|
3、二层ACL规则配置 二层ACL编号acl-number的范围是4000～4999。 二层acl对源/目的MAC、802.1p优先级、二层协议等二层信息进行过滤。
: h# {- v6 v6 a! i6 P( Q[Huawei-acl-L2-4000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit : b% G1 P5 M( A5 _
[Huawei-acl-L2-4000]rule 1 deny source-mac 1111-1111-1111 ? 802.3 802.3 format 8021p Vlan priority H-H-H Source MAC address mask, default is ffff-ffff-ffff cvlan-8021p Vlan priority of inner vlan cvlan-id Inner vlan id destination-mac Destination-mac double-tag Double tag ether-ii Ethernet II format l2-protocol Layer 2 protocol snap Snap format time-range Specify a special time vlan-id Vlan id % Y" i6 C/ U* F) s
[Huawei-acl-L2-4000]rule 1 deny source-mac 1111-1111-1111 destination-mac ? H-H-H Destination MAC address value
, M) d8 l. }+ }4 x( [! T3 l[Huawei-acl-L2-4000]rule 1 deny source-mac 1111-1111-1111 destination-mac 2222-2222-2222 ? 802.3 802.3 format 8021p Vlan priority H-H-H Destination MAC address mask, default is ffff-ffff-ffff cvlan-8021p Vlan priority of inner vlan cvlan-id Inner vlan id double-tag Double tag ether-ii Ethernet II format l2-protocol Layer 2 protocol snap Snap format time-range Specify a special time vlan-id Vlan id : d1 a6 s# R G5 c4 P. l
二层acl支持的常用功能
7 ?6 ?$ W6 t8 i' k/ S+ d' U" |$ n' o二层acl支持的常用功能 | 参数 | 说明 | 802.3 | - j+ _- w" F- c6 }" h/ o- k! V
| 8021p | 指定acl规则匹配报文的外层vlan的8021p优先级 | cvlan-8021p | 指定acl规则匹配报文的内层vlan的8021p优先级 | cvlan-id cvlan-id[cvlan-id-mask] | 指定acl规则匹配报文的内层vlan ID | cvlan-id-mask：指定内层ID值的掩码 十六进制 | destination-mac | 指定acl规则匹配报文的目的mac地址信息 | double-tag | 指定acl匹配报文时匹配带双层tag的报文 | ether-ii | 指定acl规则匹配报文的帧封装格式 | l2-protocol | 指定acl规则匹配报文的链路层协议类型 | snap | " y7 D0 E5 `1 O. Z# H- {5 i2 K* y* h
| source-mac | 指定acl规则匹配报文的源mac地址信息 | time-range |
' K2 p: d2 t% I/ R | vlan-id | 指定acl规则匹配报文的内层vlan ID |
8 n \: A3 Z: v0 K/ A+ L: ^
; I; m. {! i* q) i4 I/ N( U$ `+ d- I0 N
% D9 G4 ^8 z* @& U V
' ]8 E j9 U/ G" Z/ O; [4、用户自定义ACL规则配置 用户自定义ACL编号acl-number的范围是5000～5999。 用户自定义acl（简称ucl），可以根据用户自定义的规则对数据报文做出相应的处理。 用户自定义ACL支持的常用功能有 6 l+ C6 g3 ^8 W
用户自定义ACL支持的常用功能 | 参数 | 说明 | STRING<3-10> |
" T$ f+ T1 h8 X( Y1 m. Q! U | ipv4-head | 指定从ipv4头部开始偏移 | ipv6-head | 从ipv6头部开始偏移 | l2-head | 从报文的二层头部开始偏移 | l4-head | 从四层协议头部开始偏移 | time-range | " N' U, n" ^- n7 G! b; U
|
; Y1 A& ]( a3 n% j* g5 e
/ V4 g" b0 \4 T& P6 v[Huawei-acl-user-5000]rule 1 deny ? STRING<3-10> Rule string, the string must be hexadecimal and start with '0x' ipv4-head Offset from IP(v4) head ipv6-head Offset from IP(v6) head l2-head Offset from l2 head l4-head Offset from L4 head time-range Specify a special time 5 U) U3 W$ { W' D- M: ~4 Z
" }; `; y$ T$ M$ ?; O" E
5、用户ACL规则配置 用户ACL编号acl-number的范围是6000～6999。 使用IPv4报文的源IP地址或源UCL（User Control List）组、目的地址或目的UCL组、IP协议类型、ICMP类型、TCP源端口/目的端口、UDP源端口/目的端口号等来定义规则。 $ c2 N! k5 W3 ]1 |4 G7 ]
具体配置及参数同前。 6 m7 \) k# |* {; W
' L$ o0 k2 @( {) ^" |) b6、基本ACL6规则配置 [Huawei]acl ipv6 ? INTEGER<2000-2999> Specify a basic ACL6 INTEGER<3000-3999> Specify an advanced ACL6 name Specify a named ACL6 number Specify a numbered ACL6
0 z- e7 g) R# k% M: V! B[Huawei-acl6-basic-2000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit
0 o* d( X2 g: y! H[Huawei-acl6-basic-2000]rule 1 deny ? fragment Check fragment packet logging Log matched packet source Specify source address time-range Specify a special time
- V6 P& F' c" |4 U$ e( l1 z[Huawei-acl6-basic-2000]rule 1 deny source ? X:X::X:X IPv6 address X:X::X:X/M IPv6 source address with prefix any Any source IPv6 address . Z- e6 x/ [1 s
[Huawei-acl6-basic-2000]rule 1 deny source any ? fragment Check fragment packet logging Log matched packet time-range Specify a special time
3 Z0 K5 z! J+ S5 ?3 i, u
) c, b% {* H$ B7、高级ACL6规则配置 [Huawei]acl ipv6 3000 [Huawei-acl6-adv-3000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit ' L; i# ?) D: f3 b T0 m
[Huawei-acl6-adv-3000]rule 1 ? deny Specify matched packet deny description Specify rule description permit Specify matched packet permit
5 \3 S4 W+ o" j* C2 g[Huawei-acl6-adv-3000]rule 1 deny ? <1-255> Protocol number gre GRE tunneling(47) icmpv6 Internet Control Message Protocol6(58) ipv6 Any IPV6 protocol ospf OSPF routing protocol(89) tcp Transmission Control Protocol(6) udp User Datagram Protocol(17) & x: H* m7 [" D: E9 b
ACL6相关知识将在后面的IPV6专题详细讲解，敬请关注重庆网管博客。 . Q/ q# {5 w- x# {1 ?
