您的位置:

华为ACL配置命令详解

一、ACL简介

ACL(Access Control List)即访问控制列表,可以在路由器、交换机等设备上进行配置,用来限制网络中数据流的访问,实现基本网络安全控制。ACL通过匹配数据包的源地址、目的地址、协议类型、端口号等信息来控制数据流在网络中的流向。

二、ACL类型

1、标准ACL:基于源IP地址进行匹配,不能指定协议类型、端口号等。标准ACL适用于对IP地址进行过滤,例如限制某一IP地址的访问。

2、扩展ACL:基于源IP地址、目的IP地址、协议类型、端口号等多种条件进行匹配。扩展ACL适用于更加复杂的安全策略,例如限制访问某一特定端口或限制某一应用程序的访问。

3、规则集ACL:可同时对标准ACL和扩展ACL进行配置,多条规则按顺序依次匹配,匹配成功后停止匹配。

三、ACL配置命令

1、标准ACL配置命令

#创建标准ACL
[huawei]acl number 2000
[huawei-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
[huawei-acl-basic-2000]rule deny source 0.0.0.0 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/1
[huawei-GigabitEthernet0/0/1]ip address 10.1.1.1 24
[huawei-GigabitEthernet0/0/1]packet-filter 2000 inbound

说明:以上命令创建了一个编号为2000的标准ACL,允许源IP地址为10.1.1.0/24的数据包通过,拒绝所有其他IP地址的数据包。将ACL应用于GigabitEthernet0/0/1接口,数据包进入该端口时会被过滤。

2、扩展ACL配置命令

#创建扩展ACL
[huawei]acl number 3000
[huawei-acl-adv-3000]rule permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80
[huawei-acl-adv-3000]rule deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/2
[huawei-GigabitEthernet0/0/2]ip address 10.2.2.1 24
[huawei-GigabitEthernet0/0/2]packet-filter 3000 inbound

说明:以上命令创建了一个编号为3000的扩展ACL,允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP,目的端口号为80的数据包通过,拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/2接口,数据包进入该端口时会被过滤。

3、规则集ACL配置命令

#创建规则集ACL
[huawei]acl number 4000
[huawei-acl-rule-4000]rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80
[huawei-acl-rule-4000]rule 1 permit udp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 53
[huawei-acl-rule-4000]rule 2 deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/3
[huawei-GigabitEthernet0/0/3]ip address 10.3.3.1 24
[huawei-GigabitEthernet0/0/3]packet-filter inbound acl rule 4000

说明:以上命令创建了一个编号为4000的规则集ACL,共有三条规则:第一条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP,目的端口号为80的数据包通过;第二条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为UDP,目的端口号为53的数据包通过;第三条拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/3接口,数据包进入该端口时会被过滤。

四、ACL常用命令

1、查看ACL

[huawei]display acl 2000
[huawei]display acl 3000
[huawei]display acl 4000

2、查看接口上应用的ACL

[huawei]display interface gigabitethernet 0/0/1
[huawei]display interface gigabitethernet 0/0/2
[huawei]display interface gigabitethernet 0/0/3

3、删除ACL

[huawei]undo acl number 2000
[huawei]undo acl number 3000
[huawei]undo acl number 4000

五、总结

ACL是网络设备中常用的安全配置之一,通过限制数据流的访问,提高了网络的安全性。文章从ACL类型、配置命令、常用命令等多个方面进行了详细的阐述,希望对大家在实际应用中使用ACL有所帮助。