目  录

1 ACL配置

1.1 ACL简介

1.1.1 ACL的编号和名称

1.1.2 ACL的分类

1.1.3 ACL的规则匹配顺序

1.1.4 ACL的规则描述和注释

1.1.5 ACL的步长

1.1.6 ACL对IPv4分片报文的处理

1.1.7 流模板

1.1.8 ACL的应用

1.2 ACL配置任务简介

1.3 配置ACL

1.3.1 配置ACL的生效时间段

1.3.2 配置基本ACL

1.3.3 配置高级ACL

1.3.4 配置二层ACL

1.3.5 配置用户自定义ACL

1.3.6 复制ACL

1.3.7 配置用户自定义流模板

1.3.8 配置ACL key的长度模式

1.4 ACL显示和维护

1.5 ACL典型配置举例

1.5.1 IPv4 高级ACL配置举例

1.5.2 IPv6高级ACL配置举例

1.5.3 流模板配置举例

1.5.4 ACL key长度模式的配置举例

1 ACL配置

1.1  ACL简介

ACL（Access Control List，访问控制列表）是一或多条规则的集合，用于识别报文流。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。网络设备依照这些规则识别出特定的报文，并根据预先设定的策略对其进行处理。

ACL作为一种规则，可以应用在诸多领域。其中最基本的应用就是利用ACL规则进行报文过滤，即使用不同类型的ACL规则对相应类型的报文进行匹配过滤。此外，通过与其它功能的配合，ACL还可应用于诸如策略路由、包过滤防火墙、QoS策略等领域，有关ACL在这些领域的具体应用，请参见相关的配置指导。

1.1.1  ACL的编号和名称

用户在创建ACL时必须为其指定编号，不同的编号对应不同类型的ACL，如表1-1所示；同时，为了便于记忆和识别，用户在创建ACL时还可选择是否为其设置名称。ACL一旦创建，便不允许用户再为其设置名称、修改或删除其原有名称。

当ACL创建完成后，用户就可以通过指定编号或名称的方式来指定该ACL，以便对其进行操作。

1.1.2  ACL的分类

根据规则制订依据的不同，可以将ACL分为如表1-1所示的几种类型。

表1-1 ACL的分类

1.1.3  ACL的规则匹配顺序

当一个ACL中包含多条规则时，报文会按照一定的顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。ACL的规则匹配顺序有以下两种：

·     配置顺序：按照规则编号由小到大进行匹配。

·     自动排序：按照“深度优先”原则由深到浅进行匹配，各类型ACL的“深度优先”排序法则如表1-2所示。

表1-2 各类型ACL的“深度优先”排序法则

1.1.4  ACL的规则描述和注释

在一个ACL中用户可以创建多条规则，为了方便标识这些规则的用途，用户可以为单条规则添加描述信息，也可以在各条规则之间插入注释信息来对前一段或后一段规则进行统一描述。

1. 规则描述信息

规则描述信息主要用于对单条规则进行单独标识。当需要对各条规则进行不同的标识或对某条规则进行特别标识时，适用此方式。

2. 规则注释信息

规则注释信息主要用于对一段规则进行统一标识。当需要对一段规则进行相同的标识时，如果采用对每条规则都添加相同描述信息的方式，需要进行大量配置，效率会非常低下。在这种情况下，可以在这段规则的前、后插入注释信息的方式来提高标识效率，即：在这段规则的首条规则之前以及末条规则之后分别插入一条注释信息，通过首、尾这两条注释信息就可以标识整段规则的用途。

1.1.5  ACL的步长

ACL中的每条规则都有自己的编号，这个编号在该ACL中是唯一的。在创建规则时，可以手工为其指定一个编号，如未手工指定编号，则由系统为其自动分配一个编号。由于规则的编号可能影响规则匹配的顺序，因此当由系统自动分配编号时，为了方便后续在已有规则之前插入新的规则，系统通常会在相邻编号之间留下一定的空间，这个空间的大小（即相邻编号之间的差值）就称为ACL的步长。譬如，当步长为5时，系统会将编号0、5、10、15……依次分配给新创建的规则。

系统为规则自动分配编号的方式如下：系统从0开始，按照步长自动分配一个大于现有最大编号的最小编号。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。

1.1.6  ACL对IPv4分片报文的处理

传统的报文过滤并不处理所有的IPv4报文分片，而只对首片分片报文进行匹配处理，而对后续分片一律放行。这样，网络攻击者可能构造后续的分片报文进行流量攻击，就带来了安全隐患。H3C的设备能够对IPv4分片报文进行如下处理：

·     对所有的分片报文进行三层（IP层）匹配过滤。

·     对于包含高级信息的IPv4 ACL规则项（譬如TCP/UDP端口号、ICMP类型等），提供标准匹配和精确匹配两种匹配方式，缺省的匹配方式为标准匹配方式。

