目  录

第1章 QACL功能介绍

1.1 支持能力

1.1.1 H3C低端交换机支持的ACL/QoS功能列表

1.2 ACL/QoS配置指南

第2章 QACL典型配置举例

2.1 网络环境简介

2.2 基于时间段的ACL+端口带宽限制+流量监管配置举例

2.2.1 组网需求

2.2.2 组网图

2.2.3 配置步骤

2.3 优先级重新标记+队列调度算法+拥塞避免+报文优先级信任配置举例

2.3.1 组网需求

2.3.2 组网图

2.3.3 配置步骤

2.4 流量统计+端口重定向配置举例

2.4.1 组网需求

2.4.2 组网图

2.4.3 配置步骤

2.5 本地流镜像配置举例

2.5.1 组网需求

2.5.2 组网图

2.5.3 配置步骤

2.6 配置注意事项

2.7 引用ACL规则的其它功能

第3章 WEB Cache重定向典型配置举例

3.1 WEB Cache重定向典型配置举例

3.1.1 组网需求

3.1.2 组网图

3.1.3 配置步骤

QACL典型配置举例

关键词：ACL，QoS

摘  要：本文主要介绍以太网交换机的QACL功能在具体组网中的应用配置，根据用户不同的需求，分别介绍基于时间段的ACL、流量监管、优先级重标记、队列调度、流量统计、端口重定向、本地流镜像以及WEB Cache重定向的功能及应用。

缩略语：ACL（Access Control List，访问控制列表）、QoS（Quality of Service，服务质量）

第1章  QACL功能介绍

1.1  支持能力

1.1.1  H3C低端交换机支持的ACL/QoS功能列表

表1-1 H3C低端交换机支持的ACL/QoS功能列表

1.2  ACL/QoS配置指南

表1-2 系统视图下的ACL/QoS配置

表1-3 端口视图下的ACL/QoS配置

第2章  QACL典型配置举例

2.1  网络环境简介

图2-1 网络拓扑图

图2-1为某公司的网络拓扑图，具体环境如下：

l              S3600交换机作为公司的中心交换机，软件版本为Release 1510；

l              公司内部通过服务器Server1访问Internet，Server1通过端口GigabitEthernet1/1/1接入交换机；

l              Server2、Server3、Server4分别为公司内部的数据服务器、邮件服务器、文件服务器，通过端口GigabitEthernet1/1/2接入交换机；

l              Data Detect Server为公司的数据检测设备，通过端口Ethernet1/0/20接入交换机；

l              PC1、PC2、PC3、PC4为公司的客户端，分别通过端口Ethernet1/0/1、Ethernet1/0/2、Ethernet1/0/3、Ethernet1/0/4接入交换机。

2.2  基于时间段的ACL+端口带宽限制+流量监管配置举例

2.2.1  组网需求

公司通过服务器Server1访问Internet，具体需求如下：

l              在工作日的8:30到18:00限制客户端通过HTTP方式访问Internet，在其它时段可以访问，访问Internet的最大流量为100M；

l              限制PC 1发出IP优先级为7的报文的速率为20M，将速率超过20M的此类报文的DSCP优先级修改为ef；

l              限制PC 2发出的CoS优先级为5的报文的速率为10M，将速率超过10M的此类报文丢弃。

2.2.2  组网图

图2-2 配置基于时间段的ACL+端口带宽限制+流量监管组网图

2.2.3  配置步骤

# 配置工作日时间段。

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] time-range a001 8:30 to 18:00 working-day

# 配置非工作日时间段。

[H3C] time-range a002 00:00 to 8:30 working-day

[H3C] time-range a002 18:00 to 24:00 working-day

[H3C] time-range a002 00:00 to 24:00 off-day

# 定义ACL 3010，禁止客户端在工作日时间段内通过HTTP方式访问Internet；对在非工作时间段内PC 1访问Internet的IP优先级为7的报文进行分类标识。

[H3C] acl number 3010

[H3C-acl-adv-3010] rule 0 deny tcp destination 10.0.0.1 0 destination-port eq 80 time-range a001

[H3C-acl-adv-3010] rule 1 permit ip source 10.0.0.10 0 precedence 7 time-range a002

[H3C-acl-adv-3010] quit

# 定义ACL 4010，对在非工作时间段内PC 2访问Internet的CoS优先级为5的报文进行分类标识。

[H3C] acl number 4010

[H3C-acl-ethernetframe-4010] rule 0 permit cos 5 source 0012-0990-2241 ffff-ffff-ffff time-range a002

