ACL访问控制列表怎么配置

ACL访问控制列表配置步骤与示例

一、概念与类型

• ACL是一组按序匹配的过滤规则，用于根据报文的源/目的地址、协议、端口、时间段等属性进行分类与处理。常见类型包括：
  • 基本ACL：主要匹配源IP。
  • 高级ACL：可匹配协议、源/目的IP、源/目的端口、DSCP/TOS/Precedence、分片等。
  • 二层ACL：基于源/目的MAC、VLAN ID、二层协议类型等链路层信息。
  • 用户ACL/用户ACL6：用于Portal认证免认证规则等场景，支持passthrough-domain等参数。
  • IPv6 ACL：用于IPv6流量的匹配与控制。
• 规则按rule-id从小到大顺序匹配；ACL需被具体业务引用（如接口入/出方向、流策略、路由策略等）才会生效。

二、通用配置步骤

1. 进入系统视图
   • 命令行示例：system-view
2. 创建ACL并进入视图
   • 基本/高级/二层示例：acl { name { basic | [number] } | [number] } [ match-order { config | auto } ]
3. 配置规则
   • 基本ACL常用：rule [rule-id] { deny | permit } source { | any } [ time-range ]
   • 高级ACL常用：rule [rule-id] { deny | permit } { protocol | tcp | udp | icmp | gre | ospf … } [ source | any ] [ destination | any ] [ source-port { eq | gt | lt | range } ] [ destination-port { eq | gt | lt | range } ] [ dscp | tos | precedence ] [ fragment ] [ time-range ]
   • 二层ACL常用：rule [rule-id] { deny | permit } source-mac [ destination-mac ]
   • 规则要点：
     • 未指定rule-id时按步长自动分配；如已有rule5、rule7且步长为5，则下一条自动为rule10。
     • DSCP与Precedence/TOS互斥，不能在同一规则中同时配置。
     • 引用**time-range **时，若时间段不存在，该规则不生效。
4. 应用ACL到业务
   • 接口入/出方向（设备不同命令略有差异）：在接口下绑定ACL实现报文过滤。
   • 二层场景：通过流分类+流行为+流策略绑定ACL，再在接口应用流策略。
   • 无线AC/FIT AP：在AP组 → VAP → 流量模板 → 报文过滤中引用ACL（如IPv4 ACL 3001）。
   • 路由策略/路由过滤：在route-policy节点中使用if-match acl匹配，再在路由协议下通过filter-policy引用。
5. 验证与查看
   • 查看ACL：display acl { acl-number | name | all }
   • 查看时间段：display time-range { all | }
   • 查看策略应用记录（以流策略为例）：display traffic-policy applied-record。

三、典型配置示例

• 示例1 基本ACL限制某网段访问（命令行）

  system-view
  acl name BLOCK_SALES basic
  rule 5 deny source 10.1.2.0 0.0.0.255
  rule 10 permit source any
  quit
  interface GigabitEthernet 0/0/1
   traffic-filter inbound acl name BLOCK_SALES
  

  说明：先拒绝10.1.2.0/24，再允许其他；应用到接口入方向生效。
• 示例2 高级ACL限制某主机访问某服务器的Telnet

  system-view
  acl name DENY_TELNET advanced
  rule 5 deny tcp source 192.168.10.10 0 destination 172.16.20.20 0 destination-port eq 23
  rule 10 permit ip source any destination any
  quit
  interface GigabitEthernet 0/0/2
   traffic-filter outbound acl name DENY_TELNET
  

  说明：仅阻断来自192.168.10.10到172.16.20.20的TCP 23端口。
• 示例3 二层ACL阻断指定MAC对

  system-view
  acl 4000
  rule 5 deny source-mac 00e0-f201-0101 ffff-ffff-ffff destination-mac 0260-e207-0002 ffff-ffff-ffff
  quit
  traffic classifier TC1
   if-match acl 4000
  traffic behavior TB1
   deny
  traffic policy TP1
   classifier TC1 behavior TB1
  interface 10GE 2/0/1
   traffic-policy TP1 inbound
  commit
  

  说明：在10GE 2/0/1入方向丢弃源MAC为00e0-f201-0101、目的MAC为0260-e207-0002的报文。
• 示例4 在AC上用Web网管为SSID引用ACL
  • 路径：配置 → AP配置 → AP组 → 选择AP组 → VAP配置 → 选择SSID → 流量模板 → 新建/编辑 → 高级配置 → 报文过滤 → 入方向报文过滤ACL，选择IPv4并引用如ACL3001，保存并应用。用于限制某SSID的入网流量。

四、注意事项与排错

• 规则顺序决定命中结果，建议将更精确的permit规则放在前面，最后加deny any兜底（如业务需要）。
• 高级ACL中DSCP与Precedence/TOS互斥；引用time-range需确保时间段已存在，否则规则不生效。
• 未指定rule-id会按步长自动分配，建议规划好步长与编号，便于插入新规则。
• ACL本身不处理流量，必须被接口过滤、流策略、路由策略等引用；验证时使用display acl / display time-range / display traffic-policy applied-record等命令核对命中与方向。