基本ACL

2000～2999

IPv4

报文的源IPv4地址

IPv6

报文的源IPv6地址

高级ACL

3000～3999

IPv4

报文的源IPv4地址、目的IPv4地址、报文优先级、IPv4承载的协议类型及特性等三、四层信息

IPv6

报文的源IPv6地址、目的IPv6地址、报文优先级、IPv6承载的协议类型及特性等三、四层信息

二层ACL

4000～4999

IPv4和IPv6

报文的源MAC地址、目的MAC地址、802.1p优先级、链路层协议类型等二层信息

用户自定义ACL

5000～5999

IPv4和IPv6

以报文头为基准，指定从报文的第几个字节开始与掩码进行“与”操作，并将提取出的字符串与用户定义的字符串进行比较，从而找出相匹配的报文

IPv4基本ACL

(1)    先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)    如果VPN实例的包含情况相同，再比较源IPv4地址范围，较小者优先

(3)    如果源IPv4地址范围也相同，再比较配置的先后次序，先配置者优先

IPv4高级ACL

(1)    先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)    如果VPN实例的包含情况相同，再比较协议范围，指定有IPv4承载的协议类型者优先

(3)    如果协议范围也相同，再比较源IPv4地址范围，较小者优先

(4)    如果源IPv4地址范围也相同，再比较目的IPv4地址范围，较小者优先

(5)    如果目的IPv4地址范围也相同，再比较四层端口（即TCP/UDP端口）号的覆盖范围，较小者优先

(6)    如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先

IPv6基本ACL

(1)    先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)    如果VPN实例的包含情况相同，再比较源IPv6地址范围，较小者优先

(3)    如果源IPv6地址范围也相同，再比较配置的先后次序，先配置者优先

IPv6高级ACL

(1)    先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)    如果VPN实例的包含情况相同，再比较协议范围，指定有IPv6承载的协议类型者优先

(3)    如果协议范围相同，再比较源IPv6地址范围，较小者优先

(4)    如果源IPv6地址范围也相同，再比较目的IPv6地址范围，较小者优先

(5)    如果目的IPv6地址范围也相同，再比较四层端口（即TCP/UDP端口）号的覆盖范围，较小者优先

(6)    如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先

二层ACL

(1)    先比较源MAC地址范围，较小者优先

(2)    如果源MAC地址范围相同，再比较目的MAC地址范围，较小者优先

(3)    如果目的MAC地址范围也相同，再比较配置的先后次序，先配置者优先

配置基本ACL

请根据需要匹配的报文特征选择ACL类型

1.3.1 

配置高级ACL

1.3.2 

配置二层ACL

1.3.3 

配置用户自定义ACL

1.3.4 

复制ACL

可选

1.3.5 

应用ACL进行报文过滤

可选

1.3.6 

进入系统视图

system-view

-

创建IPv4基本ACL，并进入IPv4基本ACL视图

acl basic { acl-number | name acl-name } [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv4基本ACL的编号范围为2000～2999

如果以名称创建IPv4基本ACL，只能使用acl basic name acl-name命令进入其视图

如果以编号创建IPv4基本ACL，只能使用 acl basic acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为0

创建规则

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv4基本ACL内不存在规则

logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

当IPv4基本ACL用于QoS策略的流分类或用于报文过滤功能时：

·       若报文过滤功能应用于出方向，规则不支持配置vpn-instance参数

·       若QoS策略或报文过滤功能应用于出方向：

¡ 对于经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文，IPv4基本ACL规则rule [ rule-id ] { deny | permit } source { source-address source-wildcard | any }仅支持匹配进行三层转发的报文

¡ 对于除IPv4基本ACL规则rule [ rule-id ] { deny | permit } source { source-address source-wildcard | any }之外的其他IPv4基本ACL规则，则可以匹配经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文

在VXLAN组网中，当IPv4 ACL用于QoS策略的流分类或用于报文过滤功能时：

·       在中间节点设备的出方向上，IPv4 ACL仅支持匹配VXLAN报文的外层IP头；

·       在VXLAN隧道接口出方向上，IPv4 ACL仅支持匹配VXLAN报文的内层IP头

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建IPv6基本ACL，并进入IPv6基本ACL视图

acl ipv6 basic { acl-number | name acl-name } [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv6基本ACL的编号范围为2000～2999

如果以名称创建IPv6基本ACL，只能使用acl ipv6 basic name acl-name命令进入其视图

如果以编号创建IPv6基本ACL，只能使用 acl ipv6 basic acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为0

