- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-ACL命令
本章节下载： 01-ACL命令 (420.13 KB)
目 录
1.1.5 qos-acl resource share-mode
1.1.7 rule (IPv4 advanced ACL view)
1.1.8 rule (IPv4 basic ACL view)
1.1.9 rule (IPv6 advanced ACL view)
1.1.10 rule (IPv6 basic ACL view)
1.1.11 rule (Layer 2 ACL view)
acl命令用来创建ACL，并进入ACL视图。如果指定的ACL已存在，则直接进入ACL视图。
undo acl命令用来删除指定或全部ACL。
【命令】
命令形式一
acl [ ipv6 ] number acl-number [ name acl-name ] [ match-order { auto | config } ]
undo acl [ ipv6 ] number acl-number
命令形式二
acl [ ipv6 ] { advanced | basic } { acl-number | name acl-name } [ match-order { auto | config } ]
acl mac { acl-number | name acl-name } [ match-order { auto | config } ]
acl user-defined { acl-number | name acl-name }
undo acl [ ipv6 ] { all | { advanced | basic } { acl-number | name acl-name } }
undo acl mac { all | acl-number | name acl-name }
undo acl user-defined { all | acl-number | name acl-name }
【缺省情况】
不存在ACL。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ipv6：指定ACL类型为IPv6 ACL。如果未指定本参数，则表示IPv4 ACL。
basic：指定创建基本ACL。
advanced：指定创建高级ACL。
mac：指定创建二层ACL。
user-defined：指定创建用户自定义ACL。
number acl-number：指定ACL的编号。
acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：
· 2000～2999：表示基本ACL。
· 3000～3999：表示高级ACL。
· 4000～4999：表示二层ACL。
· 5000～5999：表示用户自定义ACL。
name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。
match-order { auto | config }：指定规则的匹配顺序，auto表示按照自动排序（即“深度优先”原则）的顺序进行规则匹配，config表示按照配置顺序进行规则匹配。缺省情况下，规则的匹配顺序为配置顺序。用户自定义ACL不支持本参数，其规则匹配顺序只能为配置顺序。
all：指定类型中全部ACL。
【使用指导】
通过编号创建的ACL，可以通过如下命令进入其视图：
· acl [ ipv6 ] number acl-number；
· acl { [ ipv6 ] { advanced | basic } | mac | user-defined } acl-number。
通过acl [ ipv6 ] number acl-number name acl-name命令指定名称创建的ACL，可以使用如下命令进入其视图：
· acl [ ipv6 ] number acl-number [ name acl-name ]；
· acl { [ ipv6 ] { advanced | basic } | mac | user-defined } acl-number；
· acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name。
通过acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name命令指定名称创建的ACL，只能通过acl { [ ipv6 ] { advanced | basic } | mac | user-defined } name acl-name命令进入其视图。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
当ACL内不存在任何规则时，用户可以使用本命令对该ACL的规则匹配顺序进行修改，否则不允许进行修改。
【举例】
# 创建一个编号为2000的IPv4基本ACL，并进入其视图。
[Sysname] acl basic 2000
[Sysname-acl-ipv4-basic-2000]
# 创建一个IPv4基本ACL，指定其名称为flow，并进入其视图。
<Sysname> system-view
[Sysname] acl basic name flow
[Sysname-acl-ipv4-basic-flow]
# 创建一个编号为3000的IPv4高级ACL，并进入其视图。
<Sysname> system-view
[Sysname] acl advanced 3000
[Sysname-acl-ipv4-adv-3000]
# 创建一个编号为2000的IPv6基本ACL，并进入其视图。
<Sysname> system-view
[Sysname] acl ipv6 basic 2000
[Sysname-acl-ipv6-basic-2000]
# 创建一个IPv6基本ACL，其名称为flow，并进入其视图。
<Sysname> system-view
[Sysname] acl ipv6 basic name flow
[Sysname-acl-ipv6-basic-flow]
# 创建一个IPv6高级ACL，其名称为abc，并进入其视图。
<Sysname> system-view
[Sysname] acl ipv6 advanced name abc
[Sysname-acl-ipv6-adv-abc]
# 创建一个编号为4000的二层ACL，并进入其视图。
<Sysname> system-view
[Sysname] acl mac 4000
[Sysname-acl-mac-4000]
# 创建一个二层ACL，其名称为flow，并进入其视图。
<Sysname> system-view
[Sysname] acl mac name flow
[Sysname-acl-mac-flow]
# 创建一个编号为5000的用户自定义ACL，并进入其视图。
<Sysname> system-view
[Sysname] acl user-defined 5000
[Sysname-acl-user-5000]
# 创建一个用户自定义ACL，其名称为flow，并进入其视图。
<Sysname> system-view
[Sysname] acl user-defined name flow
[Sysname-acl-user-flow]
【相关命令】
· display acl
acl copy命令用来复制并生成一个新的ACL。
【命令】
acl [ ipv6 | mac | user-defined ] copy { source-acl-number | name source-acl-name } to { dest-acl-number | name dest-acl-name }
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
ipv6：指定ACL类型为IPv6 ACL。
mac：指定ACL类型为二层ACL。
user-defined：指定ACL类型为用户自定义ACL。
source-acl-number：指定源ACL的编号，该ACL必须存在。本参数的取值范围及其代表的ACL类型如下：
· 2000～2999：表示基本ACL。
· 3000～3999：表示高级ACL。
· 4000～4999：表示二层ACL。
· 5000～5999：表示用户自定义ACL。
name source-acl-name：指定源ACL的名称，该ACL必须存在。source-acl-name为1～63个字符的字符串，不区分大小写。
dest-acl-number：指定目的ACL的编号，该ACL必须不存在。本参数的取值范围及其代表的ACL类型如下：
· 2000～2999：表示基本ACL。
· 3000～3999：表示高级ACL。
· 4000～4999：表示二层ACL。
· 5000～5999：表示用户自定义ACL。
name dest-acl-name：指定目的ACL的名称，该ACL必须不存在。dest-acl-name为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。
【使用指导】
目的ACL的类型要与源ACL的类型相同。
除了ACL的编号或名称不同外，新生成的ACL（即目的ACL）的匹配顺序、规则匹配软件统计功能的开启情况、规则编号的步长、所包含的规则、规则的描述信息以及ACL的描述信息等都与源ACL的相同。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
【举例】
# 通过复制已存在的IPv4基本ACL 2001，来生成一个新的编号为2002的同类型ACL。
<Sysname> system-view
[Sysname] acl copy 2001 to 2002
# 通过复制已存在的IPv4基本ACL test，来生成名为paste的同类型ACL。
<Sysname> system-view
[Sysname] acl copy name test to name paste
description命令用来配置ACL的描述信息。
undo description命令用来删除ACL的描述信息。
【命令】
description text
undo description
【缺省情况】
ACL没有任何描述信息。
【视图】
IPv4基本ACL视图/IPv4高级ACL视图
IPv6基本ACL视图/IPv6高级ACL视图
二层ACL视图
用户自定义ACL视图
【缺省用户角色】
network-admin
【参数】
text：表示ACL的描述信息，为1～127个字符的字符串，区分大小写。
【举例】
<Sysname> system-view
[Sysname] acl basic 2000
[Sysname-acl-ipv4-basic-2000] description This is an IPv4 basic ACL.
