《华为路由的ACL的配置.docx》由会员分享，可在线阅读，更多相关《华为路由的ACL的配置.docx（4页珍藏版）》请在三一办公上搜索。
1、华为路由的ACL的配置华为路由的ACL的配置 华为3COM的ACL一直一来都比较麻烦，不同版本、不同型号的设备都有些不同。下面我以3900设备为例，说明ACL的配置和执行技巧。总结一句话：rule排列规则和auto、config模式有关，而匹配顺序则和ACL应用环境和下发到端口的循序有关。 规律说明： 1、ACL可以分为auto模式和config模式,auto模式根据最长匹配的原则排列rule的顺序。config模式根据用户配置循序排列rule的循序。也就是说auto和config只是rule的排列顺序有关，与匹配顺序无关。 2、不管是auto模式还是config模式，当ACL应用于包过虑和Q
2、OS时，匹配循序是从下往上，但是应用于VTY 用户过虑等责是从上往下匹配。 3、不管是auto模式还是config模式，ACL的匹配顺序都是根据下发到端口的规则从下往上匹配。 4、在一个ACL里同时有多条rule匹配，则按照最长匹配优先执行。 包过虑ACL举例说明： 禁止10.10.10.145这台PC上网 允许10.10.10.0/24网段上网 允许192.168.0.0/16网段上网 禁止所有IP 配置方法一： 配置ACL acl num 3000 mach config rule den ip rule permit ip sour 192.168.0.0 0.0.255.255 rul
3、e permit ip sour 10.10.10.0 0.0.0.255 rule deny ip sour 10.10.10.145 0 下发ACL到端口 int e 1/0/1 pack in ip 3000 配置方法二： 配置ACL acl num 3001 mach auto rule permit ip sour 10.10.10.0 0.0.0.255 rule den ip rule deny ip sour 10.10.10.145 0 rule permit ip sour 192.168.0.0 0.0.255.255 下发ACL到端口 int e 1/0/2 pack
4、in ip 3001 rule 0 pack in ip 3001 配置输出： acl number 3000 rule 0 deny ip rule 1 permit ip source 192.168.0.0 0.0.255.255 rule 2 permit ip source 10.10.10.0 0.0.0.255 rule 3 deny ip source 10.10.10.145 0 acl number 3001 match-order auto rule 3 deny ip source 10.10.10.145 0 rule 1 permit ip source 10.10
5、.10.0 0.0.0.255 rule 2 permit ip source 192.168.0.0 0.0.255.255 rule 0 deny ip # vlan 1 # interface Aux1/0/0 # interface Ethernet1/0/1 packet-filter inbound ip-group 3000 rule 0 packet-filter inbound ip-group 3000 rule 1 packet-filter inbound ip-group 3000 rule 2 packet-filter inbound ip-group 3000
6、rule 3 # interface Ethernet1/0/2 packet-filter inbound ip-group 3001 rule 0 packet-filter inbound ip-group 3001 rule 3 packet-filter inbound ip-group 3001 rule 1 packet-filter inbound ip-group 3001 rule 2 标准访问列表命令格式如下： acl match-order config|auto / 默认前者顺序匹配 rule normal|specialpermit|deny source sour
7、ce-addr source-wildcard|any 例： Quidwayacl 10 Quidway-acl-10rule normal permit source 10.0.0.0 0.0.0.255 Quidway-acl-10rule normal deny source any 扩展访问控制列表配置命令 配置TCP/UDP协议的扩展访问列表： rule normal|specialpermit|denytcp|udpsource |anydestination |any operate 配置ICMP协议的扩展访问列表： rule normal|specialpermit|denyi
8、cmp source |anydestination |any icmp-code logging 扩展访问控制列表操作符的含义 equal portnumber /等于 greater-than portnumber /大于 less-than portnumber /小于 not-equal portnumber /不等 range portnumber1 portnumber2 /区间 扩展访问控制列表举例 Quidwayacl 101 Quidway-acl-101rule deny souce any destination any Quidway-acl-101rule permi
9、t icmp source any destination any icmp-type echo Quidway-acl-101rule permit icmp source any destination any icmp-type echo-reply Quidwayacl 102 Quidway-acl-102rule permit ip source 10.0.0.1 0.0.0.0 destination 202.0.0.1 0.0.0.0 Quidway-acl-102rule deny ip source any destination any Quidwayacl 103 Qu
10、idway-acl-103rule permit tcp source any destination 10.0.0.1 0.0.0.0 destination-port equal ftp Quidway-acl-103rule permit tcp source any destination 10.0.0.2 0.0.0.0 destination-port equal www Quidwayfirewall enable Quidwayfirewall default permit|deny Quidwayint e0 Quidway-Ethernet0firewall packet-filter 101 inbound|outbound
