IPv4 ACL
本帮助主要介绍以下内容：
特性简介
ACL（Access Control List，访问控制列表）是一系列用于识别报文流的规则的集合。这里的规则是指描述报文匹配条件的判断语句，匹配条件可以是报文的源地址、目的地址、端口号等。设备依据ACL规则识别出特定的报文，并根据预先设定的策略对其进行处理，最常见的应用就是使用ACL进行报文过滤。此外，ACL还可应用于诸如路由、安全、QoS等业务中识别报文，对这些报文的具体处理方式由应用ACL的业务模块来决定。
IPv4 ACL可以分为：
基本IPv4 ACL，编号范围为2000～2999，可以用于匹配IPv4报文的源地址、地址对象组、端口对象组和时间段等信息。
高级IPv4 ACL，编号范围为3000～3999，可以用于匹配IPv4承载的GRE、TCP、UDP、ICMP、OSPF等协议报文，即匹配协议的端口号信息，并且可以匹配报文的源和目的地址、对象组、端口对象组和时间段等等信息。
使用限制和注意事项
当一个ACL中包含多条规则时，报文会按照一定的顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。ACL的规则匹配顺序有以下两种：
按规则编号顺序：按照规则编号由小到大进行匹配。
按自动排序：按照“深度优先”原则由深到浅进行匹配，各类型ACL的“深度优先”排序法如表-1所示。
ACL类型 | “深度优先”排序法则 |
IPv4基本ACL |
|
IPv4高级ACL |
|
比较IPv4地址范围的大小，就是比较IPv4地址通配符掩码中“0”位的多少：“0”位越多，范围越小。通配符掩码（又称反向掩码）以点分十进制表示，并以二进制的“0”表示“匹配”，“1”表示“不关心”，这与子网掩码恰好相反，譬如子网掩码255.255.255.0对应的通配符掩码就是0.0.0.255。此外，通配符掩码中的“0”或“1”可以是不连续的，这样可以更加灵活地进行匹配，譬如0.255.0.255就是一个合法的通配符掩码。
配置指南
配置思路
创建IPv4 ACL的配置思路如下图所示：
修改IPv4 ACL的配置思路如下图所示：
基础配置
创建IPv4 ACL
创建IPv4 ACL的具体操作步骤如下：
选择“配置 > 网络策略 > ACL”，进入ACL访问控制配置页面。
选择“IPv4 ACL”页签，进入IPv4 ACL配置页面。
点击<新增>按钮，进入新建IPv4 ACL页面。
（可选）在“配置克隆”选项处，选择需要复制的ACL编号，并执行下一步，如果不希望复制任何ACL则选择跳过本步骤。复制ACL可以快速创建与已存在ACL参数相同的新的ACL，新生成的ACL的仅编号和名称与源ACL不同，其他所有信息以及ACL的描述信息等都与源ACL的相同。
新增IPv4 ACL及其参数，包括如下步骤：
选择“ACL类型”为高级或基本。
在“ACL编号”中输入新建的IPv4 ACL编号，如果勾选“ACL名称”选项框，则可以为新建的IPv4 ACL创建唯一的名称。
（可选）在“描述”处输入ACL的描述信息。
在“规则匹配顺序”选项处，勾选匹配顺序。
在“规则编号步长”配置处，设置ACL规则自动生成的步长。
新增IPv4 ACL规则，包括如下步骤：
点击<新增>按钮，进入新建IPv4 ACL规则页面。
在“规则编号”选项处，选择“自动编号”或者“配置编号”，采用“配置编号”时需要手动输入ACL规则的编号值。
（可选）在“描述”处输入ACL规则的描述信息。
在“匹配条件”配置处，选择ACL规则的详细匹配条件，例如，可以勾选“匹配源IP地址/通配符掩码”，并输入规则需要匹配的源IP地址和通配符掩码。
在“动作”选项处，勾选规则是“允许”或“拒绝”。
（可选）在“生效时间”下拉选项框中，可以选择已存在的时间段名称，或者也可以点击“新增”按键，参考新建时间段的操作创建新的时间段信息。
（可选）在“分片报文”选项处，可以勾选该ACL规则是否仅对分片报文的首个分片生效。
（可选）在“匹配报文日志”按钮处，选择是否开启匹配报文的日志功能。