【相关命令】
· display acl
display acl命令用来显示ACL的配置和运行情况。
【命令】
display acl [ ipv6 | mac | user-defined ] { acl-number | all | name acl-name }
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
ipv6：指定ACL类型为IPv6 ACL。
mac：指定ACL类型为二层ACL。
user-defined：指定ACL类型为用户自定义ACL。
acl-number：显示指定编号的ACL的配置和运行情况。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：
· 2000～2999：表示基本ACL。
· 3000～3999：表示高级ACL。
· 4000～4999：表示二层ACL。
· 5000～5999：表示用户自定义ACL。
all：显示指定类型中全部ACL的配置和运行情况。
name acl-name：显示指定名称的ACL的配置和运行情况。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。
【使用指导】
本命令将按照实际匹配顺序来排列ACL内的规则，即：当ACL的规则匹配顺序为配置顺序时，各规则将按照编号由小到大排列；当ACL的规则匹配顺序为自动排序时，各规则将按照“深度优先”原则由深到浅排列。
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
【举例】
# 显示IPv4基本ACL 2001的配置和运行情况。
<Sysname> display acl 2001
Basic IPv4 ACL 2001 named test, 2 rules, match-order is auto,
This is an IPv4 basic ACL.
ACL's step is 5, start ID is 0
rule 5 permit source 1.1.1.1 0
rule 5 comment This rule is used on HundredGigE1/0/1.
rule 10 deny source 10.0.0.101 0 counting time-range a3 (Active)
# 显示IPv4高级ACL 3001的配置和运行情况。
<Sysname> display acl 3001
Advanced IPv4 ACL 3001, 2 rules
ACL's step is 5, start ID is 0
rule 0 permit tcp
rule 5 permit ip source 10.0.0.100 0 (2854 times matched)
表1-1 display acl命令显示信息描述表
|
字段 |
描述 |
|
Basic IPv4 ACL 2001 named test |
该ACL的类型、编号和名称 |
|
2 rules |
该ACL内包含的规则数量 |
|
match-order is auto |
该ACL的规则匹配顺序为自动排序（匹配顺序为配置顺序时不显示本字段） |
|
This is an IPv4 basic ACL. |
该ACL的描述信息 |
|
ACL's step is 5 |
该ACL的规则编号的步长值为5 |
|
start ID is 0 |
该ACL的规则编号的起始值为0 |
|
rule 5 permit source 1.1.1.1 0 |
规则5的具体内容，源地址为具体地址 |
|
rule 5 comment This rule is used on HundredGigE1/0/1. |
规则5的描述信息 |
|
Active |
引用时间段的规则处于生效状态 |
|
Inactive |
引用时间段的规则处于未生效状态 |
|
2854 times matched |
该规则的匹配次数 |
qos-acl resource share-mode命令用来配置QoS和ACL资源的共享模式。
undo qos-acl resource share-mode命令用来恢复缺省情况。
【命令】
qos-acl resource share-mode inbound share-mode
undo qos-acl resource share-mode inbound
【缺省情况】
未配置任何QoS和ACL资源的共享模式。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
inbound：配置入方向QoS和ACL资源的共享模式。
share-mode：QoS和ACL资源的共享模式。取值为preemtion：此模式下，在同一接口入方向上可同时应用共享模式的QoS策略和报文过滤。
【使用指导】
共享模式（即在应用QoS策略或报文过滤时指定share-mode关键字）指的是在同一设备的多个接口同一方向上应用同一个QoS策略或报文过滤时，所有应用将共享一份QoS和ACL资源。而非共享模式时，每个位置的应用都会独占一份QoS和ACL资源。所以共享模式能极大的节省QoS和ACL资源。
在未配置本命令中的任何QoS和ACL资源共享模式的情况下：
· 接口相同方向上仅支持以共享模式应用一个QoS策略。
· 如果已经以共享模式应用了一个QoS策略，则此位置上将不能再以共享模式应用ACL进行报文过滤，反之亦然。
· 不支持在聚合接口上应用ACL进行报文过滤。
有关QoS策略及其共享模式的详细介绍，请参见“ACL和QoS命令参考”中的“QoS”。
preemtion模式仅对执行qos-acl resource share-mode命令后新应用的QoS策略生效，如果希望对执行命令前已经应用的QoS策略也生效，请选择如下方式之一操作：
· 执行save命令保存当前配置，然后重启设备。
· 执行本命令前，取消已应用的QoS策略，并在执行本命令后重新应用。
【举例】
# 配置QoS和ACL资源的共享模式为preemtion。
<Sysname> system-view
[Sysname] qos-acl resource share-mode inbound preemption
reset acl counter命令用来清除ACL的统计信息。
【命令】
reset acl [ ipv6 | mac | user-defined ] counter { acl-number | all | name acl-name }
【视图】
用户视图
【缺省用户角色】
network-admin
【参数】
ipv6：指定ACL类型为IPv6 ACL。
mac：指定ACL类型为二层ACL。
user-defined：指定ACL类型为用户自定义ACL。
acl-number：清除指定编号ACL的统计信息。acl-number表示ACL的编号，取值范围及其代表的ACL类型如下：
· 2000～2999：表示基本ACL。
· 3000～3999：表示高级ACL。
· 4000～4999：表示二层ACL。
· 5000～5999：表示用户自定义ACL。
all：清除指定类型中全部ACL的统计信息。
name acl-name：清除指定名称ACL的统计信息。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。
【使用指导】
对于基本或高级ACL，如果未指定ipv6参数，则表示IPv4 ACL。
【举例】
# 清除IPv4基本ACL 2001的统计信息。
<Sysname> reset acl counter 2001
【相关命令】
· display acl
rule命令用来为IPv4高级ACL创建一条规则。
undo rule命令用来为IPv4高级ACL删除一条规则或删除规则中的部分内容。
【命令】
rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { { precedence precedence | tos tos } * | { precedence precedence | ecn ecn } * | { dscp dscp | ecn ecn } * } [ fragment ] | icmp-type { icmp-type [ icmp-code ] | icmp-message } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *
rule [ rule-id ] { deny | permit } vxlan [ destination { dest-address dest-wildcard | any } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | vxlan-id vxlan-id ] * inner-protocol inner-protocol [ counting | inner-destination { dest-address dest-wildcard | any } | inner-destination-port operator port1 [ port2 ] | { { inner-ack inner-ack-value | inner-fin inner-fin-value | inner-psh inner-psh-value | inner-rst inner-rst-value | inner-syn inner-syn-value | inner-urg inner-urg-value } * | inner-established } | inner-source { source-address source-wildcard | any } | inner-source-port operator port1 [ port2 ] | time-range time-range-name ] *
undo rule rule-id [ { { ack | fin | psh | rst | syn | urg } * | established } | counting | destination | destination-port | { { precedence | tos } * | { precedence | ecn } * | { dscp | ecn } * } | fragment | icmp-type | source | source-port | time-range | vpn-instance ] *
undo rule { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-wildcard | any } | destination-port operator port1 [ port2 ] | { { precedence | tos } * | { precedence | ecn } * | { dscp dscp | ecn } * } | [ fragment ] | icmp-type { icmp-type [ icmp-code ] | icmp-message } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *
