【文章內(nèi)容簡(jiǎn)介】 k：指定內(nèi)層ID值的掩碼 十六進(jìn)制destinationmac指定acl規(guī)則匹配報(bào)文的目的mac地址信息doubletag指定acl匹配報(bào)文時(shí)匹配帶雙層tag的報(bào)文etherii指定acl規(guī)則匹配報(bào)文的幀封裝格式l2protocol指定acl規(guī)則匹配報(bào)文的鏈路層協(xié)議類型snap　sourcemac指定acl規(guī)則匹配報(bào)文的源mac地址信息timerange　vlanid指定acl規(guī)則匹配報(bào)文的內(nèi)層vlan ID用戶自定義ACL規(guī)則配置用戶自定義ACL編號(hào)aclnumber的范圍是5000～5999。用戶自定義acl（簡(jiǎn)稱ucl），可以根據(jù)用戶自定義的規(guī)則對(duì)數(shù)據(jù)報(bào)文做出相應(yīng)的處理。用戶自定義ACL支持的常用功能有用戶自定義ACL支持的常用功能參數(shù)說明STRING310　ipv4head指定從ipv4頭部開始偏移ipv6head從ipv6頭部開始偏移l2head從報(bào)文的二層頭部開始偏移l4head從四層協(xié)議頭部開始偏移timerange　[Huaweiacluser5000]rule 1 deny ? STRING310 Rule string, the string must be hexadecimal and start with 39。0x39。 ipv4head Offset from IP(v4) head ipv6head Offset from IP(v6) head l2head Offset from l2 head l4head Offset from L4 head timerange Specify a special time cr用戶ACL規(guī)則配置用戶ACL編號(hào)aclnumber的范圍是6000～6999。使用IPv4報(bào)文的源IP地址或源UCL（User Control List）組、目的地址或目的UCL組、IP協(xié)議類型、ICMP類型、TCP源端口/目的端口、UDP源端口/目的端口號(hào)等來定義規(guī)則。具體配置及參數(shù)同前?；続CL6規(guī)則配置[Huawei]acl ipv6 ? INTEGER20002999 Specify a basic ACL6 INTEGER30003999 Specify an advanced ACL6 name Specify a named ACL6 number Specify a numbered ACL6[Huaweiacl6basic2000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit[Huaweiacl6basic2000]rule 1 deny ? fragment Check fragment packet logging Log matched packet source Specify source address timerange Specify a special time cr[Huaweiacl6basic2000]rule 1 deny source ? X:X::X:X IPv6 address X:X::X:X/M IPv6 source address with prefix any Any source IPv6 address[Huaweiacl6basic2000]rule 1 deny source any ? fragment Check fragment packet logging Log matched packet timerange Specify a special time cr高級(jí)ACL6規(guī)則配置[Huawei]acl ipv6 3000[Huaweiacl6adv3000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit[Huaweiacl6adv3000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit[Huaweiacl6adv3000]rule 1 deny ? 1255 Protocol number gre GRE tunneling(47) icmpv6 Internet Control Message Protocol6(58) ipv6 Any IPV6 protocol ospf OSPF routing protocol(89) tcp Transmission Control Protocol(6) udp User Datagram Protocol(17)ACL6相關(guān)知識(shí)將在后面的IPV6專題詳細(xì)講解，敬請(qǐng)關(guān)注重慶網(wǎng)管博客。ACL資源告警閾值百分比設(shè)置[Huawei]acl thresholdalarm{upperlimitupperlimit|lowerlimitlowerlimit}*設(shè)備運(yùn)行應(yīng)用ACL的業(yè)務(wù)后會(huì)占用一部分ACL資源，此時(shí)可以配置ACL資源的告警閾值百分比。當(dāng)ACL資源的使用率（即設(shè)備上實(shí)際存在的ACL表項(xiàng)占設(shè)備支持的最大ACL表項(xiàng)總數(shù)的比例）等于或高于上限告警閾值百分比時(shí)，設(shè)備將會(huì)發(fā)出超限告警。之后，如果該比例又等于或小于下限告警閾值百分比，設(shè)備會(huì)再次發(fā)出告警，表明之前的超限告警情況已經(jīng)恢復(fù)正常。擴(kuò)展ACL表項(xiàng)空間資源模式設(shè)置Huaweidisplay resourceassign configuration 查看接口板擴(kuò)展表項(xiàng)空間資源的配置信息。[Huawei]assign resourcemodemodeidslotslotid 配置接口板擴(kuò)展表項(xiàng)空間資源的分配模式，用來靜態(tài)分配MAC、ACL和FIB表項(xiàng)的底層空間大小。[Huawei]assign aclmodemodeidslotslotid 配置接口板ACL規(guī)格的資源分配模式。