创建规则

rule [ rule-id ] { deny | permit } [ counting | fragment | logging | routing [ type routing-type ] | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv6基本ACL内不存在规则

logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

当IPv6基本ACL用于QoS策略的流分类或用于报文过滤功能时：

·       若报文过滤功能应用于出方向，规则不支持配置vpn-instance、routing参数

·       若QoS策略或报文过滤功能应用于出方向：

¡ 对于经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文，IPv6基本ACL规则rule [ rule-id ] { deny | permit } source { source-address source-prefix | source-address/source-prefix | any }仅支持匹配进行三层转发的报文

¡ 对于除IPv6基本ACL规则rule [ rule-id ] { deny | permit } source { source { source-address source-prefix | source-address/source-prefix | any }之外的其他IPv6基本ACL规则，则可以匹配经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文

·       规则不支持配置fragment参数

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

（可选）开启ACL规则出方向匹配TCP连接建立标识的功能

acl-outbound-enhance enable

缺省情况下，ACL规则出方向匹配TCP连接建立标识的功能处于关闭状态

创建IPv4高级ACL，并进入IPv4高级ACL视图

acl advanced { acl-number | name acl-name } [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv4高级ACL的编号范围为3000～3999

如果以名称创建IPv4高级ACL，只能使用acl advanced name acl-name命令进入其视图

如果以编号创建IPv4高级ACL，只能使用acl advanced acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为0

创建规则

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { dscp dscp | { precedence precedence | tos tos } * } | fragment | icmp-type { icmp-type [ icmp-code ] | icmp-message } | logging | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *

rule [ rule-id ] { deny | permit } { gre-encapsulation | ipinip-encapsulation | vxlan } [ destination { dest-address dest-wildcard | any } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | vxlan-id vxlan-id ] * inner-protocol inner-protocol [ counting | inner-destination { dest-address dest-wildcard | any } | inner-destination-port operator port1 [ port2 ] | inner-established | inner-source { source-address source-wildcard | any } | inner-source-port operator port1 [ port2 ] | logging | time-range time-range-name ] *

缺省情况下，IPv4高级ACL内不存在规则

logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

请根据实际情况配置匹配规则

vxlan 参数表示匹配vxlan报文，包括外层的报文信息和内层的报文信息

当IPv4高级ACL用于QoS策略的流分类或报文过滤功能时：

·       若报文过滤功能应用于出方向，规则不支持配置vpn-instance参数

·       若QoS策略或报文过滤功能应用于出方向：

¡ 对于经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文，IPv4高级ACL规则rule [ rule-id ] { deny | permit } ip仅支持匹配进行三层转发的报文

¡ 对于除IPv4高级ACL规则rule [ rule-id ] { deny | permit } ip之外的其他IPv4高级ACL规则，则可以匹配经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文

·       规则中操作符operator取值不能为neq

在VXLAN组网中，当IPv4 ACL用于QoS策略的流分类或用于报文过滤功能时：

·       在中间节点设备的出方向上，IPv4 ACL仅支持匹配VXLAN报文的外层IP头

·       在VXLAN隧道接口出方向上，IPv4 ACL仅支持匹配VXLAN报文的内层IP头

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建IPv6高级ACL，并进入IPv6高级ACL视图

acl ipv6 advanced { acl-number | name acl-name } [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv6高级ACL的编号范围3000～3999

如果以名称创建IPv6 高级ACL，只能使用acl ipv6 advanced name acl-name命令进入其视图

如果以编号创建IPv6高级ACL，只能使用 acl ipv6 advanced acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为0

创建规则

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | flow-label flow-label-value | fragment | icmp6-type { icmp6-type icmp6-code | icmp6-message } | logging | routing [ type routing-type ] | hop-by-hop [ type hop-type ] | source { source-address source-prefix | source-address/source-prefix | any } | source-port  | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv6高级ACL内不存在规则

logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

当IPv6高级ACL用于QoS策略的流分类或报文过滤功能时：

·       如果报文过滤功能应用于出方向，规则不支持配置vpn-instance、routing、hop-by-hop、flow-label参数

·       若QoS策略或报文过滤功能应用于出方向：

¡ 对于经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文，IPv6高级ACL规则rule [ rule-id ] { deny | permit } ipv6仅支持匹配进行三层转发的报文

¡ 对于除IPv6高级ACL规则rule [ rule-id ] { deny | permit } ipv6之外的其他IPv6高级ACL规则，则可以匹配经过CPU处理后的报文、进行二层转发的报文和进行三层转发的报文

·       规则不支持配置fragment参数

·       规则中操作符operator取值不能为neq

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建二层ACL，并进入二层ACL视图

acl mac { acl-number | name acl-name } [ match-order { auto | config } ]

