配置高级ACL案例

前提条件

•如果配置基于时间的ACL，则需创建生效时间段，并将其与ACL规则关联起来。配置ACL生效时间段案例

背景信息

高级ACL根据源IP地址、目的IP地址、IP协议类型、TCP源/目的端口、UDP源/目的端口号、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。

高级ACL比基本ACL提供了更准确、丰富、灵活的规则定义方法。例如，当希望同时根据源IP地址和目的IP地址对报文进行过滤时，则需要配置高级ACL。

操作步骤

1、执行命令system-view，进入系统视图。
2、创建高级ACL。可使用编号或者名称两种方式创建。

• 执行命令acl [ number ] acl-number [ match-order { auto | config } ]，使用编号（3000～3999）创建一个数字型的高级ACL，并进入高级ACL视图。

• 执行命令acl name acl-name { advance | acl-number } [ match-order { auto | config } ]，使用名称创建一个命名型的高级ACL，进入高级ACL视图。

缺省情况下，未创建ACL。

如果创建ACL时未指定match-order参数，则该ACL默认的规则匹配顺序为config。

创建ACL后，ACL的缺省步长为5。如果该值不能满足管理员部署ACL规则的需求，则可以对ACL步长值进行调整。

3、（可选）执行命令description text，配置ACL的描述信息。

缺省情况下，未配置ACL的描述信息。

配置ACL时，为ACL添加描述信息可以方便理解和记忆该ACL的功能或具体用途。

4、配置高级ACL规则。

根据IP承载的协议类型不同，在设备上配置不同的高级ACL规则。对于不同的协议类型，有不同的参数组合。

• 当IP承载的协议类型为ICMP时，高级访问控制列表的命令格式为：
  rule [ rule-id ] { deny | permit } { protocol-number | icmp } [ destination { destination-address destination-wildcard | any } | icmp-type { icmp-name | icmp-type icmp-code } | source { source-address source-wildcard | any } | logging | time-range time-name | vpn-instance vpn-instance-name | [ dscp dscp | [ tos tos | precedence precedence ] * ] | [ fragment | none-first-fragment ] | vni vni-id ] *

• 当IP承载的协议类型为TCP时，高级访问控制列表的命令格式为：

  rule [ rule-id ] { deny | permit } { protocol-number | tcp } [ destination { destination-address destination-wildcard | any } | destination-port { eq port | gt port | lt port | range port-start port-end | port-set port-set-name } | source { source-address source-wildcard | any } | source-port { eq por