华为ACL配置命令详解

一、ACL简介

ACL（Access Control List）即访问控制列表，可以在路由器、交换机等设备上进行配置，用来限制网络中数据流的访问，实现基本网络安全控制。ACL通过匹配数据包的源地址、目的地址、协议类型、端口号等信息来控制数据流在网络中的流向。

二、ACL类型

1、标准ACL：基于源IP地址进行匹配，不能指定协议类型、端口号等。标准ACL适用于对IP地址进行过滤，例如限制某一IP地址的访问。

2、扩展ACL：基于源IP地址、目的IP地址、协议类型、端口号等多种条件进行匹配。扩展ACL适用于更加复杂的安全策略，例如限制访问某一特定端口或限制某一应用程序的访问。

3、规则集ACL：可同时对标准ACL和扩展ACL进行配置，多条规则按顺序依次匹配，匹配成功后停止匹配。

三、ACL配置命令

1、标准ACL配置命令

#创建标准ACL
[huawei]acl number 2000
[huawei-acl-basic-2000]rule permit source 10.1.1.0 0.0.0.255
[huawei-acl-basic-2000]rule deny source 0.0.0.0 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/1
[huawei-GigabitEthernet0/0/1]ip address 10.1.1.1 24
[huawei-GigabitEthernet0/0/1]packet-filter 2000 inbound

说明：以上命令创建了一个编号为2000的标准ACL，允许源IP地址为10.1.1.0/24的数据包通过，拒绝所有其他IP地址的数据包。将ACL应用于GigabitEthernet0/0/1接口，数据包进入该端口时会被过滤。

2、扩展ACL配置命令

#创建扩展ACL
[huawei]acl number 3000
[huawei-acl-adv-3000]rule permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80
[huawei-acl-adv-3000]rule deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/2
[huawei-GigabitEthernet0/0/2]ip address 10.2.2.1 24
[huawei-GigabitEthernet0/0/2]packet-filter 3000 inbound

说明：以上命令创建了一个编号为3000的扩展ACL，允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP，目的端口号为80的数据包通过，拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/2接口，数据包进入该端口时会被过滤。

3、规则集ACL配置命令

#创建规则集ACL
[huawei]acl number 4000
[huawei-acl-rule-4000]rule 0 permit tcp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 80
[huawei-acl-rule-4000]rule 1 permit udp source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255 destination-port eq 53
[huawei-acl-rule-4000]rule 2 deny ip source 0.0.0.0 255.255.255.255 destination 255.255.255.255
#将ACL应用于接口
[huawei]interface gigabitethernet 0/0/3
[huawei-GigabitEthernet0/0/3]ip address 10.3.3.1 24
[huawei-GigabitEthernet0/0/3]packet-filter inbound acl rule 4000

说明：以上命令创建了一个编号为4000的规则集ACL，共有三条规则：第一条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为TCP，目的端口号为80的数据包通过；第二条允许源IP地址为10.1.1.0/24、目的IP地址为10.2.2.0/24、协议类型为UDP，目的端口号为53的数据包通过；第三条拒绝所有其他IP地址和协议类型的数据包。将ACL应用于GigabitEthernet0/0/3接口，数据包进入该端口时会被过滤。

四、ACL常用命令

1、查看ACL

[huawei]display acl 2000
[huawei]display acl 3000
[huawei]display acl 4000

2、查看接口上应用的ACL

[huawei]display interface gigabitethernet 0/0/1
[huawei]display interface gigabitethernet 0/0/2
[huawei]display interface gigabitethernet 0/0/3

3、删除ACL

[huawei]undo acl number 2000
[huawei]undo acl number 3000
[huawei]undo acl number 4000

五、总结

ACL是网络设备中常用的安全配置之一，通过限制数据流的访问，提高了网络的安全性。文章从ACL类型、配置命令、常用命令等多个方面进行了详细的阐述，希望对大家在实际应用中使用ACL有所帮助。