1.1.7  流模板

流模板的主要功能是对硬件下发的ACL规则中所能包含的信息进行限制。在接口下发的ACL规则中包含的信息必须是该接口下发流模板中定义信息的子集。比如，流模板定义了源IP地址、目的IP地址、源TCP端口、目的TCP端口等限制，只有在上述范围内的ACL规则可以正确下发到硬件中，用于包过滤、QoS等功能；否则ACL规则将不能下发到硬件中，导致包过滤、QoS等功能不能引用此ACL规则。

设备支持的流模板包括缺省流模板和用户自定义流模板。

1.1.8  ACL的应用

ACL作为一种规则，可以应用在诸多领域。其中最基本的应用就是利用ACL规则进行报文过滤，即使用不同类型的ACL规则对相应类型的报文进行匹配过滤。此外，通过与其它功能的配合，ACL还可应用于诸如策略路由、包过滤防火墙、QoS策略等领域，有关ACL在这些领域的具体应用，请参见相关的配置指导。

如果ACL同时在入方向应用策略路由、包过滤防火墙、QoS策略，那么它的生效优先级如下图所示：

图1-1 应用在入方向的优先级示意图

如果ACL同时在出方向应用策略路由、包过滤防火墙、QoS策略，那么它的生效优先级如下图所示：

图1-2 应用在出方向的优先级示意图

关于包过滤防火墙的配置请参见“安全配置指导”中的“包过滤防火墙”；关于策略路由配置请参见“三层技术-IP路由配置指导”中的“策略路由”、“IPv6策略路由”；关于QoS策略参见“ACL和QoS配置指导”中的“QoS”。

1.2  ACL配置任务简介

表1-3 IPv4 ACL配置任务简介

1.3  配置ACL

1.3.1  配置ACL的生效时间段

时间段定义了一个时间范围。当一个ACL规则只需在某个特定的时间范围内生效时，可以先配置好这个时间段，然后在配置该ACL规则时引用该时间段，这样该ACL规则就只能在该时间段定义的时间范围内生效。时间段可分为以下两种类型：

·     周期时间段：表示以一周为周期（如每周一的8至12点）循环生效的时间段。

·     绝对时间段：表示在指定时间范围内（如2011年1月1日8点至2011年1月3日18点）生效的时间段。

·     每个时间段都以一个名称来标识，用户最多可创建256个不同名称的时间段。一个时间段内可包含一或多个周期时间段（最多32个）和绝对时间段（最多12个），当一个时间段内包含有多个周期时间段和绝对时间段时，系统将先分别取各周期时间段的并集和各绝对时间段的并集，再取这两个并集的交集作为该时间段最终生效的时间范围。

表1-4 配置ACL的生效时间段

1.3.2  配置基本ACL

1. 配置IPv4基本ACL

IPv4基本ACL根据报文的源IP地址来制订规则，对IPv4报文进行匹配。

表1-5 配置IPv4基本ACL

2. 配置IPv6基本ACL

IPv6基本ACL根据报文的源IPv6地址来制订规则，对IPv6报文进行匹配。

表1-6 配置IPv6基本ACL

1.3.3  配置高级ACL

1. 配置IPv4高级ACL

IPv4高级ACL可根据报文的源IP地址、目的IP地址、报文优先级、IP承载的协议类型及特性（如TCP/UDP的源端口和目的端口、TCP报文标识、ICMP协议的消息类型和消息码等）等信息来制定规则，对IPv4报文进行匹配。用户可利用IPv4高级ACL制订比IPv4基本ACL更准确、丰富、灵活的规则。

表1-7 配置IPv4高级ACL

2. 配置IPv6高级ACL

IPv6高级ACL可根据报文的源IPv6地址、目的IPv6地址、报文优先级、IPv6承载的协议类型及特性（如TCP/UDP的源端口和目的端口、TCP报文标识、ICMPv6协议的消息类型和消息码等）等信息来制定规则，对IPv6报文进行匹配。用户可利用IPv6高级ACL制订比IPv6基本ACL更准确、丰富、灵活的规则。

