H3C 访问控制列表 acl配置文件

IPv4 ACL典型配置举例
1.1.1 组网需求
●公司企业网通过交换机Switch实现各部门之间的互连。

●要求正确配置IPv4 ACL，禁止研发部门和市场部门在上班时间（8:00至18:00）访问工资查询服务
器（IP地址为192.168.4.1），而总裁办公室不受限制，可以随时访问。

1.1.2 组网图
图1-1配置IPv4 ACL组网图
总裁办公室
192.168.1.0/24
192.168.2.0/24192.168.3.0/24
1.1.3 配置步骤
(1) 定义上班时间段
# 定义8:00至18:00的周期时间段。

<Switch> system-view
[Switch] time-range trname 8:00 to 18:00 working-day
(2) 定义到工资查询服务器的IPv4 ACL
# 定义研发部门到工资查询服务器的访问规则。

[Switch] acl number 3000
[Switch-acl-adv-3000] rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0.0.0.0 time-range trname
[Switch-acl-adv-3000] quit
# 定义市场部门到工资查询服务器的访问规则。

[Switch] acl number 3001
[Switch-acl-adv-3001] rule deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0.0.0.0 time-range trname
[Switch-acl-adv-3001] quit
(3) 应用IPv4 ACL
# 定义类c_rd，对匹配IPv4 ACL 3000的报文进行分类。

[Switch] traffic classifier c_rd
[Switch-classifier-c_rd] if-match acl 3000
[Switch-classifier-c_rd] quit
# 定义流行为b_rd，动作为拒绝报文通过。

[Switch] traffic behavior b_rd
[Switch-behavior-b_rd] filter deny
[Switch-behavior-b_rd] quit
# 定义类c_market，对匹配IPv4 ACL 3001的报文进行分类。

[Switch] traffic classifier c_market
[Switch-classifier-c_market] if-match acl 3001
[Switch-classifier-c_market] quit
# 定义流行为b_market，动作为拒绝报文通过。

[Switch] traffic behavior b_market
[Switch-behavior-b_market] filter deny
[Switch-behavior-b_market] quit
# 定义QoS策略p_rd，为类c_rd指定流行为b_rd。

[Switch] qos policy p_rd
[Switch-qospolicy-p_rd] classifier c_rd behavior b_rd
[Switch-qospolicy-p_rd] quit
# 定义QoS策略p_market，为类c_market指定流行为b_market。

[Switch] qos policy p_market
[Switch-qospolicy-p_market] classifier c_market behavior b_market
[Switch-qospolicy-p_market] quit
# 将QoS策略p_rd应用到端口Ethernet 1/0/2。

[Switch] interface Ethernet 1/0/2
[Switch-Ethernet1/0/2] qos apply policy p_rd inbound
[Switch-Ethernet1/0/2] quit
# 将QoS策略p_market应用到端口Ethernet 1/0/3。

[Switch] interface Ethernet 1/0/3
[Switch-Ethernet1/0/3] qos apply policy p_market inbound
1.1.4 时间段配置举例
# 配置时间段，时间范围为每周周一到周五的8:00到18:00。

<Sysname> system-view
[Sysname] time-range test 8:00 to 18:00 working-day
[Sysname] display time-range test
Current time is 13:27:32 4/16/2005 Saturday
Time-range : test ( Inactive )
08:00 to 18:00 working-day
# 配置绝对时间段，时间范围为2009年1月28日15:00起至2010年1月28日15:00结束。

<Sysname> system-view
[Sysname] time-range test from 15:00 1/28/2009 to 15:00 1/28/2010
[Sysname] display time-range test
Current time is 22:20:18 1/5/2009 Thursday
Time-range : test ( Inactive )
from 15:00 1/28/2009 to 15:00 1/28/2010
1.1.5 高级IPv4 ACL配置举例
# 配置IPv4 ACL 3000，允许129.9.0.0网段的主机向202.38.160.0网段的主机发送端口号为80的TCP 报文。

<Sysname> system-view
[Sysname] acl number 3000
[Sysname-acl-adv-3000] rule permit tcp source 129.9.0.0 0.0.255.255 destin ation 202.38.160.0
0.0.0.255 destination-port eq 80
[Sysname-acl-adv-3000] display acl 3000
Advanced ACL 3000, named -none-, 1 rule,
ACL's step is 5
rule 0 permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port eq www (5 times matched)
[ra-acl-adv-3000]rule 0 deny tcp source 1.1.1.1 0 destination 12.12.12.2 0 desti nation-port eq telnet
拒绝WWW 服务
[ra-acl-adv-3000]rule 0 deny tcp source 1.1.1.1 0 destination 12.12.12.2 0 desti nation-port eq www
拒绝FTP 服务
[ra-acl-adv-3000]rule 0 deny tcp source 1.1.1.1 0 destination 12.12.12.2 0 desti nation-port eq FTP
[ra-acl-adv-3000]rule 1 deny tcp source 1.1.1.1 0 destination 12.12.12.2 0 desti nation-port eq ftp-date
拒绝ICMP 协议
[ra-acl-adv-3000]rule 0 deny icmp source 1.1.1.1 0 destination 12.12.1
注：ACL 必须在接口应用才能有效果，而且ACL 对本地产生的数据流不会发生
作用2.2 0
路由器: 配置acl→rule →firewall en →int接口→firewall packet-filter 3001 in/out 交换机:。