[H3C-acl-ethernetframe-4010] quit

# 在连接Server1的端口GigabitEthernet1/1/1上应用ACL 3010的rule 0规则，并且限制客户端访问Internet的最大流量为100M。

[H3C] interface GigabitEthernet 1/1/1

[H3C-GigabitEthernet1/1/1] packet-filter outbound ip-group 3010 rule 0

[H3C-GigabitEthernet1/1/1] line-rate outbound 102400

[H3C-GigabitEthernet1/1/1] quit

# 在连接PC 1的端口Ethernet1/0/1上对ACL 3010的rule 1标识的报文进行流量监管，限制流量为20M，并将超出流量的报文的DSCP优先级修改为ef。

[H3C] interface Ethernet 1/0/1

[H3C-Ethernet1/0/1] traffic-limit inbound ip-group 3010 rule 1 20480 exceed remark-dscp ef

[H3C-Ethernet1/0/1] quit

# 在连接PC 2的端口Ethernet1/0/2上对ACL 4010的rule 0标识的报文进行流量监管，限制流量为10M，并将超出流量的报文丢弃。

[H3C] interface Ethernet 1/0/2

[H3C-Ethernet1/0/2] traffic-limit inbound link-group 4010 rule 0 10240 exceed drop

需要注意的是，在使用traffic-limit命令对报文进行流量监管时，仅对ACL中动作为permit的规则有效。

2.3  优先级重新标记+队列调度算法+拥塞避免+报文优先级信任配置举例

2.3.1  组网需求

Server2、Server3、Server4分别为公司内部的数据服务器、邮件服务器、文件服务器，具体需求如下：

l              要求交换机优先处理访问数据服务器的报文，其次处理访问邮件服务器的报文，最后处理访问文件服务器的报文；

l              配置端口GigabitEthernet1/1/2采用WRR队列优先级算法，各出队列的权重分别为1:1:1:5:1:10:1:15；

l              配置端口GigabitEthernet1/1/2上索引值为4的队列使用WRED，当该队列的长度超过64个报文时，对后续报文进行随机丢弃，丢弃概率为20%；

l              配置端口Ethernet1/0/3信任报文自己的优先级，不使用端口的优先级替换报文的优先级。

2.3.2  组网图

图2-3 配置优先级重新标记+队列调度算法+拥塞避免+报文优先级信任组网图

2.3.3  配置步骤

# 定义ACL 3020，根据不同的目的IP地址对报文进行分类标识。

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] acl number 3020

[H3C-acl-adv-3020] rule 0 permit ip destination 10.0.0.2 0

[H3C-acl-adv-3020] rule 1 permit ip destination 10.0.0.3 0

[H3C-acl-adv-3020] rule 2 permit ip destination 10.0.0.4 0

[H3C-acl-adv-3020] quit

# 在端口GigabitEthernet1/1/2上对匹配ACL 3020内规则的报文进行优先级重标记。

[H3C] interface GigabitEthernet 1/1/2

[H3C-GigabitEthernet1/1/2] traffic-priority outbound ip-group 3020 rule 0 local-precedence 7

[H3C-GigabitEthernet1/1/2] traffic-priority outbound ip-group 3020 rule 1 local-precedence 5

[H3C-GigabitEthernet1/1/2] traffic-priority outbound ip-group 3020 rule 2 local-precedence 3

# 在端口GigabitEthernet1/1/2上配置WRR队列调度算法，出队列权重为1:1:1:5:1:10:1:15。

[H3C-GigabitEthernet1/1/2] queue-scheduler wrr 1 1 1 5 1 10 1 15

# 为端口GigabitEthernet1/1/2上索引值为4的队列配置WRED，当该队列的长度超过64个报文时，对后续报文进行随机丢弃，丢弃概率为20%。

[H3C-GigabitEthernet1/1/2] wred 4 64 20

[H3C-GigabitEthernet1/1/2] quit

# 在连接PC 3的端口Ethernet1/0/3上配置该端口信任报文自己带有的802.1p优先级。

[H3C] interface Ethernet 1/0/3

[H3C-Ethernet1/0/3] priority trust

需要注意的是，在使用traffic-priority命令对报文进行优先级重标记时，仅对ACL中动作为permit的规则有效。

2.4  流量统计+端口重定向配置举例

2.4.1  组网需求

Data Detect Server为数据检测设备，通过端口Ethernet1/0/20接入交换机，具体需求如下：

l              统计在非工作日时间段内通过端口Ethernet1/0/1的以HTTP方式访问Internet的流量；

l              将工作日时间段内通过端口Ethernet1/0/1的以HTTP方式访问Internet的流量全部重定向到端口Ethernet1/0/20。

2.4.2  组网图

图2-4 配置流量统计+端口重定向组网图

2.4.3  配置步骤

# 配置工作日时间段。

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] time-range a001 8:30 to 18:00 working-day

