【基础】华为设备基本和高级ACL配置实战
我的图书馆
【基础】华为设备基本和高级ACL配置实战
实验拓扑：使用ENSP模拟器（版本V100R002C00 1.2.00.350）&实验要求：1.在华为设备上配置标准ACL实现vlan 10主机不能和vlan20主机互访,但可以正常上网。2. 在华为设备上配置扩展ACL实现vlan 10主机不能和vlan 20主机互访,但可以正常上网；vlan 10中C2需要和vlan 20中C3通信，vlan 10中C1不能打开网页，其他不受影响；3. 在华为设备上配置命名ACL实现路由器R1只能被192.168.1.10主机远程管理。ACL原理：1.ACL是从上至下逐条匹配，一旦匹配成功则不再向下匹配。2.ACL最后隐含了一条拒绝所有的规则。3.路由器的一个接口一个方向最多只可以应用一个ACL，但是可以有N条条目。&实验步骤及验证：1.接口及ip地址规划：C1:192.168.1.10 (vlan 10)C2:192.168.1.20 (vlan 10)C3:192.168.2.10 (vlan 20)C4:192.168.2.20 (vlan 20)Server:13.0.0.2R1：g0/0/1.10:192.168.1.1g0/0/1.20:192.168.2.1g0/0/2:12.0.0.2R2:g0/0/2:12.0.0.1g0/0/0:13.0.0.12.配置脚本：SW1[SW1]vlan batch 10 20(添加vlan 10 20)[SW1]int e0/0/1[SW1-Ethernet0/0/1]port hybrid pvid vlan 10[SW1-Ethernet0/0/1]port hybrid untagged vlan 10(将接口以untagged方式加入vlan 10)[SW1]int e0/0/2[SW1-Ethernet0/0/2]porthybrid pvid vlan 10[SW1-Ethernet0/0/2]port hybrid untagged vlan 10[SW1]int e0/0/3[SW1-Ethernet0/0/3]port link-type access[SW1-Ethernet0/0/3]port default vlan 20(将接口以access方式加入vlan 20)[SW1]int e0/0/4[SW1-Ethernet0/0/4]port link-type access[SW1-Ethernet0/0/4]port default vlan 20[SW1]int g0/0/1[SW1-GigabitEthernet0/0/1]port hybrid tagged vlan 10 20(将接口以tagged方式允许带有vlan 10 20标记的帧通过)R1[R1]int g0/0/1.10[R1-GigabitEthernet0/0/1.10]dot1q termination vid 10（指定子接口封装的vlan）[R1-GigabitEthernet0/0/1.10]ip add 192.168.1.1 24[R1-GigabitEthernet0/0/1.10]arp broadcast enable(开启子接口的arp广播)[R1]int g0/0/1.20[R1-GigabitEthernet0/0/1.20]dot1qtermination vid 20[R1-GigabitEthernet0/0/1.20]ip add 192.168.2.1 24[R1-GigabitEthernet0/0/1.20]arp broadcast enable[R1]int g0/0/2[R1-GigabitEthernet0/0/2]ip add 12.0.0.2 24R2[R2]int g0/0/2[R2-GigabitEthernet0/0/2]ip add 12.0.0.1 24[R2]int g0/0/0[R2-GigabitEthernet0/0/0]ip add 13.0.0.1 24-------------------------以上是IP地址及vlan配置----------------------------R1[R1]ip route-static 13.0.0.0 255.255.255.0 12.0.0.1R2[R2]ip route-static192.168.1.0 255.255.255.0 12.0.0.2[R2]ip route-static 192.168.2.0 255.255.255.0 12.0.0.2---------------------------以上是路由配置----------------------------------没做任何ACL情况下，C1可以与vlan 20主机及Server通信标准ACL：R1[R1]acl 2000（定义一个标准ACL2000）[R1-acl-basic-2000]rule 5 deny source 192.168.1.0 0.0.0.255（第一条语句拒绝源为192.168.1.0/24网段的所有流量）[R1-acl-basic-2000]rule 10 permit source any（需要注意ACL是从上至下逐条匹配的，所以需在第一条拒绝语句后跟一条允许所有的以保证其他流量通过）[R1]int g0/0/1.20（因只需要限制vlan10和20的主机不能互访，所以将ACL应用在vlan 20网关的out方向从而不影响上行上网的流量）[R1-GigabitEthernet0/0/1.20]traffic-filteroutbound acl 2000（在接口的out方向应用ACL）&结果验证：可以看到C1仍然可以访问Server，但无法和vlan20主机通信，标准ACL生效。扩展ACL：在没有ACL情况下C 1是可以访问Server的FTP和WWW服务的。R1：[R1]acl 3000（定义一个扩展ACL3000）[R1-acl-adv-3000]rule 5 permit ip source 192.168.1.20 0.0.0.0 destination192.168.2.10 0.0.0.0（允许以C2为源C3为目标的流量）[R1-acl-adv-3000]rule 10 deny ip source 192.168.1.0 0.0.0.255 destination192.168.2.0 0.0.0.255（注意此条语句位置！