基本ACL

2000～2999

IPv4

报文的源IPv4地址

IPv6

报文的源IPv6地址

高级ACL

3000～3999

IPv4

报文的源IPv4地址、目的IPv4地址、报文优先级、IPv4承载的协议类型及特性等三、四层信息

IPv6

报文的源IPv6地址、目的IPv6地址、报文优先级、IPv6承载的协议类型及特性等三、四层信息

二层ACL

4000～4999

IPv4和IPv6

报文的源MAC地址、目的MAC地址、802.1p优先级、链路层协议类型等二层信息

用户自定义ACL

5000～5999

IPv4和IPv6

以报文头为基准，指定从报文的第几个字节开始与掩码进行“与”操作，并将提取出的字符串与用户定义的字符串进行比较，从而找出相匹配的报文

IPv4基本ACL

(1)     先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)     如果VPN实例的包含情况相同，再比较源IPv4地址范围，较小者优先

(3)     如果源IPv4地址范围也相同，再比较配置的先后次序，先配置者优先

IPv4高级ACL

(1)     先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)     如果VPN实例的包含情况相同，再比较协议范围，指定有IPv4承载的协议类型者优先

(3)     如果协议范围也相同，再比较源IPv4地址范围，较小者优先

(4)     如果源IPv4地址范围也相同，再比较目的IPv4地址范围，较小者优先

(5)     如果目的IPv4地址范围也相同，再比较四层端口（即TCP/UDP端口）号的覆盖范围，较小者优先

(6)     如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先

IPv6基本ACL

(1)     先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)     如果VPN实例的包含情况相同，再比较源IPv6地址范围，较小者优先

(3)     如果源IPv6地址范围也相同，再比较配置的先后次序，先配置者优先

IPv6高级ACL

(1)     先判断规则的匹配条件中是否包含VPN实例，包含者优先

(2)     如果VPN实例的包含情况相同，再比较协议范围，指定有IPv6承载的协议类型者优先

(3)     如果协议范围相同，再比较源IPv6地址范围，较小者优先

(4)     如果源IPv6地址范围也相同，再比较目的IPv6地址范围，较小者优先

(5)     如果目的IPv6地址范围也相同，再比较四层端口（即TCP/UDP端口）号的覆盖范围，较小者优先

(6)     如果四层端口号的覆盖范围无法比较，再比较配置的先后次序，先配置者优先

二层ACL

(1)     先比较源MAC地址范围，较小者优先

(2)     如果源MAC地址范围相同，再比较目的MAC地址范围，较小者优先

(3)     如果目的MAC地址范围也相同，再比较配置的先后次序，先配置者优先

配置基本ACL

请根据需要匹配的报文特征选择ACL类型

1.4.1 

配置高级ACL

1.4.2 

配置二层ACL

1.4.3 

配置用户自定义ACL

1.4.4 

复制ACL

可选

1.4.5 

应用ACL进行报文过滤

可选

1.4.6 

进入系统视图

system-view

-

创建IPv4基本ACL，并进入IPv4基本ACL视图

acl basic { acl-number | name acl-name } [ match-order { auto | config } ]

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv4基本ACL的编号范围为2000～2999

使用ACL编号创建IPv4基本ACL时，设备提供以下两种方法：

·     通过acl number acl-number命令创建

·     通过acl basic acl-number命令创建

如果以名称创建IPv4基本ACL，可以使用acl name acl-name命令或acl basic name acl-name命令进入其视图

acl name acl-name命令仅支持进入已创建的IPv4基本或IPv4高级ACL视图

如果以编号创建IPv4基本ACL，可以使用acl number acl-number命令或acl basic acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value

缺省情况下，规则编号的步长为5

创建规则

rule [ rule-id ] { deny | permit } [ counting | fragment | l [ flow-logging | logging ] | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv4基本ACL内不存在规则

flow-logging与logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

出方向上不支持匹配VPN实例

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建IPv6基本ACL，并进入IPv6基本ACL视图

acl ipv6 basic { acl-number | name acl-name } [ match-order { auto | config } ]

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv6基本ACL的编号范围为2000～2999

使用ACL编号创建IPv6基本ACL时，设备提供以下两种方法：

·     通过acl ipv6 number acl-number命令创建

·     通过acl ipv6 basic acl-number命令创建

如果以名称创建IPv6基本ACL，可以使用acl ipv6 name acl-name命令或acl ipv6 basic name acl-name命令进入其视图

acl ipv6 name acl-name命令仅支持进入已创建的IPv6基本或IPv6高级ACL视图

如果以编号创建IPv6基本ACL，可以使用acl ipv6 number acl-number命令或acl ipv6 basic acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value

