高级IPv4 ACL可以使用报文的源IP地址信息、目的IP地址信息、IP承载的协议类型、协议的特性（例如TCP或UDP的源端口、目的端口，ICMP协议的消息类型、消息码等）等信息来制定匹配规则。

高级IPv4 ACL支持对三种报文优先级的分析处理：

l        ToS（Type of Service，服务类型）优先级

l        IP优先级

l        DSCP（Differentiated Services CodePoint，差分服务编码点）优先级

用户可以利用高级IPv4 ACL定义比基本IPv4 ACL更准确、更丰富、更灵活的匹配规则。

高级IPv4 ACL的序号取值范围为3000～3999。

 

 

应用要求

公司企业网通过交换机（以S5500-EI为例）实现各部门之间的互连。要求配置高级IPv4 ACL，禁止研发部门和市场部门在上班时间（8:00至18:00）访问工资查询服务器（IP地址为192.168.4.1），而总裁办公室不受限制，可以随时访问。

 

1 配置过程和解释

(1)    定义工作时间段

# 定义8:00至18:00的周期时间段。

<Switch> system-view

[Switch] time-range trname 8:00 to 18:00 working-day

(2)    定义到工资查询服务器的访问规则

# 定义研发部门到工资查询服务器的访问规则。

[Switch] acl number 3000

[Switch-acl-adv-3000] rule deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0 time-range trname

[Switch-acl-adv-3000] quit

# 定义市场部门到工资查询服务器的访问规则。

[Switch] acl number 3001

[Switch-acl-adv-3001] rule deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0 time-range trname

[Switch-acl-adv-3001] quit

(3)    应用访问规则

# 定义类classifier_rd，对匹配高级IPv4 ACL 3000的报文进行分类。

[Switch] traffic classifier classifier_rd

[Switch-classifier-classifier_rd] if-match acl 3000

[Switch-classifier-classifier_rd] quit

# 定义流行为behavior_rd，动作为拒绝报文通过。

[Switch] traffic behavior behavior_rd

[Switch-behavior-behavior_rd] filter deny

[Switch-behavior-behavior_rd] quit

# 定义类classifier_market，对匹配高级IPv4 ACL 3001的报文进行分类。

[Switch] traffic classifier classifier_market

[Switch-classifier-classifier_market] if-match acl 3001

[Switch-classifier-classifier_market] quit

# 定义流行为behavior_market，动作为拒绝报文通过。

[Switch] traffic behavior behavior_market

[Switch-behavior-behavior_market] filter deny

[Switch-behavior-behavior_market] quit

# 定义策略policy_rd，为类classifier_rd指定流行为behavior_rd。

[Switch] qos policy policy_rd

[Switch-qospolicy-policy_rd] classifier classifier_rd behavior behavior_rd

[Switch-qospolicy-policy_rd] quit

# 定义策略policy_market，为类classifier_market指定流行为behavior_market。

[Switch] qos policy policy_market

[Switch-qospolicy-policy_market] classifier classifier_market behavior behavior_market

[Switch-qospolicy-policy_market] quit

# 将策略policy_rd应用到端口GigabitEthernet 1/0/2。

[Switch] interface GigabitEthernet 1/0/2

[Switch-GigabitEthernet1/0/2] qos apply policy policy_rd inbound

[Switch-GigabitEthernet1/0/2] quit

# 将策略policy_market应用到端口GigabitEthernet 1/0/3。

[Switch] interface GigabitEthernet 1/0/3

[Switch-GigabitEthernet1/0/3] qos apply policy policy_market inbound

1.1.4  完整配置

#

traffic classifier classifier_market operator and

 if-match acl 3001

traffic classifier classifier_rd operator and

 if-match acl 3000

#

traffic behavior behavior_market

 filter deny

traffic behavior behavior_rd

 filter deny

#

qos policy policy_market

 classifier classifier_market behavior behavior_market

qos policy policy_rd

 classifier classifier_rd behavior behavior_rd

#

 time-range trname 08:00 to 18:00 working-day

#

acl number 3000

 rule 0 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.1 0 time-range trname

acl number 3001

 rule 0 deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.1 0 time-range trname

#

interface GigabitEthernet1/0/2

 qos apply policy policy_rd inbound

#

interface GigabitEthernet1/0/3

 qos apply policy policy_market inbound