目  录

1 ACL

1.1 ACL简介

1.1.1 ACL的编号和名称

1.1.2 ACL的分类

1.1.3 ACL的规则匹配顺序

1.1.4 ACL的步长

1.1.5 ACL对分片报文的处理

1.2 ACL配置限制和指导

1.3 ACL配置任务简介

1.4 配置基本ACL

1.4.1 功能简介

1.4.2 配置IPv4基本ACL

1.4.3 配置IPv6基本ACL

1.5 配置高级ACL

1.5.1 功能简介

1.5.2 配置IPv4高级ACL

1.5.3 配置IPv6高级ACL

1.6 配置二层ACL

1.7 配置用户自定义ACL

1.8 复制ACL

1.9 配置QoS和ACL资源的硬件模式

1.10 ACL显示和维护

1.10.1 显示ACL配置及运行状况

1.10.2 清除ACL统计信息

1 ACL

1.1  ACL简介

ACL（Access Control List，访问控制列表）是一系列用于识别报文流的规则的集合。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。设备依据ACL规则识别出特定的报文，并根据预先设定的策略对其进行处理，最常见的应用就是使用ACL进行报文过滤。此外，ACL还可应用于诸如路由、安全、QoS等业务中识别报文，对这些报文的具体处理方式由应用ACL的业务模块来决定。

1.1.1  ACL的编号和名称

用户在创建ACL时必须为其指定编号或名称，不同的编号可能对应不同类型的ACL，如表1-1所示；当ACL创建完成后，用户就可以通过指定编号或名称的方式来应用和编辑该ACL。

对于编号相同的基本ACL或高级ACL，必须通过ipv6关键字进行区分。对于名称相同的ACL，必须通过ipv6、mac和user-defined关键字进行区分。

1.1.2  ACL的分类

根据规则制订依据的不同，可以将ACL分为如表1-1所示的几种类型。

表1-1 ACL的分类

‌

1.1.3  ACL的规则匹配顺序

当一个ACL中包含多条规则时，报文会按照一定的顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。ACL的规则匹配顺序有以下两种：

·     配置顺序：按照规则编号由小到大进行匹配。

·     自动排序：按照“深度优先”原则由深到浅进行匹配，各类型ACL的“深度优先”排序法则如表1-2所示。

‌

表1-2 各类型ACL的“深度优先”排序法则

‌

1.1.4  ACL的步长

ACL中的每条规则都有自己的编号，这个编号在该ACL中是唯一的。在创建规则时，可以手工为其指定一个编号；如未手工指定编号，则由系统为其自动分配一个编号。由于规则的编号可能影响规则匹配的顺序，因此当由系统自动分配编号时，为了方便后续在已有规则之前插入新的规则，系统通常会在相邻编号之间留下一定的空间，这个空间的大小（即相邻编号之间的差值）就称为ACL的步长。譬如，当步长为5时，系统会将编号5、10、15、20……依次分配给新创建的规则。

系统为规则自动分配编号的方式如下：系统从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数的编号。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。

如果步长或规则编号的起始值发生了改变，ACL内原有全部规则的编号都将自动从规则编号的起始值开始按步长重新排列。譬如，某ACL内原有编号为0、5、9、10和15的五条规则，当修改步长为2之后，这些规则的编号将依次变为5、7、9、11和13。

需要注意的是，ACL规则的匹配顺序为自动排序时，修改步长后新的编号是按照规则的匹配顺序（即“深度优先”原则）重新排序的，并非按照规则的原有编号顺序排序。譬如，步长为5时，规则的匹配顺序为5、15、10……修改步长为2后，各规则对应的新编号为5、7、9……

1.1.5  ACL对分片报文的处理

传统报文过滤只对分片报文的首个分片进行匹配过滤，对后续分片一律放行，因此网络攻击者通常会构造后续分片进行流量攻击。为提高网络安全性，ACL规则缺省会匹配所有非分片报文和分片报文的全部分片，但这样又带来效率低下的问题。为了兼顾网络安全和匹配效率，可将过滤规则配置为仅对后续分片有效。

1.2  ACL配置限制和指导

指定ACL编号创建的ACL，可以通过如下命令进入其视图：

·     acl [ ipv6 ] number acl-number；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } acl-number。

