24-ACL操作

ACL 目录目录第1章 ACL配置.....................................................................................................................1-11.1 ACL简介............................................................................................................................1-11.1.1 ACL匹配顺序..........................................................................................................1-21.1.2 ACL在交换机上的应用方式....................................................................................1-31.1.3 S3900系列以太网交换机支持的ACL.....................................................................1-31.2 ACL配置............................................................................................................................1-41.2.1 配置时间段..............................................................................................................1-41.2.2 定义基本ACL..........................................................................................................1-61.2.3 定义高级ACL..........................................................................................................1-71.2.4 定义二层ACL..........................................................................................................1-91.2.5 定义用户自定义ACL.............................................................................................1-101.2.6 在端口上应用ACL.................................................................................................1-121.2.7 在VLAN上应用ACL.............................................................................................1-121.3 ACL显示..........................................................................................................................1-131.4 ACL被上层软件引用典型配置举例..................................................................................1-131.4.1 通过源IP对Telnet登录用户进行控制配置举例....................................................1-131.4.2 通过源IP对WEB登录用户进行控制配置举例.....................................................1-141.5 ACL下发到硬件典型配置举例.........................................................................................1-151.5.1 基本ACL配置举例................................................................................................1-151.5.2 高级ACL配置举例................................................................................................1-161.5.3 二层ACL配置举例................................................................................................1-161.5.4 用户自定义ACL配置举例.....................................................................................1-171.5.5 在VLAN上应用ACL配置举例..............................................................................1-18第1章 ACL配置说明：z ACL配置新增“在VLAN上应用ACL”特性，请参见1.2.7 在VLAN上应用ACL。

z ACL配置新增“为二层ACL配置内层VLAN信息”特性，请参见1.2.4 定义二层ACL。

1.1 ACL简介随着网络规模的扩大和流量的增加，对网络安全的控制和对带宽的分配成为网络管理的重要内容。

通过对数据包进行过滤，可以有效防止非法用户对网络的访问，同时也可以控制流量，节约网络资源。

ACL（Access Control List，访问控制列表）即是通过配置对报文的匹配规则和处理操作来实现包过滤的功能。

当交换机的端口接收到报文后，即根据当前端口上应用的ACL规则对报文的字段进行分析，在识别出特定的报文之后，根据预先设定的策略允许或禁止相应的数据包通过。

由ACL定义的数据包匹配规则，也可以被其它需要对流量进行区分的功能引用，如QoS中流分类规则的定义。

ACL通过一系列的匹配条件对数据包进行分类，这些条件可以是数据包的源MAC地址、目的MAC地址、源IP地址、目的IP地址、端口号等。

根据应用目的，可将ACL分为以下几种：z基本ACL：只根据数据包的源IP地址制定规则。

z高级ACL：根据数据包的源IP地址、目的IP地址、IP承载的协议类型、协议特性等三、四层信息制定规则。

z二层ACL：根据数据包的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定规则。

z用户自定义ACL：以数据包的头部为基准，指定从第几个字节开始与掩码进行“与”操作，将从报文提取出来的字符串和用户定义的字符串进行比较，找到匹配的报文。

1.1.1 ACL匹配顺序一条ACL中可以包含多个规则，而每个规则都指定不同的报文范围。

这样，在匹配报文时就会出现匹配顺序的问题。

ACL支持两种匹配顺序：z配置顺序：根据用户配置规则的先后顺序进行匹配。

z自动排序：根据“深度优先”的顺序进行匹配（二层ACL和用户自定义ACL 不支持根据“深度优先”的顺序进行匹配）。

1. 基本ACL的“深度优先”顺序判断原则(1) 先比较源IP地址范围，源IP地址范围小（反掩码中“0”位的数量多）的规则优先；(2) 如果源IP地址范围相同，则比较是否带有fragment参数，带有fragment参数的规则优先；(3) 如果源IP地址范围、是否带有fragment参数这两个判断条件也相同，则先配置的规则优先。

2. 高级ACL的“深度优先”顺序判断原则(1) 首先比较协议范围，指定了IP协议承载的协议类型的规则优先；(2) 如果协议范围相同，则比较源IP地址范围，源IP地址范围小（反掩码中“0”位的数量多）的规则优先；(3) 如果协议范围、源IP地址范围相同，则比较目的IP地址范围，目的IP地址范围小（反掩码中“0”位的数量多）的规则优先；(4) 如果协议范围、源IP地址范围、目的IP地址范围相同，则比较四层端口号（TCP/UDP端口号）范围，四层端口号范围小的规则优先；(5) 如果协议范围、源IP地址范围、目的IP地址范围、四层端口号范围相同，则比较规则中参数的个数，参数个数多的规则优先。

如果规则A与规则B的协议范围、源IP地址范围、目的IP地址范围、四层端口号范围完全相同，并且其它的参数个数也相同，将按照加权规则进行排序。

交换机为每个参数设定一个固定的权值，最终的匹配顺序由各个参数的权值和参数的取值来决定。

各个参数自身的权值从大到小排列为icmp-type、established、dscp、tos、precedence、fragment。

比较规则如下：z交换机以一个固定权值依次减去规则中所配置的各个参数自身的权值，所得结果小的规则优先；z如果各个规则中参数种类完全相同，则这些参数取值的累加和小的规则优先。

Quidway S3900系列以太网交换机操作手册ACL 第1章 ACL配置1.1.2 ACL在交换机上的应用方式1. ACL直接下发到硬件中的情况ACL可以直接下发到交换机的硬件，用于数据转发过程中的报文过滤和流分类。

此时一条ACL中多个规则的匹配顺序是由交换机的硬件决定的，对于S3900系列以太网交换机，匹配顺序为后下发的规则先匹配。

ACL直接下发到硬件的情况包括：通过ACL过滤转发数据、配置QoS功能时引用ACL等。