目  录

1 ACL

1.1 ACL配置命令

1.1.1 acl

1.1.2 acl copy

1.1.3 description

1.1.4 display acl

1.1.5 display qos-acl resource

1.1.6 rule (IPv4 basic ACL view)

1.1.7 rule (IPv6 basic ACL view)

1.1.8 rule comment

1.1.9 step

1 ACL

1.1  ACL配置命令

1.1.1  acl

acl命令用来创建ACL，并进入ACL视图。如果指定的ACL已存在，则直接进入ACL视图。

undo acl命令用来删除指定或全部ACL。

【命令】

命令形式一

acl [ ipv6 ] { name acl-name | number acl-number [ name acl-name ] [ match-order { auto | config } ] }

undo acl [ ipv6 ] { all | name acl-name | number acl-number }

命令形式二

acl [ ipv6 ] basic { acl-number | name acl-name } [ match-order { auto | config } ]

undo acl [ ipv6 ] { all | basic { acl-number | name acl-name } }

【缺省情况】

不存在ACL。

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。如果未指定本参数，则表示IPv4 ACL。

basic：指定创建基本ACL。

number acl-number：指定ACL的编号。

acl-number：指定ACL的编号。acl-number表示ACL的编号，取值范围为2000～2999，代表的ACL类型为基本ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。

match-order { auto | config }：指定规则的匹配顺序，auto表示按照自动排序（即“深度优先”原则）的顺序进行规则匹配，config表示按照配置顺序进行规则匹配。缺省情况下，规则的匹配顺序为配置顺序。

all：指定类型中全部ACL。

【使用指导】

通过编号创建的ACL，可以通过如下命令进入其视图：

·     acl [ ipv6 ] number acl-number；

·     acl [ ipv6 ] basic acl-number。

通过acl [ ipv6 ] number acl-number name acl-name命令指定编号和名称创建的ACL，可以使用如下命令进入其视图：

·     acl [ ipv6 ] name acl-name，本命令仅支持进入已创建的基本ACL视图；

·     acl [ ipv6 ] number acl-number [ name acl-name ]；

·     acl [ ipv6 ] basic name acl-name。

通过acl [ ipv6 ] basic name acl-name命令指定名称创建的ACL，可以使用如下命令进入其视图：

·     acl [ ipv6 ] name acl-name，本命令仅支持进入已创建的基本ACL视图；

·     acl [ ipv6 ] basic  name acl-name。

当ACL内不存在任何规则时，用户可以使用本命令对该ACL的规则匹配顺序进行修改，否则不允许进行修改。

【举例】

# 创建一个编号为2000的IPv4基本ACL，并进入其视图。

<Sysname> system-view

[Sysname] acl basic 2000

[Sysname-acl-ipv4-basic-2000]

# 创建一个IPv4基本ACL，指定其名称为flow，并进入其视图。

<Sysname> system-view

[Sysname] acl basic name flow

[Sysname-acl-ipv4-basic-flow]

# 创建一个编号为2000的IPv6基本ACL，并进入其视图。

<Sysname> system-view

[Sysname] acl ipv6 basic 2000

[Sysname-acl-ipv6-basic-2000]

# 创建一个IPv6基本ACL，其名称为flow，并进入其视图。

<Sysname> system-view

[Sysname] acl ipv6 basic name flow

[Sysname-acl-ipv6-basic-flow]

【相关命令】

·     display acl

1.1.2  acl copy

acl copy命令用来复制并生成一个新的ACL。

【命令】

acl [ ipv6 ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

【视图】

系统视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

source-acl-number：指定源ACL的编号，该ACL必须存在。取值范围为2000～2999，代表的ACL类型为基本ACL。

name source-acl-name：指定源ACL的名称，该ACL必须存在。source-acl-name为1～63个字符的字符串，不区分大小写。

dest-acl-number：指定目的ACL的编号，该ACL必须不存在。取值范围为2000～2999，代表的ACL类型为基本ACL。

name dest-acl-name：指定目的ACL的名称，该ACL必须不存在。dest-acl-name为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。

【使用指导】

目的ACL的类型要与源ACL的类型相同。

对于IPv6 ACL，必须输入ipv6关键字，否则表示IPv4 ACL。

除了ACL的编号或名称不同外，新生成的ACL（即目的ACL）的匹配顺序、规则匹配软件统计功能的开启情况、规则编号的步长、所包含的规则、规则的描述信息以及ACL的描述信息等都与源ACL的相同。