缺省情况下，不存在ACL

二层ACL的编号范围为4000～4999

如果以名称创建二层ACL，只能使用acl mac name acl-name命令进入其视图

如果以编号创建二层ACL，只能使用 acl mac acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value [ start start-value ]

缺省情况下，规则编号的步长为5，起始值为0

创建规则

rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | { lsap lsap-type lsap-type-mask | type protocol-type protocol-type-mask } | source-mac source-address source-mask | time-range time-range-name ] *

rule [ rule-id ] { deny | permit } vxlan [ counting | dest-mac dest-address dest-mask | inner-dest-mac inner-dest-address inner-dest-mask | inner-source-mac inner-source-address inner-source-mask | inner-type inner-protocol-type inner-protocol-type-mask | source-mac source-address source-mask | time-range time-range-name | type protocol-type protocol-type-mask | vxlan-id vxlan-id ] *

缺省情况下，二层ACL内不存在规则

请根据实际情况配置匹配规则

vxlan 参数表示匹配vxlan报文，包括外层的报文信息和内层的报文信息

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建用户自定义ACL，并进入用户自定义ACL视图

acl user-defined { acl-number | name acl-name }

缺省情况下，不存在ACL

用户自定义ACL的编号范围为5000～5999

如果以名称创建用户自定义ACL，只能使用acl user-defined name acl-name命令进入其视图

如果以编号创建用户自定义ACL，只能使用 acl user-defined acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

创建规则

rule [ rule-id ] { deny | permit } [ { l2 rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

缺省情况下，用户自定义ACL内不存在规则

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

复制并生成一个新的ACL

acl [ ipv6 | mac | user-defined ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

-

进入系统视图

system-view

-

全局应用ACL进行报文过滤

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情况下，全局不对报文进行过滤

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

在接口上应用ACL进行报文过滤

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]

缺省情况下，接口不对报文进行过滤

进入系统视图

system-view

-

在VLAN接口列表上应用ACL进行报文过滤

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } vlan-interface vlan-interface-list { inbound | outbound } [ hardware-count ]

缺省情况下，未配置VLAN接口列表的报文过滤

在同一方向上应用相同ACL配置VLAN接口列表的报文过滤功能时，多次执行本命令会向VLAN接口列表中添加新的VLAN接口：

·       如果初始配置时携带了hardware-count参数，则向VLAN接口列表中添加VLAN接口时，必须携带该参数

·       如果初始配置时未携带hardware-count参数，则向VLAN接口列表中添加VLAN接口时，不能携带该参数

进入系统视图

system-view

-

配置报文过滤日志信息或告警信息的生成与发送周期

acl { logging | trap } interval interval

缺省情况下，报文过滤日志信息或告警信息的生成与发送周期为0分钟，即不记录报文过滤的日志和告警信息

进入系统视图

system-view

-

配置报文过滤的缺省动作为Deny

packet-filter default deny

缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过

显示ACL的配置和运行情况

display acl [ ipv6 | mac | user-defined ] { acl-number | all | name acl-name }

显示ACL在报文过滤中的应用情况（独立运行模式）

display packet-filter { interface [ interface-type interface-number ] [ inbound | outbound ] | { global | interface vlan-interface vlan-interface-number | vlan-interface } [ inbound | outbound ] [ slot slot-number ] }

显示ACL在报文过滤中的应用情况（IRF模式）

display packet-filter { interface [ interface-type interface-number ] [ inbound | outbound ] | { global | interface vlan-interface vlan-interface-number | vlan-interface } [ inbound | outbound ] [ chassis chassis-number slot slot-number ] }

显示ACL在报文过滤中应用的统计信息

display packet-filter statistics { global | interface interface-type interface-number | vlan-interface } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ brief ]

显示ACL在报文过滤中应用的累加统计信息

display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac | user-defined ] { acl-number | name acl-name } [ brief ]

显示ACL在报文过滤中的详细应用情况（独立运行模式）

display packet-filter verbose { global | interface interface-type interface-number | vlan-interface } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ slot slot-number ]

显示ACL在报文过滤中的详细应用情况（IRF模式）

display packet-filter verbose { global | interface interface-type interface-number | vlan-interface } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ chassis chassis-number slot slot-number ]

显示QoS和ACL资源的使用情况（独立运行模式）

display qos-acl resource [ slot slot-number ]

显示QoS和ACL资源的使用情况（IRF模式）

display qos-acl resource [ chassis chassis-number slot slot-number ]

清除ACL的统计信息

reset acl [ ipv6 | mac | user-defined ] counter { acl-number | all | name acl-name }

清除ACL在报文过滤中应用的统计信息、累加统计信息

reset packet-filter statistics { global | interface [ interface-type interface-number ] | vlan-interface } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]