( d, ]% n; |1 x$ O- ?
8、ACL资源告警阈值百分比设置 [Huawei] acl threshold-alarm { upper-limit upper-limit | lower-limit lower-limit }*
9 q" Z% |! W& R设备运行应用ACL的业务后会占用一部分ACL资源，此时可以配置ACL资源的告警阈值百分比。 当ACL资源的使用率（即设备上实际存在的ACL表项占设备支持的最大ACL表项总数的比例）等于或高于上限告警阈值百分比时，设备将会发出超限告警。之后，如果该比例又等于或小于下限告警阈值百分比，设备会再次发出告警，表明之前的超限告警情况已经恢复正常。 * {9 @5 |4 }* g8 q* U
9 i6 k( x+ [' I% {) @$ T. x
9、扩展ACL表项空间资源模式设置 display resource-assign configuration # 查看接口板扩展表项空间资源的配置信息。
7 a/ i" f; a; T5 P[Huawei] assign resource-mode mode-id slot slot-id # 配置接口板扩展表项空间资源的分配模式，用来静态分配MAC、ACL和FIB表项的底层空间大小。
4 P P$ z) ~6 m) w! o, [[Huawei] assign acl-mode mode-id slot slot-id # 配置接口板ACL规格的资源分配模式。 1 g$ V, V3 t+ I
缺省情况下，扩展表项空间寄存器的资源模式为1，仅扩展MAC表项。 与ACL表项相关的分配模式包括： 1、MACACL：表示同时扩展MAC表项和二层ACL表项。 2、IPV4ACL：表示同时扩展IPV4的IP表项和IPV4的三层ACL表项。 3、IPV6ACL：表示同时扩展IPV6的IP表项和IPV6的三层ACL表项。 4、IPV4NAC：表示同时扩展IPV4的三层ACL表项和NAC特性专用的ACL表项。 5、L2 ACL：表示扩展二层ACL表项。 配置接口板扩展表项空间资源的分配模式后，需要重启接口板才能生效。 当设备处于核心层时，承载的业务量很大，自身的MAC、FIB、ACL表项也会相应增加，但是设备的表项空间有限，当设备的表项空间满足不了设备的业务要求时，会降低业务的运行效率。 设备接口板提供扩展表项空间寄存器，通过配置扩展表项空间资源的分配模式，可以选择性扩大MAC、ACL和FIB表项的底层空间大小。
# W) h2 J7 l, L8 Q& x/ p, p! `' C | 
所有IT类厂商认证考试题库下载
【新盟教育】2023最新华为HCIA全套视频合集【网工基础全覆盖】---国sir公开课合集
【新盟教育】网工小白必看的！2023最新版华为认证HCIA Datacom零基础全套实战课
原创_超融合自动化运维工具cvTools
重量级~~30多套JAVA就业班全套 视频教程（请尽快下载，链接失效后不补）
链接已失效【超过几百G】EVE 国内和国外镜像 全有了 百度群分享
某linux大佬，积累多年的电子书(约300本)
乾颐堂现任明教教主Python完整版
乾颐堂 教主技术进化论 2018-2019年 最新31-50期合集视频（各种最新技术杂谈视频）
Python学习视频 0起点视频 入门到项目实战篇 Python3.5.2视频教程 共847集 能学102天
约21套Python视频合集 核心基础视频教程（共310G,已压缩）
最新20180811录制 IT爱好者-清风羽毛 - 网络安全IPSec VPN实验指南视频教程
最新20180807录制EVE开机自启动虚拟路由器并桥接物理网卡充当思科路由器