undo rule { deny | permit } vxlan [ destination { dest-address dest-wildcard | any } | source { source-address source-wildcard | any } | source-port operator port1 [ port2 ] | vxlan-id vxlan-id ] * inner-protocol inner-protocol [ counting | inner-destination { dest-address dest-wildcard | any } | inner-destination-port operator port1 [ port2 ] | { { inner-ack inner-ack-value | inner-fin inner-fin-value | inner-psh inner-psh-value | inner-rst inner-rst-value | inner-syn inner-syn-value | inner-urg inner-urg-value } * | inner-established } | inner-source { source-address source-wildcard | any } | inner-source-port operator port1 [ port2 ] | time-range time-range-name ] *
【缺省情况】
IPv4高级ACL内不存在任何规则。
【视图】
IPv4高级ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定IPv4高级ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
protocol：表示IPv4承载的协议类型，可输入的形式如下：
· 数字：取值范围为0～255；
· 名称（括号内为对应的数字）：可选取gre（47）、icmp（1）、igmp（2）、ip、ipinip（4）、ospf（89）、tcp（6）或udp（17）。ip表示所有协议类型。
protocol之后可配置如表1-2所示的规则信息参数。
|
参数 |
类别 |
作用 |
说明 |
|
source { source-address source-wildcard | any } |
源地址信息 |
指定ACL规则的源地址信息 |
source-address：源IP地址 source-wildcard：源IP地址的通配符掩码（为0表示主机地址） any：任意源IP地址 |
|
destination { dest-address dest-wildcard | any } |
目的地址信息 |
指定ACL规则的目的地址信息 |
dest-address：目的IP地址 dest-wildcard：目的IP地址的通配符掩码（为0表示主机地址） any：任意目的IP地址 |
|
counting |
统计 |
开启规则匹配软件统计功能，缺省为关闭 |
本参数用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能 |
|
precedence precedence |
报文优先级 |
指定IP优先级 |
precedence用数字表示时，取值范围为0～7；用字符表示时，分别对应routine、priority、immediate、flash、flash-override、critical、internet、network |
|
tos tos |
报文优先级 |
指定ToS优先级 |
tos用数字表示时，取值范围为0～15；用字符表示时，可以选取max-reliability（2）、max-throughput（4）、min-delay（8）、min-monetary-cost（1）、normal（0） |
|
ecn ecn |
ECN通知信息 |
指定ECN标志 |
ecn取值范围为0～3，对应IP报文头部DS域的最后两个比特为00～11 有关ECN的介绍，请参见“ACL和QoS配置指导”中的“QoS” |
|
dscp dscp |
报文优先级 |
指定DSCP优先级 |
dscp用数字表示时，取值范围为0～63；用文符表示时，可以选取af11（10）、af12（12）、af13（14）、af21（18）、af22（20）、af23（22）、af31（26）、af32（28）、af33（30）、af41（34）、af42（36）、af43（38）、cs1（8）、cs2（16）、cs3（24）、cs4（32）、cs5（40）、cs6（48）、cs7（56）、default（0）、ef（46） |
|
fragment |
分片信息 |
仅对分片报文的非首个分片有效，而对非分片报文和分片报文的首个分片无效 |
若未指定该参数，则表示该规则对所有报文（包括非分片报文和分片报文的每个分片）均有效 仅S9855系列交换机支持该参数 |
|
time-range time-range-name |
时间段 |
指定本规则生效的时间段 |
time-range-name：时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段” |
|
vpn-instance vpn-instance-name |
VPN实例 |
对指定VPN实例中的报文有效 |
vpn-instance-name：MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写 ACL规则中未指定VPN实例时，不同业务模块的处理方式有所不同，请参见业务模块中的相关说明 |
当protocol为tcp（6）或udp（17）时，用户还可配置如表1-3所示的规则信息参数。
表1-3 TCP/UDP特有的规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
source-port operator port1 [ port2 ] |
源端口 |
定义TCP/UDP报文的源端口信息 |
operator为操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）。只有操作符range需要两个端口号做操作数，其它的只需要一个端口号做操作数 port1、port2：TCP或UDP的端口号，用数字表示时，取值范围为0～65535；用字符表示时，TCP端口号可以选取chargen（19）、bgp（179）、cmd（514）、daytime（13）、discard（9）、dns（53）、domain（53）、echo （7）、exec （512）、finger（79）、ftp（21）、ftp-data（20）、gopher（70）、hostname（101）、irc（194）、klogin（543）、kshell（544）、login（513）、lpd（515）、nntp（119）、pop2（109）、pop3（110）、smtp（25）、sunrpc（111）、tacacs（49）、talk（517）、telnet（23）、time（37）、uucp（540）、whois（43）、www（80）；UDP端口号可以选取biff（512）、bootpc（68）、bootps（67）、discard（9）、dns（53）、dnsix（90）、echo （7）、mobilip-ag（434）、mobilip-mn（435）、nameserver（42）、netbios-dgm（138）、netbios-ns（137）、netbios-ssn（139）、ntp（123）、rip（520）、snmp（161）、snmptrap（162）、sunrpc（111）、syslog（514）、tacacs-ds（65）、talk（517）、tftp（69）、time（37）、who（513）、xdmcp（177） |
|
destination-port operator port1 [ port2 ] |
目的端口 |
定义TCP/UDP报文的目的端口信息 |
|
|
{ ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * |
TCP报文标识 |
定义对携带不同标志位（包括ACK、FIN、PSH、RST、SYN和URG六种）的TCP报文的处理规则 |
TCP协议特有的参数。表示匹配携带不同标志位的TCP报文，各value的取值可为0或1（0表示不携带此标志位，1表示携带此标志位） 如果在一条规则中设置了多个TCP标志位的匹配值，则这些匹配条件之间的关系为“与”。譬如：当配置为ack 0 psh 1时，表示匹配不携带ACK且携带PSH标志位的TCP报文 |
|
established |
TCP连接建立标识 |
定义对TCP连接报文的处理规则 |
TCP协议特有的参数 用于定义TCP报文中ACK或RST标志位为1的报文 |
当protocol为icmp（1）时，用户还可配置如表1-4所示的规则信息参数。
表1-4 ICMP特有的规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
icmp-type { icmp-type icmp-code | icmp-message } |
ICMP报文的消息类型和消息码信息 |
指定本规则中ICMP报文的消息类型和消息码信息 |
icmp-type：ICMP消息类型，取值范围为0～255 icmp-code：ICMP消息码，取值范围为0～255 icmp-message：ICMP消息名称。可以输入的ICMP消息名称，及其与消息类型和消息码的对应关系如表1-5所示 |
表1-5 ICMP消息名称与消息类型和消息码的对应关系
|
ICMP消息名称 |
ICMP消息类型 |
ICMP消息码 |
|
echo |
8 |
0 |
|
echo-reply |
0 |
0 |
|
fragmentneed-DFset |
3 |
4 |
|
host-redirect |
5 |
1 |
|
host-tos-redirect |
5 |
3 |
|
host-unreachable |
3 |
1 |
|
information-reply |
16 |
0 |
|
information-request |
15 |
0 |
|
net-redirect |
5 |
0 |
|
net-tos-redirect |
5 |
2 |
|
net-unreachable |
3 |
0 |
|
parameter-problem |
12 |
0 |
|
port-unreachable |
3 |
3 |
|
protocol-unreachable |
3 |
2 |
|
reassembly-timeout |
11 |
1 |
|
source-quench |
4 |
0 |
|
source-route-failed |
3 |
5 |
|
timestamp-reply |
14 |
0 |
|
timestamp-request |
13 |
0 |
|
ttl-exceeded |
11 |
0 |
vxlan：表示报文是VXLAN封装。配置本参数后才可指定vxlan-id vxlan-id。
vxlan-id vxlan-id：VXLAN ID，取值范围为0～16777215。
inner-protocol：表示IPv4承载的内层协议类型，可输入的形式如下：
· 数字：取值范围为0～255；
· 名称（括号内为对应的数字）：可选取gre（47）、icmp（1）、igmp（2）、ip、ipinip（4）、ospf（89）、tcp（6）或udp（17）。
inner-protocol之后可配置如表1-2所示的规则信息参数。
表1-6 规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
{ inner-ack inner-ack-value | inner-fin inner-fin-value | inner-psh inner-psh-value | inner-rst inner-rst-value | inner-syn inner-syn-value | inner-urg inner-urg-value } * |
VXLAN报文内层TCP标识 |
定义对携带不同标志位（包括ACK、FIN、PSH、RST、SYN和URG六种）的TCP报文的处理规则 |
TCP协议特有的参数。表示匹配携带不同标志位的TCP报文，各value的取值可为0或1（0表示不携带此标志位，1表示携带此标志位） 如果在一条规则中设置了多个TCP标志位的匹配值，则这些匹配条件之间的关系为“与”。譬如：当配置为ack 0 psh 1时，表示匹配不携带ACK且携带PSH标志位的TCP报文 |