缺省情况下，规则编号的步长为5

创建规则

rule [ rule-id ] { deny | permit } [ counting | [ flow-logging | logging ] | routing | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv6基本ACL内不存在规则

flow-logging与logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

匹配了routing参数的ACL规则不支持应用在QoS策略和包过滤的出方向上

出方向上不支持匹配VPN实例

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建IPv4高级ACL，并进入IPv4高级ACL视图

acl advanced { acl-number | name acl-name } [ match-order { auto | config } ]

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv4高级ACL的编号范围为3000～3999

使用ACL编号创建IPV4高级ACL时，设备提供以下两种方法：

·     通过acl number acl-number命令创建

·     通过acl advanced acl-number命令创建

如果以名称创建IPv4高级ACL，可以使用acl name acl-name命令或acl advanced name acl-name命令进入其视图

acl name acl-name命令仅支持进入已创建的IPv4基本或IPv4高级ACL视图

如果以编号创建IPv4高级ACL，可以使用acl number acl-number命令或acl advanced acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value

缺省情况下，规则编号的步长为5

创建规则

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { object-group address-group-name | dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { dscp dscp | { precedence precedence | tos tos } * } | fragment | icmp-type { icmp-type [ icmp-code ] | icmp-message } | [ flow-logging | logging ] | qos-local-id local-id-value | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv4高级ACL内不存在规则

flow-logging与logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

匹配了qos-local-id参数的ACL规则不支持应用在QoS策略和包过滤的出方向上

出方向上不支持匹配VPN实例

VXLAN网络中，在边缘设备入方向上SH系列接口板仅支持匹配VXLAN内层报文信息，其他接口板会优先匹配VXLAN内层报文信息，若内层报文不存在匹配条件的信息，则匹配外层报文信息。在核心设备上仅支持匹配VXLAN外层报文信息

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建IPv6高级ACL，并进入IPv6高级ACL视图

acl ipv6 advanced { acl-number | name acl-name } [ match-order { auto | config } ]

acl ipv6 number acl-number [ name acl-name ] [ match-order { auto | config } ]

缺省情况下，不存在ACL

IPv6高级ACL的编号范围3000～3999

使用ACL编号创建IPv6高级ACL时，设备提供以下两种方法：

·     通过acl ipv6 number acl-number命令创建

·     通过acl ipv6 advanced acl-number命令创建

如果以名称创建IPv6高级ACL，可以使用acl ipv6 name acl-name命令或acl ipv6 advanced name acl-name命令进入其视图

acl ipv6 name acl-name命令仅支持进入已创建的IPv6基本或IPv6高级ACL视图

如果以编号创建IPv6高级ACL，可以使用acl ipv6 number acl-number命令或acl ipv6 advanced acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value

缺省情况下，规则编号的步长为5

创建规则

rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination {  dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | flow-label flow-label-value | icmp6-type { icmp6-type icmp6-code | icmp6-message } | [ flow-logging | logging ] | qos-local-id local-id-value | routing | hop-by-hop [ type hop-type ] | source { source-address source-prefix | source-address/source-prefix | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *

缺省情况下，IPv6高级ACL内不存在规则

flow-logging与logging参数需要使用该ACL的模块支持日志记录功能，例如报文过滤

匹配了qos-local-id、routing、hop-by-hop参数的ACL规则不支持应用在QoS策略和包过滤的出方向上

出方向上不支持匹配VPN实例

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建二层ACL，并进入二层ACL视图

acl mac { acl-number | name acl-name } [ match-order { auto | config } ]

acl number acl-number [ name acl-name ] [ match-order { auto | config } ]

缺省情况下，不存在ACL

二层ACL的编号范围为4000～4999

使用ACL编号创建二层ACL时，设备提供以下两种方法：

·     通过acl number acl-number命令创建

·     通过acl mac acl-number命令创建

如果以名称创建二层ACL，只能使用acl mac name acl-name命令进入其视图

如果以编号创建二层ACL，可以使用acl number acl-number命令或acl mac acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

（可选）配置规则编号的步长

step step-value

缺省情况下，规则编号的步长为5

创建规则

rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | { lsap lsap-type lsap-type-mask | type protocol-type protocol-type-mask } | source-mac source-address source-mask | time-range time-range-name ] *