缺省情況下，擴(kuò)展表項(xiàng)空間寄存器的資源模式為1，僅擴(kuò)展MAC表項(xiàng)。與ACL表項(xiàng)相關(guān)的分配模式包括：MACACL：表示同時(shí)擴(kuò)展MAC表項(xiàng)和二層ACL表項(xiàng)。IPV4ACL：表示同時(shí)擴(kuò)展IPV4的IP表項(xiàng)和IPV4的三層ACL表項(xiàng)。IPV6ACL：表示同時(shí)擴(kuò)展IPV6的IP表項(xiàng)和IPV6的三層ACL表項(xiàng)。IPV4NAC：表示同時(shí)擴(kuò)展IPV4的三層ACL表項(xiàng)和NAC特性專用的ACL表項(xiàng)。L2 ACL：表示擴(kuò)展二層ACL表項(xiàng)。配置接口板擴(kuò)展表項(xiàng)空間資源的分配模式后，需要重啟接口板才能生效。當(dāng)設(shè)備處于核心層時(shí)，承載的業(yè)務(wù)量很大，自身的MAC、FIB、ACL表項(xiàng)也會(huì)相應(yīng)增加，但是設(shè)備的表項(xiàng)空間有限，當(dāng)設(shè)備的表項(xiàng)空間滿足不了設(shè)備的業(yè)務(wù)要求時(shí)，會(huì)降低業(yè)務(wù)的運(yùn)行效率。設(shè)備接口板提供擴(kuò)展表項(xiàng)空間寄存器，通過配置擴(kuò)展表項(xiàng)空間資源的分配模式，可以選擇性擴(kuò)大MAC、ACL和FIB表項(xiàng)的底層空間大小。三、ACL應(yīng)用配置Telnent中應(yīng)用ACL配置[Huawei]tlnet server acl ?INTEGER20002999或[Huaweiuivty04]acl ?INTEGER20003999Apply basic or advanced ACLipv6Filter IPv6 addresses[Huaweiuivty04]acl 2000 ?inboundFilter login connections from the current user interfaceoutboundFilter logout connections from the current user interface中應(yīng)用acl配置[Huawei] acl ?INTEGER20002999SNMP（vv2）中應(yīng)用ACL配置[Huawei]snmpagent munity write 1 acl ?INTEGER20002999Apply basic ACL或[Huawei]snmpagent acl ?FTP中應(yīng)用acl配置[Huawei]ftp acl ?INTEGER20002999Apply basic ACLTFTP中應(yīng)用ACL配置[Huawei]tftpserver acl ?INTEGER20002999Apply basic ACLSFTP中應(yīng)用ACL配置[Huawei]ssh server acl ?或[Huaweiuivty04]acl ?INTEGER20003999Apply basic or advanced ACLipv6Filter IPv6 addresses[Huaweiuivty04]acl 2000 ?inboundFilter login connections from the current user interfaceoutboundFilter logout connections from the current user interface其他方式中應(yīng)用ACL配置表（轉(zhuǎn)自華為官方論壇）業(yè)務(wù)模塊ACL應(yīng)用方式可使用的ACL編號(hào)范圍流策略a、系統(tǒng)視圖下執(zhí)行命令traffic classifierclassifiername[operator{and|or} ] [precedenceprecedencevalue]，進(jìn)入流分類視圖。b、執(zhí)行命令ifmatch acl{aclnumber|aclname}，配置ACL應(yīng)用于流分類。c、系統(tǒng)視圖下執(zhí)行命令traffic behaviorbehavior–name，定義流行為并進(jìn)入流行為視圖。d、配置流動(dòng)作。報(bào)文過濾有兩種流動(dòng)作：deny或permit。e、系統(tǒng)視圖下執(zhí)行命令traffic policypolicyname[matchorder{auto|config} ]，定義流策略并進(jìn)入流策略視圖。f、執(zhí)行命令classifierclassifiernamebehaviorbehaviorname，在流策略中為指定的流分類配置所需流行為，即綁定流分類和流行為。在系統(tǒng)視圖、接口視圖或VLAN視圖下，執(zhí)行命令trafficpolicypolicyname{inbound|outbound}，應(yīng)用流策略。ACL：2000～5999ACL6：2000～3999NAT方式一：a、系統(tǒng)視圖下執(zhí)行命令nat addressgroupgroupindexstartaddressendaddress，配置公網(wǎng)地址池。b、執(zhí)行命令interfaceinterfacetype，進(jìn)入子接口視圖。c、執(zhí)行命令nat outboundaclnumberaddressgroupgroupindex[nopat]，配置帶地址池的NAT Outbound。方式二：a、系統(tǒng)視圖下執(zhí)行命令interface，進(jìn)入子接口視圖。b、執(zhí)行命令nat outboundaclnumber，配置Easy IP。2000～3999IPSEC方式一：a、系統(tǒng)視圖下執(zhí)行命令ipsec policypolicynameseqnumbermanual，創(chuàng)建手工方式安全策略，并進(jìn)入手工方式安全策略視圖。b、執(zhí)行命令security aclaclnumber，在安全策略中引用ACL。方式二：a、系統(tǒng)視圖下執(zhí)行命令ipsec policypolicynameseqnumberisakmp，創(chuàng)建IKE動(dòng)態(tài)協(xié)商方式安全策略，并進(jìn)