|
inner-established |
内层TCP连接建立标识 |
定义对内层TCP连接报文的处理规则 |
内层TCP协议特有的参数，用于定义TCP报文中ACK或RST标志位为1的报文 |
|
inner-source { source-address source-wildcard | any } |
内层源地址信息 |
指定ACL规则的内层源地址信息 |
source-address：内层源IP地址 source-wildcard：内层源IP地址的通配符掩码（为0表示主机地址） any：任意源IP地址 |
|
inner-destination { dest-address dest-wildcard | any } |
内层目的地址信息 |
指定ACL规则的内层目的地址信息 |
dest-address：内层目的IP地址 dest-wildcard：内层目的IP地址的通配符掩码（为0表示主机地址） any：任意目的IP地址 |
当inner-protocol为tcp（6）或udp（17）时，用户还可配置如表1-3所示的规则信息参数。
表1-7 TCP/UDP特有的规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
inner-source-port operator port1 [ port2 ] |
内层源端口 |
定义内层TCP/UDP报文的源端口信息 |
operator为操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）。只有操作符range需要两个端口号做操作数，其它的只需要一个端口号做操作数 port1、port2：TCP或UDP的端口号，用数字表示时，取值范围为0～65535；用字符表示时，TCP端口号可以选取chargen（19）、bgp（179）、cmd（514）、daytime（13）、discard（9）、dns（53）、domain（53）、echo （7）、exec （512）、finger（79）、ftp（21）、ftp-data（20）、gopher（70）、hostname（101）、irc（194）、klogin（543）、kshell（544）、login（513）、lpd（515）、nntp（119）、pop2（109）、pop3（110）、smtp（25）、sunrpc（111）、tacacs（49）、talk（517）、telnet（23）、time（37）、uucp（540）、whois（43）、www（80）；UDP端口号可以选取biff（512）、bootpc（68）、bootps（67）、discard（9）、dns（53）、dnsix（90）、echo （7）、mobilip-ag（434）、mobilip-mn（435）、nameserver（42）、netbios-dgm（138）、netbios-ns（137）、netbios-ssn（139）、ntp（123）、rip（520）、snmp（161）、snmptrap（162）、sunrpc（111）、syslog（514）、tacacs-ds（65）、talk（517）、tftp（69）、time（37）、who（513）、xdmcp（177） 如果使用domain关键字来指定TCP端口号，在配置文件中保存时关键字将显示为dns |
|
inner-destination-port operator port1 [ port2 ] |
内层目的端口 |
定义内层TCP/UDP报文的目的端口信息 |
【使用指导】
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。
当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。
display acl all命令可以查看所有已存在的IPv4高级ACL规则和IPv4基本ACL规则。
删除规则时需要注意的是：
· 使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。
· undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。
【举例】
# 为IPv4高级ACL 3000创建规则如下：允许129.9.0.0/16网段内的主机与202.38.160.0/24网段内主机的WWW端口（端口号为80）建立连接。
<Sysname> system-view
[Sysname] acl advanced 3000
[Sysname-acl-ipv4-adv-3000] rule permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port eq 80
# 为IPv4高级ACL 3001创建规则如下：允许IP报文通过，但拒绝发往192.168.1.0/24网段的ICMP报文通过。
<Sysname> system-view
[Sysname] acl advanced 3001
[Sysname-acl-ipv4-adv-3001] rule deny icmp destination 192.168.1.0 0.0.0.255
[Sysname-acl-ipv4-adv-3001] rule permit ip
# 为IPv4高级ACL 3002创建规则如下：在出、入双方向上都允许建立FTP连接并传输FTP数据。
<Sysname> system-view
[Sysname] acl advanced 3002
[Sysname-acl-ipv4-adv-3002] rule permit tcp source-port eq ftp
[Sysname-acl-ipv4-adv-3002] rule permit tcp source-port eq ftp-data
[Sysname-acl-ipv4-adv-3002] rule permit tcp destination-port eq ftp
[Sysname-acl-ipv4-adv-3002] rule permit tcp destination-port eq ftp-data
# 为IPv4高级ACL 3003创建规则如下：在出、入双方向上都允许SNMP报文和SNMP Trap报文通过。
<Sysname> system-view
[Sysname] acl advanced 3003
[Sysname-acl-ipv4-adv-3003] rule permit udp source-port eq snmp
[Sysname-acl-ipv4-adv-3003] rule permit udp source-port eq snmptrap
[Sysname-acl-ipv4-adv-3003] rule permit udp destination-port eq snmp
[Sysname-acl-ipv4-adv-3003] rule permit udp destination-port eq snmptrap
# 为IPv4高级ACL 3004创建规则如下：允许来自内层源IP为192.168.1.0/24网段的VXLAN报文通过。
<Sysname> system-view
[Sysname] acl advanced 3004
[Sysname-acl-ipv4-adv-3004] rule permit vxlan inner-protocol ip inner-source 192.168.1.0 0.0.0.255
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· step
· time-range（ACL和QoS命令参考/时间段）
rule命令用来为IPv4基本ACL创建一条规则。
undo rule命令用来为IPv4基本ACL删除一条规则或删除规则中的部分内容。
【命令】
rule [ rule-id ] { deny | permit } [ counting | fragment | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *
undo rule rule-id [ counting | fragment | source | time-range | vpn-instance ] *
undo rule { deny | permit } [ counting | fragment | source { source-address source-wildcard | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *
【缺省情况】
IPv4基本ACL内不存在任何规则。
【视图】
IPv4基本ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定IPv4基本ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
counting：表示开启规则匹配软件统计功能，缺省为关闭。
fragment：表示仅对非首片分片报文有效，而对非分片报文和首片分片报文无效。若未指定本参数，表示该规则对非分片报文和分片报文均有效。
source { source-address source-wildcard | any }：指定规则的源IP地址信息。 source-address表示报文的源IP地址，source-wildcard表示源IP地址的通配符掩码（为0表示主机地址），any表示任意源IP地址。
time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段”。
vpn-instance vpn-instance-name：表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。若未指定本参数，不同业务模块的处理方式有所不同，请参见业务模块中的相关说明。
【使用指导】
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。
当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。
display acl all命令可以查看所有已存在的IPv4高级ACL规则和IPv4基本ACL规则。
删除规则时需要注意的是：
· 使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。
· undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。
counting关键字用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能。有关packet-filter命令的详细介绍，请参见“安全命令参考”中的“报文过滤”。
【举例】
# 为IPv4基本ACL 2000创建规则如下：仅允许来自10.0.0.0/8、172.17.0.0/16和192.168.1.0/24网段的报文通过，而拒绝来自所有其它网段的报文通过。
<Sysname> system-view
[Sysname] acl basic 2000
[Sysname-acl-ipv4-basic-2000] rule permit source 10.0.0.0 0.255.255.255
[Sysname-acl-ipv4-basic-2000] rule permit source 172.17.0.0 0.0.255.255
[Sysname-acl-ipv4-basic-2000] rule permit source 192.168.1.0 0.0.0.255
[Sysname-acl-ipv4-basic-2000] rule deny source any
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· step