【举例】

# 通过复制已存在的IPv4基本ACL 2001，来生成一个新的编号为2002的同类型ACL。

<Sysname> system-view

[Sysname] acl copy 2001 to 2002

# 通过复制已存在的IPv4基本ACL test，来生成名为paste的同类型ACL。

<Sysname> system-view

[Sysname] acl copy name test to name paste

1.1.3  description

description命令用来配置ACL的描述信息。

undo description命令用来删除ACL的描述信息。

【命令】

description text

undo description

【缺省情况】

ACL没有任何描述信息。

【视图】

IPv4基本ACL视图

IPv6基本ACL视图

【缺省用户角色】

network-admin

【参数】

text：表示ACL的描述信息，为1～127个字符的字符串，区分大小写。

【举例】

# 为IPv4基本ACL 2000配置描述信息。

<Sysname> system-view

[Sysname] acl basic 2000

[Sysname-acl-ipv4-basic-2000] description This is an IPv4 basic ACL.

【相关命令】

·     display acl

1.1.4  display acl

display acl命令用来显示ACL的配置和运行情况。

【命令】

display acl [ ipv6 ] { acl-number | all | name acl-name }

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

ipv6：指定ACL类型为IPv6 ACL。

acl-number：显示指定编号的ACL的配置和运行情况。acl-number表示ACL的编号，取值范围为2000～2999，代表的ACL类型为基本ACL。

all：显示指定类型中全部ACL的配置和运行情况。

name acl-name：显示指定名称的ACL的配置和运行情况。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

【使用指导】

本命令将按照实际匹配顺序来排列ACL内的规则，即：当ACL的规则匹配顺序为配置顺序时，各规则将按照编号由小到大排列；当ACL的规则匹配顺序为自动排序时，各规则将按照“深度优先”原则由深到浅排列。

如果未指定ipv6参数，则表示IPv4 ACL。

【举例】

# 显示IPv4基本ACL 2001的配置和运行情况。

<Sysname> display acl 2001

Basic IPv4 ACL 2001, 1 rule, match-order is auto,

This is an IPv4 basic ACL.

ACL's step is 5, start ID is 0

 rule 5 permit source 1.1.1.1 0

 rule 5 comment This rule is used on M-GigabitEthernet0/0/0.

表1-1 display acl命令显示信息描述表

字段	描述
Basic IPv4 ACL 2001	该ACL的类型和编号
1 rule	该ACL内包含的规则数量
match-order is auto	该ACL的规则匹配顺序为自动排序（匹配顺序为配置顺序时不显示本字段）
This is an IPv4 basic ACL.	该ACL的描述信息
ACL's step is 5	该ACL的规则编号的步长值为5
start ID is 0	该ACL的规则编号的起始值为0
rule 5 permit source 1.1.1.1 0	规则5的具体内容，源地址为具体地址
rule 5 comment This rule is used on M-GigabitEthernet0/0/0.	规则5的描述信息

 

1.1.5  display qos-acl resource

display qos-acl resource命令用来显示QoS和ACL资源的使用情况。

【命令】

display qos-acl resource [ slot slot-number ]

【视图】

任意视图

【缺省用户角色】

network-admin

network-operator

【参数】

slot slot-number：指定设备编号，取值只能为1。

【使用指导】

如果指定的设备不支持统计QoS和ACL资源，将不会显示该设备上QoS和ACL资源的使用情况。

设备QoS和ACL资源不足时会导致某些功能无法使用，例如登录设备等，如需使用该类应用，请预留相应的QoS和ACL资源。

【举例】

# 显示QoS和ACL资源的使用情况。

<Sysname> display qos-acl resource

Interfaces: GE1/0/1 to GE1/0/24, XGE1/0/27 to XGE1/0/28 (slot 1)

---------------------------------------------------------------------

 Type             Total      Reserved   Configured Remaining  Usage

---------------------------------------------------------------------

 TTI ACL          256        0          1          255        0%

 PCL ACL          512        0          0          512        0%

 PCL Counter      656        0          0          656        0%

 IPCL Meter       768        0          0          768        0%

 EPCL Meter       128        0          0          128        0%

 