拒绝所有vlan 10为源vlan 20为目标的流量）[R1-acl-adv-3000]rule 15 deny tcp source 192.168.1.10 0.0.0.0 destination13.0.0.2 0.0.0.0 destination-port eq 80（拒绝C1为源访问目标为Server的TCP 80端口）[R1-acl-adv-3000]rule 20 permit ip source any（最后允许所有未匹配的流量）[R1]int g0/0/1.10[R1-GigabitEthernet0/0/1.10]traffic-filter inboundacl 3000（在vlan 10网关的in方向调用ACL)实验验证：在C2上与C3通信但是无法与vlan 20其他主机通信，且可以访问Server可正常上网。在C1上不能访问Server的WWW服务，但仍然可以访问FTP服务，所以扩展ACL生效。命名ACL：R1：[R1]user-interface vty 0 4[R1-ui-vty0-4]authentication-modepassword Please configure the login password (maximum length16):abc默认情况下任何可以与R1通信的设备都可以telnet到R1。R1：[R1]acl name novty 2001[R1-acl-basic-2001]rule 5 permit source 192.168.1.100.0.0.0（允许源为C1的流量）[R1]user-interface vty 04[R1-ui-vty0-4]acl 2001inbound& （在VTY端口的in方向应用ACL)实验验证：只有C1可以telnet到R1，其他都无法telnet，命名ACL生效。实验总结：1.ACL可以理解为一个包过滤防火墙，可以基于管理员配置的条目控制流量，还可以通过time-rang命令定义一个时间范围，在列表后面调用这个时间范围来实现灵活的网络控制。2.ACL也可以被用来定义感兴趣地址或网段范围，以用于其他应用（如NAT）。3.ACL也是QoS中流分类的必备工具。运营商网络技术Q群：本文出自 “” 博客，请务必保留此出处
[1楼]&&&&&&&收藏学习！支持一下！
TA的最新馆藏查看:6706|回复：4
今天在检查一台S8512交换机的配置时发现ACL规则已生效，但通过display acl config all命令却发现没有一条匹配数的问题，但经验证的确ACL规则中有很多条都是生效了的，查了一下相关资料才恍然大悟。
注： 据推断华为的高端交换机基本上都存在此现象
（1）6506R 下发防病毒ACL生效,但是却没有看到匹配数
现象描述：
6506R 下发防病毒ACL生效,但是用dis acl config all却没有匹配数。
原因分析：
只有那些上层协议配置的报文，例如arp，ospf的hello，bgp等等，可以上cpu处理的报文，被acl匹配后才可以用命令dis acl显示命中的数量。而防病毒的acl，是接口的芯片直接就处理了的。65为了提高性能，这些接口芯片处理的acl不会统计数量出来。 在接口上加traffic-statistic ip-group acl号码 的命令就可以统计出来acl的匹配数量了。
处理过程：
这里本来就显示不出来，除非在接口上配了traffic-statistic ip-group acl号码。才可以用dis acl config all看到acl的命中的数量。
（2）在S6503上使用display acl config all命令时发现许多已生效的rule匹配次数为0
现象描述：
组网简图：&&用户pc机（192.168.10.9）－－－S3528G－－－（192.168.1.3）S6503
用户PC机的网关在S3528G上，S6503与S3528G之间有可达路由。在S6503上配置了acl如下：
&&acl number 3000
rule 0 deny icmp source 192.168.10.9 0 destination 192.168.1.3 0
rule 1 permit ip source 192.168.10.0 0 destination 192.168.1.3 0
& &并在S6503与S3528相连的接口的入方向引用此ACL，配置完成后，从PC机上ping S6503的接口地址192.168.1.3/24不通，但是可以telnet该地址登录设备，说明ACL配置生效了。
& & 再使用dis acl config all命令查看，结zizi果如下：
Advanced ACL&&3000, 2 rules,
rule 0 deny icmp source 192.168.10.9 0 destination 192.168.1.3 0 (0 times matched)
rule 1 permit ip source 192.168.10.0 0 destination 192.168.1.3 0 (8 times matched)
&&从输出的结果可看出，rule 0匹配次数为0，而rule 1匹配次数为8。但是rule 0与rule 1明明都生效了并且经过了验证，为什么有一条无匹配次数，另一条有匹配次数呢？
原因分析：
与交换机的实现原理有关：
& &对于通过软件进行ACL匹配的操作，如：telnet，策略路由等，设备能够记录该条rule匹配的次数。（由于配置并引用acl 3000，共从pc机telnet登录S6503 8次，所以rule 1的匹配次数为8次）
& &而在进行包过滤的时候，交换机是通过硬件芯片来操作的，由于目前的芯片在做过滤时没有相应的计数器，所以对于此类过滤操作无法记录匹配次数。这就是为什么rule 0的匹配次数为0的原因（对ICMP报文的过滤是通过硬件实现的）。
建议与总结：
使用display&&acl&&config all查看rule匹配次数时，只有telnet、策略路由等通过软件实现的操作可正确显示，而通过硬件完成的报文过滤等操作是无法显示出来的，在实际应用中需要注意。
谢谢优秀的经验总结！
谢谢分享& & 不错 ！
这个问题如果在日常维护中没有亲身体验的话还是很难遇到的，相信没有多少人知道H3C和华为设备的这个特性，希望对以后遇到该问题的午饭们有个引导
白袍大法师
日常经常 碰见这类东西。。
天下风云出我辈， 一入江湖岁月催。当年的“小侠唐在飞” 如今变成了“大侠唐在飞”。?金杯银杯，不如网友的口碑；金奖银奖，不如网友的褒奖；熊掌鸭掌，不如网友的鼓掌~& &
?欢迎加入“唐志强技术教学交流群”，群号：。?
V7版本改成disp packet-filter statistics interface Ten-GigabitEthernet 1/9/0/1 inbound 了 上传我的文档
 下载
 收藏
该文档贡献者很忙，什么也没留下。
 下载此文档
正在努力加载中...
华为防火墙巡检命令
下载积分：5
内容提示：华为防火墙巡检命令
文档格式：TXT|
浏览次数：179|
上传日期： 19:11:12|
文档星级：
全文阅读已结束，如果下载本文需要使用
 5 积分
下载此文档
该用户还上传了这些文档
华为防火墙巡检命令
官方公共微信