· time-range（ACL和QoS命令参考/时间段）
rule命令用来为IPv6高级ACL创建一条规则。
undo rule命令用来为IPv6高级ACL删除一条规则或删除规则中的部分内容。
【命令】
rule [ rule-id ] { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | ecn ecn | flow-label flow-label-value | [ fragment ] | icmp6-type { icmp6-type icmp6-code | icmp6-message } | source { source-address source-prefix | source-address/source-prefix | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *
undo rule rule-id [ { { ack | fin | psh | rst | syn | urg } * | established } | counting | destination | destination-port | dscp | ecn | flow-label | [fragment ] | icmp6-type | source | source-port | time-range | vpn-instance] *
undo rule { deny | permit } protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | counting | destination { dest-address dest-prefix | dest-address/dest-prefix | any } | destination-port operator port1 [ port2 ] | dscp dscp | ecn ecn | flow-label flow-label-value | [ fragment ] | icmp6-type { icmp6-type icmp6-code | icmp6-message } | source { source-address source-prefix | source-address/source-prefix | any } | source-port operator port1 [ port2 ] | time-range time-range-name | vpn-instance vpn-instance-name ] *
【缺省情况】
IPv6高级ACL内不存在任何规则。
【视图】
IPv6高级ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定IPv6高级ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
protocol：表示IPv6承载的协议类型，可输入的形式如下：
· 数字：取值范围为0～255；
· 名称（括号内为对应的数字）：可选取gre（47）、icmpv6（58）、ipv6、ipv6-ah（51）、ipv6-esp（50）、ospf（89）、tcp（6）或udp（17）。ipv6表示所有协议类型。
protocol之后可配置如表1-8所示的规则信息参数。
|
参数 |
类别 |
作用 |
说明 |
|
source { source-address source-prefix | source-address/source-prefix | any } |
源IPv6地址 |
指定ACL规则的源IPv6地址信息 |
source-address：源IPv6地址 source-prefix：源IPv6地址的前缀长度，取值范围1～128 any：任意源IPv6地址 |
|
destination { dest-address dest-prefix | dest-address/dest-prefix | any } |
目的IPv6地址 |
指定ACL规则的目的IPv6地址信息 |
dest-address：目的IPv6地址 dest-prefix：目的IPv6地址的前缀长度，取值范围1～128 any：任意目的IPv6地址 |
|
counting |
统计 |
开启规则匹配软件统计功能，缺省为关闭 |
本参数用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能。有关packet-filter命令的详细介绍，请参见“安全命令参考”中的“报文过滤” |
|
dscp dscp |
报文优先级 |
指定DSCP优先级 |
dscp：用数字表示时，取值范围为0～63；用名称表示时，可选取af11（10）、af12（12）、af13（14）、af21（18）、af22（20）、af23（22）、af31（26）、af32（28）、af33（30）、af41（34）、af42（36）、af43（38）、cs1（8）、cs2（16）、cs3（24）、cs4（32）、cs5（40）、cs6（48）、cs7（56）、default（0）或ef（46） |
|
ecn ecn |
ECN通知信息 |
指定ECN标志 |
ecn取值范围为0～3，对应IP报文头部DS域的最后两个比特位的取值（00～11）。有关DS域以及ECN功能的详细介绍，请参见“ACL和QoS配置指导”中的“QoS” |
|
flow-label flow-label-value |
流标签字段 |
指定IPv6基本报文头中流标签字段的值 |
flow-label-value：流标签字段的值，取值范围为0～1048575 |
|
fragment |
报文分片 |
仅对分片报文的非首个分片有效，而对非分片报文和分片报文的首个分片无效 |
若未指定本参数，表示该规则对所有报文（包括非分片报文和分片报文的每个分片）均有效 仅S9855系列交换机支持该参数 |
|
time-range time-range-name |
时间段 |
指定本规则生效的时间段 |
time-range-name：时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段” |
|
vpn-instance vpn-instance-name |
VPN实例 |
对指定VPN实例中的报文有效 |
vpn-instance-name：MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写 ACL规则中未指定VPN实例时，不同业务模块的处理方式有所不同，请参见业务模块中的相关说明 |
当protocol为tcp（6）或udp（17）时，用户还可配置如表1-9所示的规则信息参数。
表1-9 TCP/UDP特有的规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
source-portoperator port1 [ port2 ] |
源端口 |
定义TCP/UDP报文的源端口信息 |
operator：操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）。只有range操作符需要两个端口号做操作数，其它操作符只需要一个端口号做操作数 port1/port2：TCP或UDP的端口号，用数字表示时，取值范围为0～65535；用名称表示时，TCP端口号可选取chargen（19）、bgp（179）、cmd（514）、daytime（13）、discard（9）、dns（53）、domain（53）、echo （7）、exec （512）、finger（79）、ftp（21）、ftp-data（20）、gopher（70）、hostname（101）、irc（194）、klogin（543）、kshell（544）、login（513）、lpd（515）、nntp（119）、pop2（109）、pop3（110）、smtp（25）、sunrpc（111）、tacacs（49）、talk（517）、telnet（23）、time（37）、uucp（540）、whois（43）或www（80）；UDP端口号可选取biff（512）、bootpc（68）、bootps（67）、discard（9）、dns（53）、dnsix（90）、echo （7）、mobilip-ag（434）、mobilip-mn（435）、nameserver（42）、netbios-dgm（138）、netbios-ns（137）、netbios-ssn（139）、ntp（123）、rip（520）、snmp（161）、snmptrap（162）、sunrpc（111）、syslog（514）、tacacs-ds（65）、talk（517）、tftp（69）、time（37）、who（513）或xdmcp（177） |
|
destination-portoperator port1 [ port2 ] |
目的端口 |
定义TCP/UDP报文的目的端口信息 |
|
|
{ ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * |
TCP报文标识 |
定义对携带不同标志位（包括ACK、FIN、PSH、RST、SYN和URG六种）的TCP报文的处理规则 |
TCP协议特有的参数。表示匹配携带不同标志位的TCP报文，各value的取值可为0或1（0表示不携带此标志位，1表示携带此标志位） 条规则中设置了多个TCP标志位的匹配值，则这些匹配条件之间的关系为“与”。譬如：当配置为ack 0 psh 1时，表示匹配不携带ACK且携带PSH标志位的TCP报文 |
|
established |
TCP连接建立标识 |
定义对TCP连接报文的处理规则 |
TCP协议特有的参数 用于定义TCP报文中ACK或RST标志位为1的报文 |
当protocol为icmpv6（58）时，用户还可配置如表1-10所示的规则信息参数。
表1-10 ICMPv6特有的规则信息参数
|
参数 |
类别 |
作用 |
说明 |
|
icmp6-type { icmp6-type icmp6-code | icmp6-message } |
ICMPv6报文的消息类型和消息码 |
指定本规则中ICMPv6报文的消息类型和消息码信息 |
icmp6-type：ICMPv6消息类型，取值范围为0～255 icmp6-code：ICMPv6消息码，取值范围为0～255 icmp6-message：ICMPv6消息名称。可以输入的ICMPv6消息名称，及其与消息类型和消息码的对应关系如表1-11所示 |
表1-11 ICMPv6消息名称与消息类型和消息码的对应关系
|
ICMPv6消息名称 |
ICMPv6消息类型 |
ICMPv6消息码 |
|
echo-reply |
129 |
0 |
|
echo-request |
128 |
0 |
|
err-Header-field |
4 |
0 |
|
frag-time-exceeded |
3 |
1 |
|
hop-limit-exceeded |
3 |
0 |
|
host-admin-prohib |
1 |
1 |
|
host-unreachable |
1 |
3 |
|
neighbor-advertisement |
136 |
0 |
|
neighbor-solicitation |
135 |
0 |
|
network-unreachable |
1 |
0 |
|
packet-too-big |
2 |
0 |
|
port-unreachable |
1 |
4 |
|
redirect |
137 |
0 |
|
router-advertisement |
134 |
0 |
|
router-solicitation |
133 |
0 |
|
unknown-ipv6-opt |
4 |
2 |
|
unknown-next-hdr |
4 |
1 |