表1-8 配置IPv6高级ACL

1.3.4  配置二层ACL

二层ACL可根据报文的源MAC地址、目的MAC地址、802.1p优先级、链路层协议类型等二层信息来制定规则，对报文进行匹配。

表1-9 配置二层ACL

1.3.5  配置用户自定义ACL

用户自定义ACL可以以报文头为基准，指定从报文的第几个字节开始与掩码进行“与”操作，并将提取出的字符串与用户定义的字符串进行比较，从而找出相匹配的报文。

表1-10 配置用户自定义ACL

1.3.6  复制ACL

用户可通过复制一个已存在的ACL（即源ACL），来生成一个新的同类型ACL（即目的ACL）。除了ACL的编号和名称不同外，目的ACL与源ACL完全相同。

1. 复制IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL

表1-11 复制IPv4基本ACL、IPv4高级ACL、二层ACL或用户自定义ACL

2. 复制IPv6基本ACL或IPv6高级ACL

表1-12 复制IPv6基本ACL或IPv6高级ACL

1.3.7  配置用户自定义流模板

流模板与ACL配合使用，其主要功能是对硬件下发的ACL规则所包含的信息进行限制。在接口下发的规则所包含的信息必须是该接口下发的流模板中所定义信息的子集。比如，流模板定义了对源IP地址、目的IP地址、源TCP端口、目的TCP端口等的限制，只有限制范围内的规则才可以正确地下发给硬件；否则，规则将无法下发给硬件，从而导致包过滤、QoS等功能无法引用该规则。

缺省情况下，接口上应用有缺省的流模板。用户也可以创建自定义流模板，然后将其应用在接口上。

表1-13 配置用户自定义流模板

1.3.8   配置ACL key的长度模式

ACL key的长度模式定义了ACL流模板可配置的字段长度。目前产品支持如下四种ACL key的长度模式：

·     1：SPE单板的ACL Key为18Bytes，SPC单板和MPE单板的ACL Key为40Bytes。

·     2：SPE单板的ACL Key为36Bytes，SPC单板和MPE单板的ACL Key为40Bytes。

·     3：SPE单板的ACL Key为18Bytes，SPC单板和MPE单板的ACL Key为80Bytes。

·     4：SPE单板的ACL Key为36Bytes，SPC单板和MPE单板的ACL Key为80Bytes。

当在设备上需要配置大量的ACL规则时，ACL key的长度模式可能需要修改，通过下面的配置即可进行配置。

表1-14 配置ACL key的长度模式

1.4  ACL显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示ACL配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除ACL的统计信息。

表1-15 ACL显示和维护

1.5  ACL典型配置举例

1.5.1  IPv4 高级ACL配置举例

1. 组网需求

·     某公司内的各部门之间通过Device 实现互连，该公司的工作时间为每周工作日的8点到18点。

·     通过配置，允许总裁办在任意时间访问工资查询服务器；禁止其它部门在上班时间（8:00至18:00）访问工资查询服务器。

2. 组网图

图1-3 IPv4高级ACL配置组网图

3. 配置步骤

(1)     定义上班时间段

# 定义8:00至18:00的周期时间段。

<Device> system-view

[Device] time-range trname 8:00 to 18:00 working-day

(2)     定义到工资服务器的ACL

# 进入高级IPv4 高级ACL视图，编号为3000。

[Device] acl number 3000

# 定义总裁办公室到工资服务器的访问规则。

[Device-acl-adv-3000] rule 1 permit ip source 129.111.1.2 0.0.0.0 destination 129.110.1.2 0.0.0.0

[Device-acl-adv-3000] quit

# 进入高级IPv4 ACL视图，编号为3100。

[Device] acl number 3100

# 定义其它部门到工资服务器的访问规则。

[Device-acl-adv-3100] rule 2 permit ip source any destination 129.110.1.2 0.0.0.0 time-range trname

[Device-acl-adv-3100] quit

(3)     应用ACL到流分类中

# 配置流分类。

[Device] traffic classifier c1

[Device-classifier-c1] if-match acl 3000

[Device-classifier-c1] quit

[Device] traffic classifier c2

[Device-classifier-c2] if-match acl 3100

[Device-classifier-c2] quit

(4)     报文流动作

# 配置流动作

[Device] traffic behavior b1

[Device-behavior-b1] filter permit

[Device-behavior-b1] quit

[Device] traffic behavior b2

[Device-behavior-b2] filter deny

[Device-behavior-b2] quit

(5)     关联分类规则和动作

# 配置QoS策略

[Device] qos policy p1

[Device-qospolicy-p1] classifier c1 behavior b1

[Device-qospolicy-p1] classifier c2 behavior b2

[Device-qospolicy-p1] quit

(6)     把策略应用到接口上

# 将QoS 策略用于GE2/1/1出方向。

[Device] interface GigabitEthernet 2/1/1

[Device-GigabitEthernet2/1/1] qos apply policy p1 outbound

1.5.2  IPv6高级ACL配置举例

1. 组网需求

·     某公司内的各部门之间通过Device A实现互连，该公司的工作时间为每周工作日的8点到18点。

·     通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

2. 组网图

图1-4 IPv6高级ACL配置组网图

3. 配置步骤

# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。

<DeviceA> system-view

[DeviceA] time-range work 8:00 to 18:00 working-day

# 创建IPv6高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器；而禁止其它部门在任何时间、财务部在非工作时间访问该服务器。

[DeviceA] acl ipv6 number 3000

[DeviceA-acl6-adv-3000] rule permit source 1001:: 16 destination 1000::100 128

[DeviceA-acl6-adv-3000] rule permit source 1002:: 16 destination 1000::100 128 time-range work