通过acl [ ipv6 ] number acl-number name acl-name命令指定名称创建的ACL，可以通过如下命令进入其视图：

·     acl [ ipv6 ] number acl-number [ name acl-name ]；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } acl-number；

·     acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name。

通过acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name命令指定名称创建的ACL，只能通过acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name命令进入其视图。

对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。

如果ACL规则的匹配项中包含了除IP五元组（源IP地址、源端口号、目的IP地址、目的端口号、传输层协议）、ICMP报文的消息类型和消息码信息、VPN实例、日志操作和时间段之外的其它匹配项，则设备转发ACL匹配的这类报文时会启用慢转发流程。慢转发时设备会将报文上送控制平面，计算报文相应的表项信息。执行慢转发流程时，设备的转发能力将会有所降低。

1.3  ACL配置任务简介

ACL配置任务如下

·     配置不同类型的ACL

¡     配置基本ACL

¡     配置高级ACL

¡     配置二层ACL

¡     配置用户自定义ACL

·     （可选）复制ACL

·     （可选）配置QoS和ACL资源的硬件模式

1.4  配置基本ACL

1.4.1  功能简介

基本ACL根据报文的源IP地址来制订规则，对报文进行匹配。

1.4.2  配置IPv4基本ACL

(1)     进入系统视图。

system-view

(2)     创建IPv4基本ACL。请至少选择其中一项进行配置。

¡     通过编号创建IPv4基本ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通过关键字创建IPv4基本ACL。

acl basic { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     （可选）配置规则编号的步长。

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为5。

(5)     创建规则。

rule [ rule-id ] { deny | permit } [ counting | fragment | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

(6)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.4.3  配置IPv6基本ACL

(1)     进入系统视图。

system-view

(2)     创建IPv6基本ACL。请至少选择其中一项进行配置。

¡     通过编号创建IPv6基本ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通过关键字创建IPv6基本ACL。

acl ipv6 basic { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     （可选）配置规则编号的步长。

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为5。

(5)     创建规则。

rule [ rule-id ] { deny | permit } [ counting | fragment | routing [ type routing-type ] | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

(6)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.5  配置高级ACL

1.5.1  功能简介

高级ACL可根据报文的源地址、目的地址、报文优先级、QoS本地值、承载的协议类型及特性（如TCP/UDP的源端口和目的端口、TCP报文标识、ICMP或ICMPv6协议的消息类型和消息码等）以及报文的封装类型、内层源地址、内层目的地址、内层承载的协议类型及特性（如TCP/UDP的内层源端口和内层目的端口）等信息来制定规则，对报文进行匹配。用户可利用高级ACL制订比基本ACL更准确、丰富、灵活的规则。

1.5.2  配置IPv4高级ACL

(1)     进入系统视图。

system-view

(2)     创建IPv4高级ACL。请至少选择其中一项进行配置。

¡     通过编号创建IPv4高级ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通过关键字创建IPv4高级ACL。

acl advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     （可选）配置规则编号的步长。

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为5。

(5)     创建规则。请至少选择其中一项进行配置。

¡     创建匹配普通报文的规则。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { { precedence precedence | tos tos } * | { precedence precedence | ecn ecn } * | { dscp dscp | ecn ecn } * } | fragment | icmp-type { icmp-type [ icmp-code ] | icmp-message } | qos-local-id local-id-value | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | user-group group-name | vpn-instance vpn-instance-name ] *

¡     创建匹配封装报文的规则。

rule [ rule-id ] { deny | permit } { gre-encapsulation | ipinip-encapsulation | vxlan } [ destination { dest-address dest-wildcard | any } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | vxlan-id vxlan-id ] * inner-protocol inner-protocol [ inner-destination { dest-address dest-wildcard | any } | inner-destination-port operator port1 [ port2 ] | inner-source { source-address source-wildcard | any } | inner-source-port operator port1 [ port2 ] ] * [ counting | time-range time-range-name ] *

‌

(6)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.5.3  配置IPv6高级ACL

(1)     进入系统视图。

system-view

(2)     创建IPv6高级ACL。请至少选择其中一项进行配置。

¡     通过编号创建IPv6高级ACL。

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通过关键字创建IPv6高级ACL。

acl ipv6 advanced { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     （可选）配置规则编号的步长。