【使用指导】
如果QoS策略或报文过滤功能应用于出方向，则不支持配置flow-label参数。
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。
当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。
display acl ipv6 all命令可以查看所有已存在的IPv6高级ACL规则和IPv6基本ACL规则。
删除规则时需要注意的是：
· 使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。
· undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。
【举例】
# 为IPv6高级ACL 3000创建规则如下：允许2030:5060::/64网段内的主机与FE80:5060::/96网段内主机的WWW端口（端口号为80）建立连接。
<Sysname> system-view
[Sysname] acl ipv6 advanced 3000
[Sysname-acl-ipv6-adv-3000] rule permit tcp source 2030:5060::/64 destination fe80:5060::/96 destination-port eq 80
# 为IPv6高级ACL 3001创建规则如下：允许IPv6报文通过，但拒绝发往FE80:5060:1001::/48网段的ICMPv6报文通过。
<Sysname> system-view
[Sysname] acl ipv6 advanced 3001
[Sysname-acl-ipv6-adv-3001] rule deny icmpv6 destination fe80:5060:1001:: 48
[Sysname-acl-ipv6-adv-3001] rule permit ipv6
# 为IPv6高级ACL 3002创建规则如下：在出、入双方向上都允许建立FTP连接并传输FTP数据。
<Sysname> system-view
[Sysname] acl ipv6 advanced 3002
[Sysname-acl-ipv6-adv-3002] rule permit tcp source-port eq ftp
[Sysname-acl-ipv6-adv-3002] rule permit tcp source-port eq ftp-data
[Sysname-acl-ipv6-adv-3002] rule permit tcp destination-port eq ftp
[Sysname-acl-ipv6-adv-3002] rule permit tcp destination-port eq ftp-data
# 为IPv6高级ACL 3003创建规则如下：在出、入双方向上都允许SNMP报文和SNMP Trap报文通过。
<Sysname> system-view
[Sysname] acl ipv6 advanced 3003
[Sysname-acl-ipv6-adv-3003] rule permit udp source-port eq snmp
[Sysname-acl-ipv6-adv-3003] rule permit udp source-port eq snmptrap
[Sysname-acl-ipv6-adv-3003] rule permit udp destination-port eq snmp
[Sysname-acl-ipv6-adv-3003] rule permit udp destination-port eq snmptrap
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· step
· time-range（ACL和QoS命令参考/时间段）
rule命令用来为IPv6基本ACL创建一条规则。
undo rule命令用来为IPv6基本ACL删除一条规则或删除规则中的部分内容。
【命令】
rule [ rule-id ] { deny | permit } [ counting | fragment | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *
undo rule rule-id [ counting | fragment | source | time-range | vpn-instance ] *
undo rule { deny | permit } [ counting | fragment | source { source-address source-prefix | source-address/source-prefix | any } | time-range time-range-name | vpn-instance vpn-instance-name ] *
【缺省情况】
IPv6基本ACL内不存在任何规则。
【视图】
IPv6基本ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定IPv6基本ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
counting：表示开启规则匹配软件统计功能，缺省为关闭。
fragment：表示仅对非首片分片报文有效，而对非分片报文和首片分片报文无效。若未指定本参数，表示该规则对非分片报文和分片报文均有效。
source { source-address source-prefix | source-address/source-prefix | any }：指定规则的源IPv6地址信息。source-address表示报文的源IPv6地址，source-prefix表示源IPv6地址的前缀长度，取值范围为1～128，any表示任意源IPv6地址。
time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段”。
vpn-instance vpn-instance-name：表示对指定VPN实例中的报文有效。vpn-instance-name表示MPLS L3VPN的VPN实例名称，为1～31个字符的字符串，区分大小写。若未指定本参数，不同业务模块的处理方式有所不同，请参见业务模块中的相关说明。
【使用指导】
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。
当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。
display acl ipv6 all命令可以查看所有已存在的IPv6高级ACL规则和IPv6基本ACL规则。
删除规则时需要注意的是：
· 使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。
· undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。
counting关键字用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能。有关packet-filter命令的详细介绍，请参见“安全命令参考”中的“报文过滤”。
【举例】
# 为IPv6基本ACL 2000创建规则如下：仅允许来自1001::/16、3124:1123::/32和FE80:5060:1001::/48网段的报文通过，而拒绝来自所有其它网段的报文通过。
<Sysname> system-view
[Sysname] acl ipv6 basic 2000
[Sysname-acl-ipv6-basic-2000] rule permit source 1001:: 16
[Sysname-acl-ipv6-basic-2000] rule permit source 3124:1123:: 32
[Sysname-acl-ipv6-basic-2000] rule permit source fe80:5060:1001:: 48
[Sysname-acl-ipv6-basic-2000] rule deny source any
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· step
· time-range（ACL和QoS命令参考/时间段）
rule命令用来为二层ACL创建一条规则。
undo rule命令用来为二层ACL删除一条规则或删除规则中的部分内容。
【命令】
rule [ rule-id ] { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | type protocol-type protocol-type-mask | source-mac source-address source-mask | time-range time-range-name ] *
rule [ rule-id ] { deny | permit } vxlan [ counting | dest-mac dest-address dest-mask | inner-dest-mac inner-dest-address inner-dest-mask | inner-source-mac inner-source-address inner-source-mask | inner-type inner-protocol-type inner-protocol-type-mask | source-mac source-address source-mask | time-range time-range-name | type protocol-type protocol-type-mask | vxlan-id vxlan-id ] *
undo rule rule-id [ counting | time-range ] *
undo rule { deny | permit } [ cos dot1p | counting | dest-mac dest-address dest-mask | type protocol-type protocol-type-mask | source-mac source-address source-mask | time-range time-range-name ] *
undo rule { deny | permit } vxlan [ counting | dest-mac dest-address dest-mask | inner-dest-mac inner-dest-address inner-dest-mask | inner-source-mac inner-source-address inner-source-mask | inner-type inner-protocol-type inner-protocol-type-mask | source-mac source-address source-mask | time-range time-range-name | type protocol-type protocol-type-mask | vxlan-id vxlan-id ] *
【缺省情况】
二层ACL内不存在任何规则。
【视图】
二层ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定二层ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
cos dot1p：指定802.1p优先级。dot1p表示802.1p优先级，可输入的形式如下：
· 数字：取值范围为0～7；
· 名称：best-effort、background、spare、excellent-effort、controlled-load、video、voice和network-management，依次对应于数字0～7。