[DeviceA-acl6-adv-3000] rule deny source any destination 1000::100 128

[DeviceA-acl6-adv-3000] quit

# 使能IPv6防火墙功能，并使用IPv6高级ACL 3000对接口GigabitEthernet3/1/1出方向上的报文进行过滤。

[DeviceA] interface gigabitethernet 3/1/1

[DeviceA-GigabitEthernet3/1/1] firewall packet-filter ipv6 3000 outbound

[DeviceA-GigabitEthernet3/1/1] quit

4. 检验配置效果

配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device A上可以使用display acl ipv6命令查看ACL的配置和运行情况。例如在工作时间：

# 在财务部的PC上检查到财务数据库服务器是否可达。

C:\> ping 1000::100

Pinging 1000::100 with 32 bytes of data:

Reply from 1000::100: time<1ms

Reply from 1000::100: time<1ms

Reply from 1000::100: time<1ms

Reply from 1000::100: time<1ms

Ping statistics for 1000::100:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 0ms, Maximum = 0ms, Average = 0ms

由此可见，财务部的PC能够在工作时间访问财务数据库服务器。

# 在市场部的PC上检查财务数据库服务器是否可达。

C:\> ping 1000::100

Pinging 1000::100 with 32 bytes of data:

Destination net unreachable.

Destination net unreachable.

Destination net unreachable.

Destination net unreachable.

Ping statistics for 1000::100:

    Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

由此可见，市场部的PC不能在工作时间访问财务数据库服务器。

# 查看IPv6高级ACL 3000的配置和运行情况。

[DeviceA] display acl ipv6 3000

 Advanced IPv6 ACL  3000, named -none-, 3 rules,

 ACL's step is 5

 rule 0 permit ipv6 source 1001::/16 destination 1000::100/128

 rule 5 permit ipv6 source 1002::/16 destination 1000::100/128 time-range work (4 times matched) (Active)

 rule 10 deny ipv6 destination 1000::100/128 (4 times matched)

由此可见，由于目前是工作时间，因此规则5是生效的；且由于之前使用了ping命令的缘故，规则5和规则10分别被匹配了4次。

1.5.3  流模板配置举例

1. 组网需求

配置用户自定义流模板，并在接口上应用。

2. 配置步骤

# 配置标准型用户自定义流模板aaa。

<Sysname> system-view

[Sysname] flow-template aaa basic smac customer-vlan-id

# 在接口GigabitEthernet2/1/1上应用用户自定义流模板aaa。

[Sysname] interface Gigabitethernet 2/1/1

[Sysname-GigabitEthernet2/1/1] flow-template aaa

# 显示用户自定义流模板aaa的信息。

[Sysname] display flow-template user-defined aaa

user-defined flow template: basic

 name:aaa, index:1, total reference counts:1

 fields: smac customer-vlan-id

# 显示所有用户自定义流模板的信息。

[Sysname] display flow-template user-defined

user-defined flow template: basic

 name:aaa, index:1, total reference counts:1

 fields: smac customer-vlan-id

user-defined flow template: basic

 name:1, index:2, total reference counts:0

 fields: service-cos

user-defined flow template: basic

 name:2, index:3, total reference counts:0

 fields: ip-protocol dscp

# 显示所有接口上用户自定义流模板的信息。

[Sysname] display flow-template interface

Interface: GigabitEthernet2/1/1

user-defined flow template: basic

 name:aaa, index:1, total reference counts:1

 fields: smac customer-vlan-id

# 删除用户自定义流模板。如果用户自定义流模板已在接口应用，须先在接口取消应用。

[Sysname] interface Gigabitethernet 2/1/1

[Sysname-GigabitEthernet2/1/1] undo flow-template

[Sysname-GigabitEthernet2/1/1] quit

[Sysname] undo flow-template name aaa

1.5.4  ACL key长度模式的配置举例

1. 组网需求

配置SPE单板的ACL key长度模式为18Bytes，SPC单板和MPE单板的ACL key长度模式为80Bytes。

2. 配置步骤

# 配置ACL key的长度模式为3。

<Sysname> system-view

[Sysname] acl mode 3

ACL has been set to mode 3, and will take effect after the next system reboot.

# 显示ACL key长度。

[Sysname] display acl mode

Current ACL mode              : mode 2 (SPE ACL key long, SPC ACL key short)

Acl mode after system restart : mode 3 (SPE ACL key short, SPC ACL key long)

Notice: Changing ACL mode will take effect only after system restart.

# 重启设备。

[Sysname] return

<Sysname> reboot