# 配置非工作日时间段。

[H3C] time-range a002 00:00 to 8:30 working-day

[H3C] time-range a002 18:00 to 24:00 working-day

[H3C] time-range a002 00:00 to 24:00 off-day

# 定义ACL 3030，根据不同的时间段对通过HTTP方式访问Internet的报文进行分类。

[H3C] acl number 3030

[H3C-acl-adv-3030] rule 0 permit tcp destination 10.0.0.1 0 destination-port eq 80 time-range a001

[H3C-acl-adv-3030] rule 1 permit tcp destination 10.0.0.1 0 destination-port eq 80 time-range a002

# 在端口Ethernet1/0/1上配置流量重定向，将工作时间段内通过HTTP方式访问Internet的流量全部重定向到端口Ethernet1/0/20。

[H3C] interface Ethernet 1/0/1

[H3C-Ethernet1/0/1] traffic-redirect inbound ip 3030 rule 0 interface Ethernet 1/0/20

# 在端口Ethernet1/0/1上对非工作时间段内通过HTTP方式访问Internet的流量进行统计。

[H3C-Ethernet1/0/1] traffic-statistic inbound ip-group 3030 rule 1

需要注意的是，在使用traffic-redirect和traffic-statistic命令进行流量重定向和流量统计时，仅对ACL中动作为permit的规则有效。

2.5  本地流镜像配置举例

2.5.1  组网需求

Data Detect Server为数据检测设备，通过端口Ethernet1/0/20接入交换机，要求将工作日时间段内通过端口Ethernet1/0/1与Ethernet1/0/2的以HTTP方式访问Internet的报文全部镜像到端口Ethernet1/0/20，然后使用数据检测设备分析这些报文。

2.5.2  组网图

图2-5 配置流镜像组网图

2.5.3  配置步骤

# 配置工作日时间段。

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] time-range a001 8:30 to 18:00 working-day

# 定义ACL 3030，对工作日时间段内通过HTTP方式访问Internet的报文进行分类。

[H3C] acl number 3030

[H3C-acl-adv-3030] rule 0 permit tcp destination 10.0.0.1 0 destination-port eq 80 time-range a001

[H3C-acl-adv-3030] quit

# 将端口Ethernet1/0/20配置为镜像目的端口。

[H3C] interface Ethernet 1/0/20

[H3C-Ethernet1/0/20] monitor-port

[H3C-Ethernet1/0/20] quit

# 在端口Ethernet1/0/1和Ethernet1/0/2上配置流镜像，通过ACL 3010进行流识别，将匹配该ACL的报文镜像到目的端口Ethernet1/0/20。

[H3C] interface Ethernet 1/0/1

[H3C-Ethernet1/0/1] mirrored-to inbound ip-group 3010 rule 0 monitor-interface

[H3C-Ethernet1/0/1] quit

[H3C] interface Ethernet 1/0/2

[H3C-Ethernet1/0/2] mirrored-to inbound ip-group 3010 rule 0 monitor-interface

需要注意的是，在使用mirrored-to命令进行流镜像时，仅对ACL中动作为permit的规则有效。

2.6  配置注意事项

配置中请注意如下事项：

(1)        在端口上下发ACL规则时，此时一条ACL中多个规则的匹配顺序是由交换机的硬件决定的，S3600系列以太网交换机的匹配顺序为先下发后生效。用户即使在定义ACL时配置了匹配顺序，该匹配顺序也不起作用。

(2)        每个端口支持8个出队列，队列7到队列0优先级依次降低。当端口采用SP+WRR队列调度算法时，设备会按照严格优先级优先调度权值为0的队列，当队列中没有报文发送时，才会对剩余的队列进行WRR调度；当端口采用SP+WFQ队列调度算法时，设备会按照严格优先级优先调度带宽为0的队列，当队列中没有报文发送时，才会对剩余的队列进行WFQ调度。

(3)        设备上可以配置多个镜像源端口，但只能配置一个镜像目的端口。建议镜像目的端口只用于转发镜像流量，不要作为业务端口使用，否则可能会影响正常业务。

(4)        如下命令只能匹配动作为permit的ACL规则：traffic-limit，traffic-priority、traffic-redirect、mirrored-to。

(5)        对于高级ACL中TCP/UDP端口号的匹配：只支持配置操作符为eq。

(6)        对于二层ACL，不支持配置format-type（包括802.3/802.2、802.3、ether_ii、snap）参数。

(7)        重定向的报文无论出端口是否tagged，报文都会带上tag。

(8)        配置用户自定义ACL时，偏移量长度的设置需要考虑如下情况：

l              如果没有开启VLAN-VPN功能，交换机内部处理的报文都带有1层VLAN tag，1层VLAN tag占4个字节。

l              如果某一端口上开启了VLAN-VPN功能，交换机内部处理的报文都带有2层VLAN tag，2层VLAN tag占8个字节。

常用协议类型号以及偏移量如下表所示。

表2-1 常用协议类型号以及偏移量

2.7  引用ACL规则的其它功能

其它引用ACL规则的功能包括：

l              Telnet/SNMP/WEB登录用户控制，其中Telnet用户可引用ACL 2000～4999，SNMP/WEB用户可引用的ACL 2000～2999；