counting：表示开启规则匹配软件统计功能，缺省为关闭。
dest-mac dest-address dest-mask：指定目的MAC地址范围。dest-address表示目的MAC地址，格式为H-H-H。dest-mask表示目的MAC地址的掩码，格式为H-H-H。
type protocol-type protocol-type-mask：指定链路层协议类型。protocol-type表示数据帧类型，对应Ethernet_II类型和Ethernet_SNAP类型帧中的type域，取值范围为十六进制数0～ffff。protocol-type-mask表示类型掩码，用于指定屏蔽位，取值范围为十六进制数0～ffff。
source-mac source-address source-mask：指定源MAC地址范围。source-address表示源MAC地址，格式为H-H-H。source-mask表示源MAC地址的掩码，格式为H-H-H。
time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段”。
vxlan：表示报文是VXLAN封装。
vxlan-id vxlan-id：VXLAN ID，取值范围为0～16777215。
inner-type inner-protocol-type inner-protocol-type-mask：指定内层链路层协议类型。inner-protocol-type表示16比特的十六进制数表征的内层数据帧类型，对应Ethernet_II类型和Ethernet_SNAP类型帧中的type域。inner-protocol-type-mask表示类型掩码，为16比特的十六进制数，用于指定屏蔽位。
inner-source-mac inner-source-mac-address inner-source-mask：指定内层源MAC地址范围。inner-source-mac-address表示内层源MAC地址，格式为H-H-H。inner-source-mask表示内层源MAC地址的掩码，格式为H-H-H。
inner-dest-mac inner-dest-mac-address inner-dest-mask：指定内层目的MAC地址范围。inner-dest-mac-address表示内层目的MAC地址，格式为H-H-H。inner-dest-mask表示内层目的MAC地址的掩码，格式为H-H-H。
【使用指导】
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建或修改的规则不能与已有规则的内容完全相同，否则将提示出错，并导致该操作失败。
当ACL的规则匹配顺序为配置顺序时，允许修改该ACL内的任意一条已有规则；当ACL的规则匹配顺序为自动排序时，不允许修改该ACL内的已有规则，否则将提示出错。
display acl mac all命令可以查看所有已存在的二层ACL规则。
删除规则时需要注意的是：
· 使用undo rule rule-id命令时，如果没有指定任何可选参数，则删除整条规则；如果指定了可选参数，则只删除该参数所对应的内容。
· undo rule { deny | permit }命令无法删除规则中的部分内容，使用undo rule { deny | permit }命令时，必须输入已存在规则的完整形式。
counting关键字用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能。有关packet-filter命令的详细介绍，请参见“安全命令参考”中的“报文过滤”。
【举例】
# 为二层ACL 4000创建规则如下：允许ARP报文通过，但拒绝RARP报文通过。
<Sysname> system-view
[Sysname] acl mac 4000
[Sysname-acl-mac-4000] rule permit type 0806 ffff
[Sysname-acl-mac-4000] rule deny type 8035 ffff
# 为二层ACL 4001创建规则如下：允许VXLAN ID为300的VXLAN报文通过。
<Sysname> system-view
[Sysname] acl mac 4001
[Sysname-acl-ethernetframe-4001] rule permit vxlan vxlan-id 300
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· step
· time-range（ACL和QoS命令参考/时间段）
rule命令用来为用户自定义ACL创建一条规则。
undo rule命令用来为用户自定义ACL删除一条规则。
【命令】
命令形式一
rule [ rule-id ] { deny | permit } [ { { l2 | l4 }rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *
undo rule rule-id
undo rule { deny | permit } [ { { l2 | l4 } rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *
命令形式二
rule [ rule-id ] { deny | permit } [ ipv6-protocol ] protocol [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination { dest-address dest-wildcard | any } | destination-port { operator port1 [ port2 ] } | { { precedence precedence | tos tos } * | { precedence precedence | ecn ecn } * | dscp dscp | ecn ecn } * } | source { source-address source-wildcard | any } | source-port { operator port1 [ port2 ] } | vpn-instance vpn-instance-name ] * [ { { l2 | l4 | l5 } rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *
undo rule rule-id [ ipv6-protocol ] [ { { ack | fin | psh | rst | syn | urg } * | established } | destination | destination-port | { { precedence | tos } * | { precedence | ecn } * | { dscp | ecn } * } | source | source-port | vpn-instance vpn-instance-name | l2 | l4 | l5 | counting | time-range ] *
undo rule { deny | permit } [ ipv6-protocol ] protocol [ { { ack | fin | psh | rst | syn | urg } * | established } | destination { dest-address dest-wildcard | any } | destination-port { operator port1 [ port2 ] } | { { precedence precedence | tos tos } * | { precedence precedence | ecn ecn } * | { dscp dscp | ecn ecn } * } | source { source-address source-wildcard | any } | source-port { operator port1 [ port2 ] } | vpn-instance vpn-instance-name ] * [ { { l2 | l4 | l5 } rule-string rule-mask offset }&<1-8> ] [ counting | time-range time-range-name ] *
命令形式三
rule [ rule-id ] { deny | permit } dual-stack { tcp | udp } [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination any | destination-port operator port1 [ port2 ] | source any | source-port operator port1 [ port2 ] | vpn-instance vpn-instance-name ] * [ counting | time-range time-range-name ] *
undo rule [ rule-id ] { deny | permit } dual-stack { tcp | udp } [ { { ack ack-value | fin fin-value | psh psh-value | rst rst-value | syn syn-value | urg urg-value } * | established } | destination any | destination-port operator port1 [ port2 ] | source any | source-port operator port1 [ port2 ] | vpn-instance vpn-instance-name ] * [ counting | time-range time-range-name ] *
【缺省情况】
用户自定义ACL内不存在任何规则。
【视图】
用户自定义ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定用户自定义ACL规则的编号，取值范围为0～65534。若未指定本参数，系统将从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如现有规则的最大编号为28，步长为5，那么自动分配的新编号将是30。
deny：表示拒绝符合条件的报文。
permit：表示允许符合条件的报文。
l2：表示从L2帧头开始偏移。
l4：表示从L4报文头开始偏移。
l5：表示从L5报文头开始偏移。仅S9855系列交换机支持。
rule-string：指定用户自定义的规则字符串，必须是16进制数组成，字符长度必须是偶数。
rule-mask：指定规则字符串的掩码，用于和报文作“与”操作，必须是16进制数组成，字符长度必须是偶数，且必须与rule-string的长度相同。
offset：指定偏移量，它以用户指定的报文头部为基准，指定从第几个字节开始进行比较。
&<1-8>：表示前面的参数最多可以输入8次。
counting：表示开启规则匹配软件统计功能，缺省为关闭。
time-range time-range-name：指定本规则生效的时间段。time-range-name表示时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。若该时间段尚未配置，该规则仍会成功创建但系统将给出提示信息，并在该时间段的配置完成后此规则才会生效。有关时间段的详细介绍和具体配置过程，请参见“ACL和QoS配置指导”中的“时间段”。
ipv6-protocol：指定匹配IPv6报文。
· 若选择本参数，表示匹配IPv6报文，此时请不要再选择后续的ipv4。
· 若不选择本参数，表示匹配IPv4报文，此时请不要再选择后续的ipv6。
