18-ACL
本章节下载: 18-ACL (250.91 KB)
本帮助主要介绍以下内容:
· 特性简介
○ ACL分类
○ ACL规则编号
ACL(Access Control List,访问控制列表)是一或多条规则的集合,用于识别报文流。这里的规则是指描述报文匹配条件的判断语句,匹配条件可以是报文的源地址、目的地址、端口号等。设备依照这些规则识别出特定的报文,并根据预先设定的策略对其进行处理。
ACL包括下表所列的几种类型,它们的主要区别在于规则制订依据不同:
表-1 ACL的分类
ACL类型 |
规则制定依据 |
|
IPv4 ACL |
基本ACL |
依据报文的源IPv4地址制订规则 |
高级ACL |
依据报文的源/目的IPv4地址、源/目的端口号、优先级、承载的IPv4协议类型等三、四层信息制订规则 |
|
IPv6 ACL |
基本ACL |
依据报文的源IPv6地址制订规则 |
高级ACL |
依据报文的源/目的IPv6地址、源/目的端口号、优先级、承载的IPv6协议类型等三、四层信息制订规则 |
|
二层 ACL |
依据报文的源/目的MAC地址、802.1p优先级、链路层协议类型等二层信息 |
|
自定义ACL |
以报文头为基准,指定从报文的第几个字节开始与掩码进行"与"操作,并将提取出的字符串与用户定义的字符串进行比较,从而找出相匹配的报文 |
一个ACL中可以包含多条规则,设备将报文按照一定顺序与这些规则进行匹配,一旦匹配上某条规则便结束匹配过程。规则匹配顺序有两种:
· 配置顺序:按照规则编号由小到大进行匹配。
· 自动排序:按照“深度优先”原则由深到浅进行匹配,见下表(自定义ACL不支持自动排序):
表-2 各类型ACL的“深度优先”排序法则
ACL类型 |
排序法则 |
|
IPv4 ACL |
基本ACL |
1. 先判断规则的匹配条件中是否包含VPN实例,包含者优先 2. 如果VPN实例的包含情况相同,再比较源IPv4地址范围,较小者优先 3. 如果源IPv4地址范围也相同,再比较配置的先后次序,先配置者优先 |
高级ACL |
1. 先判断规则的匹配条件中是否包含VPN实例,包含者优先 2. 如果VPN实例的包含情况相同,再比较协议范围,指定有IPv4承载的协议类型者优先 3. 如果协议范围相同,再比较源IPv4地址范围,较小者优先 4. 如果源IPv4地址范围也相同,再比较目的IPv4地址范围,较小者优先 5. 如果目的IPv4地址范围也相同,再比较TCP/UDP端口号的覆盖范围,较小者优先 6. 如果TCP/UDP端口号的覆盖范围无法比较,则比较配置的先后次序,先配置者优先 |
|
IPv6 ACL |
基本ACL |
1. 先判断规则的匹配条件中是否包含VPN实例,包含者优先 2. 如果VPN实例的包含情况相同,再比较源IPv6地址的范围,较小者(即前缀较长者)优先 3. 如果源IPv6地址范围相同,再比较配置的先后次序,先配置者优先 |
高级ACL |
1. 先判断规则的匹配条件中是否包含VPN实例,包含者优先 2. 如果VPN实例的包含情况相同,再比较协议范围,指定有IPv6承载的协议类型者优先 3. 如果协议范围相同,再比较源IPv6地址范围,较小者优先 4. 如果源IPv6地址范围也相同,再比较目的IPv6地址范围,较小者优先 5. 如果目的IPv6地址范围也相同,再比较TCP/UDP端口号的覆盖范围,较小者优先 6. 如果TCP/UDP端口号的覆盖范围无法比较,则比较配置的先后次序,先配置者优先 |
|
二层 ACL |
1. 先比较源MAC地址范围,较小者(即掩码中"1"位较多者)优先 2. 如果源MAC地址范围相同,再比较目的MAC地址范围,较小者优先 3. 如果目的MAC地址范围也相同,再比较配置的先后次序,先配置者优先 |
每条规则都有自己的编号,这个编号可由手工指定或由系统自动分配。由于规则编号可能影响规则的匹配顺序,因此当系统自动分配编号时,为方便后续在已有规则之间插入新规则,通常在相邻编号之间留有一定空间,这就是规则编号的步长。系统自动分配编号的方式为:从0开始,按照步长分配一个大于现有最大编号的最小编号。比如原有编号为0、5、9、10和12的五条规则,步长为5,则系统将自动为下一条规则分配编号15。如果步长发生了改变,则原有全部规则的编号都将自动从0开始按新步长重新排列。比如原有编号为0、5、9、10和15的五条规则,当步长变为2后,这些规则的编号将依次变为0、2、4、6和8。
· ACL既可以在本页面创建,也可以在引用ACL的特性页面创建。不论通过哪种方式创建的ACL都只能在本页面进行管理(如修改和删除ACL)。
· 删除或修改ACL可能会对引用该ACL的业务造成影响,请谨慎删除或修改ACL。
· 当ACL的规则匹配顺序为配置顺序时,允许修改该ACL内的任意一条已有规则;当ACL的规则匹配顺序为自动排序时,不允许修改该ACL内的已有规则。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!