H3C設備ACL基本配置
www.hx95.com 時間: 2012-02-16 閱讀: 144次 整理: 華夏聯(lián)盟網(wǎng)
ACL 的配置
第一、ACL 的配置：
————————————————————————
|訪問控制列表的分類 | 數(shù)字序號的范圍 |
|———————————————————————
|基本訪問控制列表 | 2000-2999 |
|———————————————————————
|擴展訪問控制列表 | 3000-3999 |
|———————————————————————
|基于二層的訪問控制列表 | 4000-4999 |
|———————————————————————
|用戶自字義訪問控制列表 | 5000-5999 |
————————————————————————
●基本ACL ：是只根據(jù)報文的源IP 地址信息來制定規(guī)則的；
●高級ACL ：根據(jù)報文的源IP 地址，目的IP 地址，IP 承載的協(xié)議類型，協(xié)議的特征
等三、四層信息制定規(guī)則；
●二層ACL ：根據(jù)報文的源MAC 地址，目的MAC 地址，VLAN 優(yōu)先級，二層協(xié)議類
型等信息制定規(guī)則；
●用戶自定義ACL ：可以以報文的頭、IP 頭等為基準，指定從第幾個字節(jié)開始與掩碼
進行“與”操作，將報文提取出來的字符串和用戶定義的字符串進行比較，找到匹配的報文。
●給ACL來指定一個名字，要注意起名字時，要在創(chuàng)建的時候來起，創(chuàng)建完成后，便不能起了，名字和number一樣，同樣可以標識一個ACL。命令如下：
acl number 3000 name xiaoshoubu
●設定acl的描述信息：在配置acl時，可以在acl狀態(tài)下用命令：description text 來給ACL添加描述信息。
●設定acl的步長，也就是在不指定規(guī)則號的情況下，采用的默認增長速度 。命令為：step step-value 默認是5
ACL 的匹配順序有：config:按照用戶的配置的順序來匹配。
auto:按照“深度優(yōu)先”即地址范圍小的規(guī)則被優(yōu)先進行匹配。不過系統(tǒng)默認是按照用戶的配置順序來進行匹配的。
——————————————————————————————————————————————————————————————————————————
在實際工作中遇到如下問題：
如果您的版本是Release 2208的可以直接在接口下packet-filter acl_number inbound/outbound，如果版本低于R2208，則需要通過QOS方式下發(fā)ACL。具體配置方法如下：
acl number 3000 //定義流量，里面的permit和deny沒有實際意義，僅用來匹配流量
rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
quit
traffic classifier 1 //定義類，匹配acl 3000
if-match acl 3000
quit
traffic behavior 1 //定義流行為，動作為拒絕deny
filter deny
quit
qos policy 1 //定義QOS策略，將類和流行為綁定 （注意在這類和流行為，可以關聯(lián)多個即可以出現(xiàn)classifier 2 behavior 2）
classifier 1 behavior 1
quit
interface GigabitEthernet1/0/1 //下發(fā)到接口inbound方向
qos apply policy 1 inbound
——————————————————————————————————————————————————————————————————————
例如：
基本的ACL:
acl number 2000
rule 0 deny source 192.168.2.0 0.0.0.255
高級的ACL ：
acl number 3000
rule 0 permit tcp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0.0.0.0 destination-port eq 80
第二、包過濾防火墻功能：
[h3c] firewall enable -------開啟包過濾功能，系統(tǒng)默認沒有開啟。
[h3c] firewal default permit/deny -------設置默認的規(guī)則，系統(tǒng)默認規(guī)則是permit
將ACL 應用到接口上，配置的ACL 才會生效，也就是說在要用到接口的inbound/outbound
[h3c-Ethernet0/1] firewall packet-filter 3000 inbound/outbound
ACL 包過濾顯示與調(diào)試
display firewall-statistics all
display acl all
清除IPV4 ACL 統(tǒng)計信息
reset acl counter (all)