protocol：表示网络层承载的协议类型，可输入的形式如下：
· 对于IPv4：
¡ 数字：取值范围为0～255；
¡ 名称（括号内为对应的数字）：可选取gre（47）、icmp（1）、igmp（2）、ip、ipinip（4）、ospf（89）、tcp（6）或udp（17）。ip表示所有协议类型。
· 对于IPv6：
¡ 数字：取值范围为0～255；
¡ 名称（括号内为对应的数字）：可选取gre（47）、icmpv6（58）、ipv6、ipv6-ah（51）、ipv6-esp（50）、ospf（89）、tcp（6）或udp（17）。ipv6表示所有协议类型。
当protocol为tcp（6）时，用户还可配置如表1-12所示的规则信息参数。
表1-12 TCP特有规则信息参数
|
参数 |
说明 |
|
ack ack-value |
匹配是否携带对应标志位的TCP报文 各value为0时表示不携带此标志位，为1时表示携带此标志位 如果在一条规则中设置了多个TCP标志位的匹配值，则这些匹配条件之间的关系为“与”。譬如：当配置为ack 0 psh 1时，表示匹配不携带ACK且携带PSH标志位的TCP报文 |
|
fin fin-value |
|
|
psh psh-value |
|
|
rst rst-value |
|
|
syn syn-value |
|
|
urg urg-value |
|
|
established |
匹配TCP连接报文 表示匹配TCP报文中ACK或RST标志位为1的报文 |
precedence precedence：表示IP优先级。precedence用数字表示时，取值范围为0～7；用字符表示时，分别对应routine、priority、immediate、flash、flash-override、critical、internet、network。
tos tos：表示ToS优先级。tos用数字表示时，取值范围为0～15；用字符表示时，可以选取max-reliability（2）、max-throughput（4）、min-delay（8）、min-monetary-cost（1）、normal（0）。
dscp dscp：表示DSCP优先级，可输入的形式如下：
· 数字：取值范围为0～63；
· 名称（括号内为对应的数字）：可选取af11（10）、af12（12）、af13（14）、af21（18）、af22（20）、af23（22）、af31（26）、af32（28）、af33（30）、af41（34）、af42（36）、af43（38）、cs1（8）、cs2（16）、cs3（24）、cs4（32）、cs5（40）、cs6（48）、cs7（56）、default（0）或ef（46）。
ecn ecn：指定ECN标志。ecn取值范围为0～3，对应IP报文头部DS域的最后两个比特为00～11。有关DS域以及ECN功能的详细介绍，请参见“ACL和QoS配置指导”中的“QoS”。
source { source-address source-wildcard | any }：指定规则的源IP地址信息。source-address表示报文的源IP地址，source-wildcard表示源IP地址的通配符掩码（为0表示主机地址），any表示任意源IP地址。
destination { dest-address dest-wildcard | any }：指定规则的目的IP地址信息。dest-address表示报文的目的IP地址，dest-wildcard表示目的IP地址的通配符掩码（为0表示主机地址），any表示任意目的IP地址。
source-port { operator port1 [ port2 ] }：指定规则的源端口信息。operator为操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）；只有操作符range需要两个端口号做操作数，其它的只需要一个端口号做操作数。port1、port2：TCP或UDP的端口号，用数字表示时，取值范围为0～65535。
source-port { operator port1 [ port2 ] }：指定规则的源端口信息。其中：
· operator为操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）。
· port1、port2表示TCP或UDP的端口号，取值范围为0～65535。当使用range操作符时，必须指定port2参数，使用其它操作符时，不需要指定port2参数。
destination-port { operator port1 [ port2 ] }：指定规则的目的端口信息。其中：
· operator为操作符，取值可以为lt（小于）、gt（大于）、eq（等于）或者range（在范围内，包括边界值）。只有操作符range需要两个端口号做操作数，其它的只需要一个端口号做操作数。
· port1、port2表示TCP或UDP的端口号，取值范围为0～65535。当使用range操作符时，必须指定port2参数，使用其它操作符时，不需要指定port2参数。
【使用指导】
使用rule命令时，如果指定编号的规则不存在，则创建一条新的规则；如果指定编号的规则已存在：
· 对于命令形式一，则对旧规则进行覆盖，即新配置的命令生效。
· 对于命令形式二，则对旧规则进行修改，即在其原有内容的基础上叠加新的内容。
新创建的规则不能与已有规则的内容完全相同，否则将提示出错，并导致创建失败。
display acl user-defined all命令可以查看所有已存在的用户自定义ACL规则。
undo rule { deny | permit }命令可在不指定rule-id情况下删除整条规则，但无法删除规则中的部分内容；使用其删除整条规则时，必须输入已存在规则的完整形式；本命令适用于删除通过脚本文件在未指定rule-id情况下创建的规则。
对于命令形式二：
· 创建的规则除可以通过用户自定义的字符串对报文进行匹配外，还可以通过源地址、目的地址、端口号及承载的协议类型等条件对报文进行匹配。
· 使用rule命令对TCP报文进行匹配时，protocol需配置为tcp，且必须从L5报文头开始偏移。
· 使用rule命令对UDP报文进行匹配时，protocol需配置为udp，且必须从L4或L5报文头开始偏移。
· 使用rule命令对IP报文进行匹配时，protocol需配置为ip，且必须从L4报文头开始偏移。
· 使用undo rule rule-id命令即可以删除整条规则，也可以删除指定规则中的部分内容。
· 使用rule命令对IPv6报文进行匹配时，不支持precedence和tos。
counting关键字用于开启本规则的匹配统计功能，而packet-filter命令中的hardware-count关键字则用于开启指定ACL内所有规则的规则匹配硬件统计功能。有关packet-filter命令的详细介绍，请参见“安全命令参考”中的“报文过滤”。
【举例】
# 为用户自定义ACL 5005创建规则如下：允许从L2帧头的0字节开始算起第12、13两字节的内容为0x0806的报文（即ARP报文）通过。
<Sysname> system-view
[Sysname] acl user-defined 5005
[Sysname-acl-user-5005] rule permit l2 0806 ffff 12
# 为用户自定义ACL 5005创建规则如下：允许2030:5060::/64网段内的主机与FE80:5060::/96网段内主机的HTTP服务端口（端口号为80）建立连接。
<Sysname> system-view
[Sysname] acl user-defined 5005
[Sysname-acl-user-5005] rule permit ipv6-protocol tcp source 2030:5060::/64 destination fe80:5060::/96 destination-port eq 80
# 为用户自定义ACL 5009创建规则如下：允许携带ACK标志位的TCP报文通过。
<Sysname> system-view
[Sysname] acl user-defined 5009
[Sysname-acl-user-5009] rule permit tcp ack 1
# 为用户自定义ACL 5010创建规则如下：允许UDP源端口号为100的IPv4和IPv6报文通过。
<Sysname> system-view
[Sysname] acl user-defined 5010
[Sysname-acl-user-5010] rule permit dual-stack udp source-port eq 100
【相关命令】
· acl
· display acl
· packet-filter (interface view)（安全命令参考/报文过滤）
· packet-filter global（安全命令参考/报文过滤）
· time-range（ACL和QoS命令参考/时间段）
rule comment命令用来为规则配置描述信息。
undo rule comment命令用来删除指定规则的描述信息。
【命令】
rule rule-id comment text
undo rule rule-id comment
【缺省情况】
规则没有描述信息。
【视图】
IPv4基本ACL视图/IPv4高级ACL视图
IPv6基本ACL视图/IPv6高级ACL视图
二层ACL视图
用户自定义ACL视图
【缺省用户角色】
network-admin
【参数】
rule-id：指定规则的编号，该规则必须存在。取值范围为0～65534。
text：表示规则的描述信息，为1～127个字符的字符串，区分大小写。
【使用指导】
使用rule comment命令时，如果指定的规则没有描述信息，则为其添加描述信息，否则修改其描述信息。
【举例】
# 为IPv4基本ACL 2000配置规则0，并为该规则配置描述信息。
<Sysname> system-view
[Sysname] acl basic 2000
[Sysname-acl-ipv4-basic-2000] rule 0 deny source 1.1.1.1 0
[Sysname-acl-ipv4-basic-2000] rule 0 comment This rule is used on hundredgige 1/0/1.
【相关命令】
· display acl
step命令用来配置规则编号的步长。
undo step命令用来恢复缺省情况。
【命令】
step step-value [ start start-value ]
undo step
【缺省情况】
规则编号的步长为5，起始值为5。
【视图】
IPv4基本ACL视图/IPv4高级ACL视图
IPv6基本ACL视图/IPv6高级ACL视图
二层ACL视图
【缺省用户角色】
network-admin
【参数】
step-value：表示规则编号的步长值，取值范围为1～20。
start-value：表示规则编号的起始值。取值范围为0～20。
【使用指导】
系统为规则自动分配编号的方式如下：系统从规则编号的起始值开始，自动分配一个大于现有最大编号的步长最小倍数。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。
如果起始值发生了改变，ACL内原有全部规则的编号都将自动从起始值开始，并按步长重新排列；否则，都将自动以步长值为规则编号的起始值，并按步长重新排列。譬如，某ACL内原有编号为0、5、9、10和15的五条规则，当修改步长为2之后，这些规则的编号将依次变为2、4、6、8和10。
【举例】
# 将IPv4基本ACL 2000的规则编号的步长配置为2。
<Sysname> system-view
[Sysname] acl basic 2000
[Sysname-acl-ipv4-basic-2000] step 2
【相关命令】
· display acl
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