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为5。

(5)     创建规则。

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | ecn ecn | flow-label flow-label-value | fragment | icmp6-type { icmp6-type icmp6-code | icmp6-message } | qos-local-id local-id-value | routing [ type routing-type ] | hop-by-hop [ type hop-type ] | source { source-address source-prefix | source-address/source-prefix | any } | source-port operator port1 [ port2 ] | time-range time-range-name | user-group group-name | vpn-instance vpn-instance-name ] *

(6)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.6  配置二层ACL

1. 功能简介

二层ACL可根据报文的源MAC地址、目的MAC地址、802.1p优先级、链路层协议类型、报文的封装类型等二层信息来制订规则，对报文进行匹配。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建二层ACL。请至少选择其中一项进行配置。

¡     通过编号创建二层ACL。

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

¡     通过关键字创建二层ACL。

acl mac { acl-number | name acl-name } [ match-order { auto | config } ]

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     （可选）配置规则编号的步长。

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为5。

(5)     创建规则。请至少选择其中一项进行配置。

¡     创建匹配普通报文的规则。

rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | { lsap lsap-type lsap-type-mask | type protocol-type protocol-type-mask } | source-mac source-address source-mask | time-range time-range-name ] *

¡     创建匹配VXLAN报文的规则。

rule [ rule-id ] { deny | permit } vxlan [ counting | dest-mac dest-address dest-mask | inner-dest-mac inner-dest-address inner-dest-mask | inner-source-mac inner-source-address inner-source-mask | inner-type inner-protocol-type inner-protocol-type-mask | source-mac source-address source-mask | time-range time-range-name | type protocol-type protocol-type-mask | vxlan-id vxlan-id ] *

(6)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.7  配置用户自定义ACL

1. 功能简介

用户自定义ACL可以以报文头为基准，指定从报文的第几个字节开始与掩码进行“与”操作，并将提取出的字符串与用户定义的字符串进行比较，从而找出相匹配的报文。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建用户自定义ACL。请至少选择其中一项进行配置。

¡     通过编号创建用户自定义ACL。

acl number [ name acl-name ] acl-number

¡     通过关键字创建用户自定义ACL。

acl user-defined { acl-number | name acl-name }

(3)     （可选）配置ACL的描述信息。

description text

缺省情况下，未配置ACL的描述信息。

(4)     创建规则。

命令形式一

rule [ rule-id ] { deny | permit } [ { { l2 | l4 }rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

命令形式二

rule [ rule-id ] { deny | permit } protocol [ destination { dest-address dest-wildcard | any } | destination-port { operator port1 [ port2 ] } | dscp dscp | source { source-address source-wildcard | any } | source-port { operator port1 [ port2 ] } ] * [ { { l2 | l4 | l5 } rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

(5)     （可选）为规则配置描述信息。

rule rule-id comment text

缺省情况下，未配置规则的描述信息。

1.8  复制ACL

1. 功能简介

用户可通过复制一个已存在的ACL（即源ACL），来生成一个新的同类型ACL（即目的ACL）。除了ACL的编号和名称不同外，目的ACL与源ACL完全相同。

2. 配置限制和指导

目的ACL要与源ACL的类型相同，且目的ACL必须不存在，否则将导致复制ACL失败。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     复制并生成一个新的ACL。

acl [ ipv6 | mac | user-defined ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

1.9  配置QoS和ACL资源的硬件模式

1. 功能简介

由于设备底层芯片差异，导致QoS和ACL资源匹配的报文结果有差异，硬件模式能够增强QoS和ACL资源的匹配能力。

2. 配置限制和指导

配置本模式后，应用ACL时会占用更多资源。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置QoS和ACL资源的硬件模式。

qos-acl resource hardware-mode hardware-mode-value

缺省情况下，QoS和ACL资源未配置任何硬件模式。

1.10  ACL显示和维护

1.10.1  显示ACL配置及运行状况

可在任意视图下执行以下命令，显示ACL的配置和运行情况。

display acl [ ipv6 | mac | user-defined ] { acl-number | all | name acl-name }

1.10.2  清除ACL统计信息

请在用户视图下执行以下命令，清除ACL的统计信息。

reset acl [ ipv6 | mac | user-defined ] counter { acl-number | all | name acl-name }

‌