Interfaces: GE1/0/25 to GE1/0/26, GE1/1/1 to GE1/1/24 (slot 1)

---------------------------------------------------------------------

 Type             Total      Reserved   Configured Remaining  Usage

---------------------------------------------------------------------

 TTI ACL          256        0          1          255        0%

 PCL ACL          512        0          0          512        0%

 PCL Counter      656        0          0          656        0%

 IPCL Meter       768        0          0          768        0%

 EPCL Meter       128        0          0          128        0%

表1-2 display qos-acl resource命令显示信息描述表

字段	描述
Interfaces	资源对应的接口范围
Type	资源类型： ·     TTI ACL表示用于接口的ACL资源 ·     PCL ACL表示用于策略的ACL资源，包括协议报文使用ACL以及应用模块引用ACL时占用的资源 ·     PCL Counter表示用于策略的统计资源 ·     IPCL Meter表示用于入方向策略的流量监管资源 ·     EPCL Meter表示用于出方向策略的流量监管资源
Total	资源总数
Reserved	预留的资源数
Configured	已经使用的资源数
Remaining	剩余可用的资源数
Usage	预留的资源数与已配置的资源数之和占资源总数的百分比，分子按实际计算结果的整数部分显示，例如实际计算结果为50.8%，此处显示为50%。

 

1.1.6  rule (IPv4 basic ACL view)

rule命令用来为IPv4基本ACL创建一条规则。

undo rule命令用来为IPv4基本ACL删除一条规则或删除规则中的部分内容。

【命令】

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

undo rule rule-id [ counting | fragment | logging | source | time-range | vpn-instance ] *

undo rule { deny | permit } [ counting | fragment | logging | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

【缺省情况】

IPv4基本ACL内不存在任何规则。

【视图】

IPv4基本ACL视图

【缺省用户角色】

network-admin

【参数】

rule-id：指定IPv4基本ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。

deny：表示拒绝符合条件的报文。

permit：表示允许符合条件的报文。

counting：表示开启规则匹配软件统计功能，缺省为关闭。

fragment：表示仅对分片报文有效，而对非分片报文无效。若未指定本参数，表示该规则对非分片报文和分片报文均有效。

logging：表示记录规则匹配报文的日志信息，包括匹配报文的规则和匹配报文的个数。该功能需要使用该ACL的模块支持日志记录功能。

source { source-address source-wildcard | any }：指定规则的源IP地址信息。source-address表示报文的源IP地址，source-wildcard表示源IP地址的通配符掩码（为0表示主机地址），any表示任意源IP地址。

time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。（暂不支持）

vpn-instance vpn-instance-name：表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。若未指定VPN实例，表示该规则对非VPN报文和VPN报文均有效。

【使用指导】

使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。

新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。

当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。

display acl all命令可以查看所有已存在的IPv4基本ACL规则。

删除规则时需要注意的是：

·     使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。

·     undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。

counting关键字用于开启本规则的匹配统计功能。

【举例】

# 为IPv4基本ACL 2000创建规则如下：仅允许来自10.0.0.0/8、172.17.0.0/16和192.168.1.0/24网段的报文通过，而拒绝来自所有其它网段的报文通过。

<Sysname> system-view

[Sysname] acl basic 2000

[Sysname-acl-ipv4-basic-2000] rule permit source 10.0.0.0 0.255.255.255

[Sysname-acl-ipv4-basic-2000] rule permit source 172.17.0.0 0.0.255.255

[Sysname-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255

[Sysname-acl-ipv4-basic-2000] rule deny source any

【相关命令】

·     acl

·     display acl

·     step

1.1.7  rule (IPv6 basic ACL view)

rule命令用来为IPv6基本ACL创建一条规则。

undo rule命令用来为IPv6基本ACL删除一条规则或删除规则中的部分内容。

【命令】

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | routing [ type routing-type ] | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

undo rule rule-id [ counting | fragment | logging | routing | source | time-range | vpn-instance ] *

undo rule { deny | permit } [ counting | fragment | logging | routing [ type routing-type ] | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

