中的hardware-count参数则用于使能指定ACL内所有规则的匹配统计功能。
fragment:表示仅对非首片分片报文有效,而对非分片报文和首片分片报文无效。若未指定本参数,表示该规则对非分片报文和分片报文均有效。CSPC单板和丝印为CMPE-1104的单板不支持该参数。
logging:表示对符合条件的报文可记录日志信息。该功能需要使用该ACL的模块支持日志记录功能,例如报文过滤。
routing [ type routing-type ]:表示对所有或指定类型的路由头有效,routing-type表示路由头类型的值,取值范围为0~255。若指定了type routing-type参数,表示仅对指定类型的路由头有效;否则,表示对所有类型的路由头都有效。
source { source-address source-prefix | source-address/source-prefix | any }:指定规则的源IPv6地址信息。source-address表示报文的源IPv6地址,source-prefix表示源IPv6地址的前缀长度,取值范围为1~128,any表示任意源IPv6地址。
time-range time-range-name:指定本规则生效的时间段。time-range-name表示时间段的名称,为1~32个字符的字符串,不区分大小写,必须以英文字母a~z或A~Z开头。若该时间段尚未配置,该规则仍会成功创建但系统将给出提示信息,并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程,请参见“ACL和QoS配置指导”中的“时间段”。
vpn-instance vpn-instance-name:表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称,为1~31个字符的字符串,区分大小写。若未指定本参数,表示该规则仅对非VPN报文有效。CSPC单板和丝印为CMPE-1104的单板不支持该参数。
· 使用rule命令时,如果指定编号的规则不存在,则创建一条新的规则;如果指定编号的规则已存在,则对旧规则进行修改,即在其原有内容的基础上叠加新的内容。
· 新创建或修改的规则不能与已有规则的内容完全相同,否则将提示出错,并导致该操作失败。
· 新创建或修改的规则若指定对象组,则该对象组必须存在,否则将提示出错,并导致该操作失败。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则,否则将提示出错。
· 使用undo rule命令时,如果没有指定任何可选参数,则删除整条规则;如果指定了可选参数,则只删除该参数所对应的内容。
· 使用undo rule命令时必须指定一个已存在规则的编号,可以使用display acl ipv6 all命令来查看所有已存在的规则。
· CSPC单板和丝印为CMPE-1104的单板不支持fragment参数和vpn-instance参数。
# 为IPv6基本ACL 2000创建规则如下:仅允许来自1001::/16、3124:1123::/32和FE80:5060:1001::/48网段的报文通过,而拒绝来自所有其它网段的报文通过。
[Sysname] acl ipv6 number 2000
[Sysname-acl6-basic-2000] rule permit source 1001:: 16
[Sysname-acl6-basic-2000] rule permit source 3124:1123:: 32
[Sysname-acl6-basic-2000] rule permit source fe80:5060:1001:: 48
[Sysname-acl6-basic-2000] rule deny source any
· acl logging interval
· time-range(ACL和QoS命令参考/时间段)
rule comment命令用来为指定规则配置描述信息。
undo rule comment命令用来删除指定规则的描述信息。
IPv4基本ACL视图/IPv4高级ACL视图/IPv6基本ACL视图/IPv6高级ACL视图/二层ACL视图
rule-id:指定规则的编号,该规则必须存在。取值范围为0~65534。
text:表示规则的描述信息,为1~127个字符的字符串,区分大小写。
使用rule comment命令时,如果指定的规则没有描述信息,则为其添加描述信息,否则修改其描述信息。
# 为IPv4基本ACL 2000配置规则0,并为该规则配置描述信息。
[Sysname] acl number 2000
[Sysname-acl-basic-2000] rule 0 deny source 1.1.1.1 0
[Sysname-acl-basic-2000] rule 0 comment This rule is used on GigabitEthernet 3/0/1.
step命令用来配置规则编号的步长。
undo step命令用来恢复缺省情况。
IPv4基本ACL视图/IPv4高级ACL视图/IPv6基本ACL视图/IPv6高级ACL视图/二层ACL视图
step-value:表示规则编号的步长值,取值范围为1~20。
# 将IPv4基本ACL 2000的规则编号的步长配置为2。
[Sysname] acl number 2000
[Sysname-acl-basic-2000] step 2
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!