华为交换机ACL基础配置

华为交换机ACL基础配置

ACL基础详解：

访问控制列表(ACL)是⼀种基于包过滤的，它可以根据设定的条件对接⼝上的数据包进⾏过滤，允许其通过或丢弃。访问控制列表被⼴泛地应⽤于和，借助于访问控制列表，可以有效地控制⽤户对⽹络的访问，从⽽最⼤程度地保障。

访问控制列表（Access Control Lists，ACL）是应⽤在接⼝的指令列表。这些指令列表⽤来告诉路由器哪些可以收、哪些数据包需要拒绝。⾄于数据包是被接收还是拒绝，可以由类似于源地址、⽬的地址、等的特定指⽰条件来决定。

访问控制列表具有许多作⽤，如限制⽹络流量、提⾼⽹络性能；通信流量的控制，例如ACL可以限定或简化路由更新信息的长度，从⽽限制通过路由器某⼀⽹段的通信流量；提供⽹络安全访问的基本⼿段；在路由器端⼝处决定哪种类型的通信流量被转发或被阻塞，例如，⽤户可以允许E-mail通信流量被路由，拒绝所有的 Telnet通信流量等。

ACL处理过程及规则：

当ACL处理数据包时，⼀旦数据包与某条ACL语句匹配，则会跳过列表中剩余的其他语句，根据该条匹配的语句内容决定允许或者拒绝该数据包。如果数据包内容与ACL语句不匹配，那么将依次使⽤ACL列表中的下⼀条语句测试数据包。该匹配过程会⼀直继续，直到抵达列表末尾。最后⼀条隐含的语句适⽤于不满⾜之前任何条件的所有数据包。这条最后的测试条件与这些数据包匹配，通常会隐含拒绝⼀切数据包的指令。此时路由器不会让这些数据进⼊或送出接⼝，⽽是直接丢弃。最后这条语句通常称为隐式的“deny any”语句。由于该语句的存在，所以在ACL中应该⾄少包含⼀条permit语句，否则，默认情况下，ACL将阻⽌所有流量。

访问控制列表的使⽤：

ACL的使⽤分为两步：

1. 创建访问控制列表ACL，根据实际需要设置对应的条件项；

2. 将ACL应⽤到路由器指定接⼝的指定⽅向(in/out)上。

在ACL的配置与使⽤中需要注意以下事项：

1. ACL是⾃顶向下顺序进⾏处理，⼀旦匹配成功，就会进⾏处理，且不再⽐对以后的语句，所以ACL中语句的顺序很重要。应当将最严格的语句放在最上⾯，最不严格的语句放在底部。2. 当所有语句没有匹配成功时，会丢弃分组。这也称为ACL隐性拒绝。

3. 每个接⼝在每个⽅向上，只能应⽤⼀个ACL。

4. 标准ACL应该部署在距离分组的⽬的⽹络近的位置，扩展ACL应该部署在距离分组发送者近的位置

华为交换机ACL配置命令：

在全局视图下输⼊“ACL”[HuaWei-SWitch] acl ?INTEGER<2000-2999> Basic access-list —— 基本访问列表INTEGER<3000-3999> Advanced access-list —— ⾼级访问列表INTEGER<4000-4999> L2 access-list —— ⼆层访问列表INTEGER<5000-5999> User defined access-list —— ⽤户定议访问列表INTEGER<6000-9999> UCL group access-list —— UCL组访问列表

[HuaWei-SWitch]acl 2000 —— 进⼊基本访问列表

[HuaWei-SWitch-acl-basic-2000] rule 5 deny source 192.168.1.0 0.0.0.255 —— 定义⾏号为 5 的规则，拒绝来源IP为 192.168.1.0⾄192.168.1.255地址访问