缺省情况下，二层ACL内不存在规则

VXLAN网络中，在边缘设备入方向上SH系列接口板仅支持匹配VXLAN内层报文信息，其他接口板会优先匹配VXLAN内层报文信息，若内层报文不存在匹配条件的信息，则匹配外层报文信息。在核心设备上仅支持匹配VXLAN外层报文信息

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

创建用户自定义ACL，并进入用户自定义ACL视图

acl user-defined { acl-number | name acl-name }

acl number acl-number [ name acl-name ]

缺省情况下，不存在ACL

用户自定义ACL的编号范围为5000～5999

使用ACL编号创建用户自定义ACL时，设备提供以下两种方法：

·     通过acl number acl-number命令创建

·     通过acl user-defined acl-number命令创建

如果以名称创建用户自定义ACL，只能使用acl user-defined name acl-name命令进入其视图

如果以编号创建用户自定义ACL，可以使用acl user-defined acl-number 命令或acl user-defined acl-number命令进入其视图

两个视图独立，只能通过各自的命令访问各自的视图

（可选）配置ACL的描述信息

description text

缺省情况下，ACL没有描述信息

创建规则

rule [ rule-id ] { deny | permit } [ { l2 rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *

缺省情况下，用户自定义ACL内不存在规则

（可选）为规则配置描述信息

rule rule-id comment text

缺省情况下，规则没有描述信息

进入系统视图

system-view

-

复制并生成一个新的ACL

acl [ ipv6 | mac | user-defined ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }

-

进入系统视图

system-view

-

进入接口视图

interface interface-type interface-number

-

在接口上应用ACL进行报文过滤

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]

缺省情况下，接口不对报文进行过滤

进入系统视图

system-view

-

在全局应用ACL进行报文过滤

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情况下，全局不对报文进行过滤

进入系统视图

system-view

-

创建VLAN接口并进入VLAN接口视图

interface vlan-interface vlan-interface-id

如果该VLAN接口已经存在，则直接进入该VLAN接口视图

缺省情况下，未创建VLAN接口

配置报文过滤的生效范围

packet-filter filter { route | all }

缺省情况下，报文过滤仅对通过VLAN接口进行三层转发的报文生效

进入系统视图

system-view

-

配置报文过滤日志信息或告警信息的生成与发送周期

acl { logging | trap } interval interval

缺省情况下，报文过滤日志信息或告警信息的生成与发送周期为0分钟，即不记录报文过滤的日志

进入系统视图

system-view

-

配置报文过滤的缺省动作为Deny

packet-filter default deny

缺省情况下，报文过滤的缺省动作为Permit，即允许未匹配上ACL规则的报文通过

显示ACL的配置和运行情况

display acl [ ipv6 | mac | user-defined ] { acl-number | all | name acl-name }

显示ACL在报文过滤中的应用情况（独立运行模式）

display packet-filter { global | interface [ interface-type interface-number ] [ inbound | outbound ] | interface vlan-interface vlan-interface-number [ inbound | outbound ] [ slot slot-number ] }

显示ACL在报文过滤中的应用情况（IRF模式）

display packet-filter { global | interface [ interface-type interface-number ] [ inbound | outbound ] | interface vlan-interface vlan-interface-number [ inbound | outbound ] [ chassis chassis-number slot slot-number ] }

显示ACL在报文过滤中应用的统计信息以及报文过滤缺省动作的统计信息

display packet-filter statistics { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ brief ]

显示ACL在报文过滤中应用的累加统计信息

display packet-filter statistics sum { inbound | outbound } [ ipv6 | mac | user-defined ] { acl-number | name acl-name } [ brief ]

显示ACL在报文过滤中的详细应用情况（独立运行模式）

display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6  | mac | user-defined ] { acl-number | name acl-name } ] [ slot slot-number ]

显示ACL在报文过滤中的详细应用情况（IRF模式）

display packet-filter verbose { global | interface interface-type interface-number } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ] [ chassis chassis-number slot slot-number ]

显示QoS和ACL资源的使用情况（独立运行模式）

display qos-acl resource [ slot slot-number ]

显示QoS和ACL资源的使用情况（IRF模式）

display qos-acl resource [ chassis chassis-number slot slot-number ]

清除ACL的统计信息

reset acl [ ipv6 | mac | user-defined ] counter { acl-number | all | name acl-name }

清除ACL在报文过滤中应用的统计信息、累加统计信息以及报文过滤缺省动作的统计信息

reset packet-filter statistics { global | interface [ interface-type interface-number ] } { inbound | outbound } [ [ ipv6 | mac | user-defined ] { acl-number | name acl-name } ]