【缺省情况】

IPv6基本ACL内不存在任何规则。

【视图】

IPv6基本ACL视图

【缺省用户角色】

network-admin

【参数】

rule-id：指定IPv6基本ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。

deny：表示拒绝符合条件的报文。

permit：表示允许符合条件的报文。

counting：表示开启规则匹配软件统计功能，缺省为关闭。

fragment：表示仅对分片报文有效，而对非分片报文无效。若未指定本参数，表示该规则对非分片报文和分片报文均有效。

logging：表示记录规则匹配报文的日志信息，包括匹配报文的规则和匹配报文的个数。该功能需要使用该ACL的模块支持日志记录功能。

routing [ type routing-type ]：表示对所有或指定类型的路由头有效，routing-type表示路由头类型的值，取值范围为0～255。若指定了type routing-type参数，表示仅对指定类型的路由头有效；否则，表示对IPv6所有类型的路由头都有效。

source { source-address source-prefix | source-address/source-prefix | any }：指定规则的源IPv6地址信息。source-address表示报文的源IPv6地址，source-prefix表示源IPv6地址的前缀长度，取值范围为1～128，any表示任意源IPv6地址。

time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。（暂不支持）

vpn-instance vpn-instance-name：表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。若未指定VPN实例，表示该规则对非VPN报文和VPN报文均有效。

【使用指导】

使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。

新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。

当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。

display acl ipv6 all命令可以查看所有已存在的IPv6基本ACL规则。

删除规则时需要注意的是：

·     使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。

·     undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。

counting关键字用于开启本规则的匹配统计功能。

【举例】

# 为IPv6基本ACL 2000创建规则如下：仅允许来自1001::/16、3124:1123::/32和FE80:5060:1001::/48网段的报文通过，而拒绝来自所有其它网段的报文通过。

<Sysname> system-view

[Sysname] acl ipv6 basic 2000

[Sysname-acl-ipv6-basic-2000] rule permit source 1001:: 16

[Sysname-acl-ipv6-basic-2000] rule permit source 3124:1123:: 32

[Sysname-acl-ipv6-basic-2000] rule permit source fe80:5060:1001:: 48

[Sysname-acl-ipv6-basic-2000] rule deny source any

【相关命令】

·     acl

·     display acl

·     step

1.1.8  rule comment

rule comment命令用来为规则配置描述信息。

undo rule comment命令用来删除指定规则的描述信息。

【命令】

rule rule-id comment text

undo rule rule-id comment

【缺省情况】

规则没有描述信息。

【视图】

IPv4基本ACL视图

IPv6基本ACL视图

【缺省用户角色】

network-admin

【参数】

rule-id：指定规则的编号，该规则必须存在。取值范围为0～65534。

text：表示规则的描述信息，为1～127个字符的字符串，区分大小写。

【使用指导】

使用rule comment命令时，如果指定的规则没有描述信息，则为其添加描述信息，否则修改其描述信息。

【举例】

# 为IPv4基本ACL 2000配置规则0，并为该规则配置描述信息。

<Sysname> system-view

[Sysname] acl basic 2000

[Sysname-acl-ipv4-basic-2000] rule 0 deny source 1.1.1.1 0

[Sysname-acl-ipv4-basic-2000] rule 0 comment This rule is used on M-GigabitEthernet 0/ 0.

【相关命令】

·     display acl

1.1.9  step

step命令用来配置规则编号的步长。

undo step命令用来恢复缺省情况。

【命令】

step step-value [ start start-value ]

undo step

【缺省情况】

规则编号的步长为5，起始值为0。

【视图】

IPv4基本ACL视图

IPv6基本ACL视图

【缺省用户角色】

network-admin

【参数】

step-value：表示规则编号的步长值，取值范围为1～20。

start-value：表示规则编号的起始值。取值范围为0～20。

【使用指导】

系统为规则自动分配编号的方式如下：系统从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。

如果步长或规则编号的起始值发生了改变，ACL内原有全部规则的编号都将自动从规则编号的起始值开始按步长重新排列。譬如，某ACL内原有编号为0、5、9、10和15的五条规则，当修改步长为2之后，这些规则的编号将依次变为0、2、4、6和8。

【举例】

# 将IPv4基本ACL 2000的规则编号的步长配置为2。

<Sysname> system-view

[Sysname] acl basic 2000

[Sysname-acl-ipv4-basic-2000] step 2

【相关命令】

·     display acl