l              路由策略匹配规则中引用ACL，可以引用ACL 2000～3999；

l              路由信息过滤中引用ACL，可以引用ACL 2000～3999；

l              显示匹配ACL规则的路由表项，可以引用ACL 2000～3999；

l              显示匹配ACL规则的FIB表项，可以引用ACL 2000～3999；

l              TFTP客户端连接TFTP服务器引用ACL规则，可以引用ACL 2000～3999。

引用系统ACL规则的功能包括：

l              802.1x功能 (全局及端口使能后802.1x下发ACL规则)；

l              集群功能 (缺省使能，在所有端口下发ACL规则)，其中ACL 3998与3999是系统为集群管理预留的编号，用户无法配置；

l              DHCP Snooping (使能后在所有端口下发ACL规则)；

l              端口隔离 (配置且存在虚接口时下发ACL规则)；

l              MAC + IP端口绑定 (在端口上配置绑定策略后下发ACL规则)；

l              灵活QinQ (在端口配置灵活QinQ后，根据用户配置的范围下发ACL规则)；

l              Voice VLAN (在端口使能Voice VLAN并存在OUIMAC时添加ACL规则)。

第3章  WEB Cache重定向典型配置举例

3.1  WEB Cache重定向典型配置举例

3.1.1  组网需求

某公司的网络拓扑如图3-1所示，具体环境如下：

l              S3600交换机作为公司的中心交换机，软件版本为Release 1510；

l              市场部门通过端口Ethernet1/0/1接入交换机，属于VLAN 10，网段为192.168.1.1/24；

l              研发部门通过端口Ethernet1/0/2接入交换机，属于VLAN 20，网段为192.168.2.1/24；

l              管理部门通过端口Ethernet1/0/3接入交换机，属于VLAN 30，网段为192.168.3.1/24；

l              WEB Cache Server通过端口Ethernet1/0/4接入交换机，属于VLAN 40，网段为192.168.4.1/24。WEB Cache Server的IP地址为192.168.4.2，MAC地址为0012-0990-2250。

要求启动交换机的WEB Cache重定向功能，将市场部门、研发部门和管理部门的HTTP报文全部重定向到WEB Cache Server，减少广域网连接链路的压力，同时提高获取因特网信息的速度。

3.1.2  组网图

图3-1 配置WEB Cache重定向组网图

3.1.3  配置步骤

# 创建市场部门所属的VLAN 10，配置VLAN 10接口的IP地址为192.168.1.1。

<H3C> system-view

System View: return to User View with Ctrl+Z.

[H3C] vlan 10

[H3C-vlan10] port Ethernet 1/0/1

[H3C-vlan10] quit

[H3C] interface Vlan-interface 10

[H3C-Vlan-interface10] ip address 192.168.1.1 24

[H3C-Vlan-interface10] quit

# 创建研发部门所属的VLAN 20，配置VLAN 20接口的IP地址为192.168.2.1。

[H3C] vlan 20

[H3C-vlan20] port Ethernet 1/0/2

[H3C-vlan20] quit

[H3C] interface Vlan-interface 20

[H3C-Vlan-interface20] ip address 192.168.2.1 24

[H3C-Vlan-interface20] quit

# 创建管理部门所属的VLAN 30，配置VLAN 30接口的IP地址为192.168.3.1。

[H3C] vlan 30

[H3C-vlan30] port Ethernet 1/0/3

[H3C-vlan30] quit

[H3C] interface Vlan-interface 30

[H3C-Vlan-interface30] ip address 192.168.3.1 24

[H3C-Vlan-interface30] quit

# 创建WEB Cache Server所属的VLAN 40，配置VLAN 40接口的IP地址为192.168.4.1。

[H3C] vlan 40

[H3C-vlan40] port Ethernet 1/0/4

[H3C-vlan30] quit

[H3C] interface Vlan-interface 40

[H3C-Vlan-interface40] ip address 192.168.4.1 24

[H3C-Vlan-interface40] quit

# 配置WEB Cache重定向功能，将VLAN 10、VLAN 20和VLAN 30接收到的HTTP报文全部重定向到WEB Cache Server。

[H3C] webcache address 192.168.4.2 mac 0012-0990-2250 vlan 40 port Ethernet 1/0/4

[H3C] webcache redirect-vlan 10

[H3C] webcache redirect-vlan 20

[H3C] webcache redirect-vlan 30

需要注意的是，本例中WEB Cache Server所属的VLAN 40的接口和参与WEB Cache重定向的VLAN 10、VLAN 20和VLAN 30的接口必须处于UP状态，否则WEB Cache重定向功能不会生效。