注：如果不定义⾏号，交换机第⼀⾏规则默认是从 5 开始，依次步长为5往后递增。

此条命令中的⼦⽹掩码叫做通配符，将IP地址与通配符进⾏与计算。

ACL中的通配符：

通配符掩码：路由器使⽤通配符掩码与原地址或者是⽬标地址⼀起来分辨匹配的地址范围，在访问控制列表中，将通配符掩码中设置为1 的表⽰本位可以忽略ip地址中的对应位，设置成0 的表⽰必须精确的匹配ip地址中的对应位。

通配符掩码中，可以⽤255.255.255.255表⽰所有IP地址，因为全为1说明32位中所有位都不需检查，此时可⽤any替代通配符中 0 代表匹配，1 代表不⽤管

例：[HuaWei-SWitch-acl-basic-2000] rule 1 deny source 192.168.1.0 1.1.1.1 ——设置⾏号为1的规则，拒绝来源IP的所有地址 ，通配符全为1表⽰所有位数都不⽤考虑，直接拒绝。那么所有来源的IP将被直接拒绝。

当在同⼀个⾏号中，再次输⼊的规则与上次输⼊的规则匹配相同时，再次输⼊的规则不会替换之前的规则

例：[HuaWei-SWitch-acl-basic-2000]rule 1 deny source 10.5.18.0 0.0.255.255 [HuaWei-SWitch-acl-basic-2000]rule 1 deny source 10.5.10.0 0.0.255.255这两条规则，将执⾏第⼀条，因为第⼀条的匹配规则已经包括了第⼆条的匹配范围。

ACL基本配置：

[HuaWei-SWitch-acl-basic-2000] rule 2 permit source 10.5.86.0 0.0.0.255 ——设置⾏号为2的规则，允许来源IP为10.5.86.0⾄10.5.86.255地址这个⽹段访问的流量

[HuaWei-SWitch] interface GigabitEthernet 1/0/1 ——进⼊需要设置ACL规则的端⼝

[HuaWei-SWitch-GigabitEthernet1/0/1]traffic-filter inbound acl 2000 ——设置在此端⼝的进⽅向遵循ACL 2000列表规则。

[HuaWei-SWitch-GigabitEthernet1/0/1]traffic-filter outbound acl 2001——设置在此端⼝的出⽅向遵循ACL 2001列表规则。

查看：display acl all ——查看交换机的所有ACL配置列表

例：[HuaWei-SWitch-GigabitEthernet1/0/1]dis acl allTotal nonempty ACL number is 2Basic ACL 2000, 2 rulesAcl's step is 5rule 1 deny source 0.0.10.0 255.255.0.0rule 2 permit source 10.5.86.0 0.0.0.255Basic ACL 2001, 1 ruleAcl's step is 5rule 1 permit source 10.5.88.0 0.0.0.255

注意

ACL 调⽤在最靠近⽬标的端⼝上

华为交换机acl调⽤命令：

创建ACL列表：[S5700-2-acl-basic-2000] rule 5 permit source 192.168.10.100 0.0.0.0 —— 设置允许此IP的主机流量通过

[S5700-2-acl-basic-2000] rule 10 deny source 192.168.10.0 0.0.0.255 ——设置拒绝此IP⽹段的主机流量通过

[S5700-2-acl-basic-2000] rule 20 permit source 192.168.20.100 0.0.0.0 —— 设置允许此IP的主机流量通过

[S5700-2-acl-basic-2000] rule 30 deny source 192.168.20.0 0.0.0.255 ——设置拒绝此IP⽹段的主机流量通过

[S5700-2-acl-basic-2000] rule 40 permit source any ——设置末尾隐藏规则，放⾏其他来源的流量

在靠近⽬标的接⼝下调⽤ACL，要确定接⼝⽅向，是流量进⼊时执⾏，还是转发数据出去时的⽅向[S5700-2] interface GigabitEthernet 1/0/1

[S5700-2-GigabitEthernet1/0/1] traffic-filter inbound acl 2000 ——在此接⼝的⼊⽅向调⽤ACL2000列表规则

[S5700-2-GigabitEthernet1/0/1]traffic-filter outbound acl 2000 —— 在此接⼝的出⽅向调⽤ACL 2000列表规则