（可选）在“匹配报文统计”按钮处，选择是否开启匹配报文的统计功能。
点击“完成”按键，则完成了IPv4 ACL规则的新建。
修改IPv4 ACL
选择“配置 > 网络策略 > ACL”，进入ACL访问控制配置页面。
选择“IPv4 ACL”页签，进入IPv4 ACL配置页面。
勾选需要修改的“IPv4 ACL”，点击编辑。
修改IPv4 ACL及其参数，包括如下步骤：
在“规则匹配顺序”选项处，调整匹配顺序。
在“规则编号步长”配置处，修改ACL规则自动生成的步长。
（可选）在“描述”处可以修改ACL的描述信息。
修改IPv4 ACL规则，包括如下步骤：
勾选需要修改的ACL规则，点击编辑，进入IPv4 ACL规则修改页面。
在“匹配条件”配置处，修改ACL规则的详细匹配条件，例如，可以勾选“匹配源IP地址/通配符掩码”，并修改规则需要匹配的源IP地址和通配符掩码。
在“动作”选项处，修改规则是“允许”或“拒绝”。
（可选）在“生效时间”下拉选项框中，可以修改选取已存在的时间段名称，或者也可以点击“新增”按键，参考新建时间段的操作创建新的时间段信息。
（可选）在“分片报文”选项处，可以修改选取，该ACL规则是否仅对分片报文的首个分片生效。
（可选）在“匹配报文日志”按钮处，选择是否开启匹配报文的日志功能。
（可选）在“匹配报文统计”按钮处，选择是否开启匹配报文的统计功能。
执行“确认”按键，则完成了IPv4 ACL规则的修改。
IPv4 ACL典型配置
组网需求
如图-1所示，通过在AC上配置ACL规则，实现在2023年4月到2023年6月之间每周工作日的8点到18点只允许Client 1访问Server。
配置步骤
AC基本配置
创建名为work的时间段，其时间范围为2023年4月到2023年6月之间每周工作日的8点到18点。（配置步骤略）
创建IPv4基本ACL 2001，并制订如下规则：在名为work的时间段内只允许来自192.168.1.2/32的报文通过、禁止来自其它IP地址的报文通过。
选择“配置 > 网络策略 > ACL”，进入ACL访问控制配置页面。
选择“IPv4 ACL”页签，进入IPv4 ACL配置页面。
点击<新增>按钮，进入新建IPv4 ACL页面。
新建IPv4 ACL 2001，包括如下步骤：
选择“ACL类型”为基本。
在“ACL编号”中输入新建的IPv4 ACL编号为2001。
在“规则匹配顺序”选项处，勾选“配置顺序”。
在“规则编号步长”配置处，设置ACL规则自动生成的步长为5。
新增IPv4 ACL规则，在名为work的时间段内只允许来自192.168.1.2/32的报文通过：
点击<新增>按钮，进入新建IPv4 ACL规则页面。
在“规则编号”选项处，选择“自动编号”。
在“匹配条件”配置处，勾选“匹配源IP地址/通配符掩码”，输入需要匹配的源IP地址和通配符掩码为192.168.1.2/0.0.0.0。
在“动作”选项处，勾选规则为“允许”。
在“规则生效时段”下拉选项框中，选择时间段名称work。
在“匹配报文日志”按钮处，选择开启匹配报文的日志功能。
在“匹配报文统计”按钮处，选择开启匹配报文的统计功能。
执行“确认”按键，则完成了IPv4 ACL规则的新建。
新增IPv4 ACL规则，在名为work的时间段内禁止来自非192.168.1.2/32的报文通过：
点击<新增>按钮，进入新建IPv4 ACL规则页面。
在“规则编号”选项处，选择“自动编号”。
在“动作”选项处，勾选规则为“拒绝”。
在“规则生效时段”下拉选项框中，选择时间段名称work。
在“匹配报文日志”按钮处，选择开启匹配报文的日志功能。
在“匹配报文统计”按钮处，选择开启匹配报文的统计功能。
执行“确认”按键，则完成了IPv4 ACL规则的新建。
在AC的接入接口出方向上的报文进行过滤。（配置步骤略）
验证配置
选择“配置 > 网络策略 > ACL”，进入ACL访问控制配置页面，可以查看到IPv4基本ACL 2001的详细信息。
图-2 IPv4 ACL配置情况
