枫飞天翔的博客

1.1.1  acl

【命令】

acl { number acl-number | name acl-name [ advanced | basic | link | user ] }[ match-order { config | auto } ]

undo acl { number acl-number | name acl-name | all }

【视图】

系统视图

【参数】

number acl-number：访问列表序号，取值范围为:

2000～2999：表示基本访问控制列表。

3000～3999：表示高级访问控制列表。

4000～4999：表示二层访问控制列表。

5000～5999：表示用户自定义访问控制列表。

name acl-name：字符串参数，必须以英文字母（即[a-z,A-Z]）开始，而且中间不能有空格和引号；不区分大小写，不允许使用all、any关键字。

advanced：表示高级访问控制列表。

basic：表示基本访问控制列表。

link：表示二层访问控制列表。

user：表示用户自定义访问控制列表。

config：表示匹配访问列表的规则时按用户的配置顺序。

auto：表示匹配访问列表的规则时按深度优先顺序。

all：表示要删除所有的访问列表（包括数字标识的和名字标识的）。

【描述】

acl命令用来定义一条数字或名字标识的访问控制列表，并进入相应的访问控制列表视图，undo acl命令用来删除一条数字或名字标识的访问控制列表的所有子项，或者删除全部访问控制列表。

缺省情况下，按照config顺序匹配访问控制列表。

acl命令可以创建一个以“acl-name”命名的访问控制列表，此访问控制列表的类型由“advanced”、“basic”、“link”、“user”关键字决定。无论数字型还是名字型，进入相应的访问列表视图之后，可以用rule命令增加此命名访问列表的子项（用quit命令退出访问列表视图）。

可以使用match-order指定匹配顺序是按照用户配置的顺序还是按照深度优先顺序（优先匹配范围小的规则），如果不指定则缺省为用户配置顺序。用户一旦指定一条访问列表的匹配顺序后，就不能再更改，除非把该访问列表的子项全部删除，再重新指定其匹配顺序。注意，访问控制列表的匹配顺序特性只在该访问控制列表被软件引用用作数据过滤和分类时有效。

由于芯片不同，各款交换机的子规则硬件匹配顺序不同。具体描述见下表。

                                                                                                                                                          表1-1 交换机ACL子规则的硬件匹配顺序

相关配置可参考命令rule。

【举例】

# 下面的命令指定2000号访问列表的规则匹配顺序为深度优先顺序：

[Quidway] acl number 2000 match-order auto

1.1.2  display acl config

【命令】

display acl config { all | acl-number | acl-name }

【视图】

任意视图

【参数】

all：表示要显示所有的访问列表（包括数字标识的和名字标识的）。

acl-number：要显示的访问列表序号，2000到3999之间的一个数值。

acl-name：要显示的访问列表名字，字符串参数，必须以英文字母（即[a-z,A-Z]）开始，而且中间不能有空格和引号。

【描述】

display acl config命令用来显示访问控制列表的详细配置信息，包括每一个子规则及其序号和该语句匹配的数据包的个数和字节数。

本命令显示信息中的匹配次数是软件匹配次数，即需要经过交换机CPU处理的访问控制列表匹配次数。数据包转发过程中的硬件匹配次数可以使用命令traffic-statistic统计。

【举例】

# 下面的命令显示所有访问列表的内容。

<Quidway>display acl config all

1.1.3  display acl running-packet-filter all

【命令】

display acl running-packet-filter all

【视图】

任意视图

【参数】

无

【描述】

display acl running-packet-filter all命令用来显示访问控制列表的下发应用信息。显示内容包括访问控制列表名、子项名和下发状态。

【举例】

# 下面的命令显示所有接口的访问列表下发应用信息。

<Quidway> display acl running-packet-filter all

acl std1 rule 0  running

acl std1 rule 1  running

                                                                                                                                                                                   表1-2 显示信息描述表

1.1.4  display time-range

【命令】

display time-range[ all | name ]

【视图】

任意视图

【参数】

all：显示所有的时间段。

name：为时间段的名称，以[a-z,A-Z]为起始字母的字符串，取值范围为1～32个字符。

【描述】

display time-range命令用来显示当前时间段的配置和状态，对于当前处在激活状态的时间段将显示active，对于非激活状态显示inactive。

注意，由于系统更新访问控制列表状态有一个延时，大约1分钟，而display time-range会采用当前时间对其进行判断，所以有可能出现display time-range看到一个时间段已经激活，而引用它的访问控制列表没有激活。这种情况是正常的。

相关配置可参考命令time-range。

【举例】

# 显示所有时间段。

<Quidway> display time-range all

Current time is 14:36:364-3-2003 Thursday

Time-range : hhy ( Inactive )

 from 08:302-5-2005 to 18:002-19-2005

Time-range : hhy1 ( Inactive )

 from 08:302-5-2003 to 18:002-19-2003

                                                                                                                                                                                   表1-3 显示信息描述表

# 显示名字为tm1的时间段。

<Quidway> display time-range tm1

Current time is 14:37:314-3-2003 Thursday

Time-range : tm1 ( Inactive )

 from 08:302-5-2005 to 18:002-19-2005

                                                                                                                                                                                   表1-4 显示信息描述表

1.1.5  packet-filter

【命令】

packet-filter { user-group { acl-number | acl-name } [ rule rule ] | { ip-group { acl-number | acl-name } [ rule rule ] | link-group { acl-number | acl-name } [ rule rule ] }* }

undo packet-filter { user-group { acl-number | acl-name } [ rule rule ] | { ip-group { acl-number | acl-name } [ rule rule ] | link-group { acl-number | acl-name } [ rule rule ] }* }

【视图】

系统视图

【参数】

user-group { acl-number | acl-name }：表示激活用户自定义的访问控制列表。acl-number：访问控制列表序号，5000到5999之间的一个数值。acl-name：访问控制列表名字，字符串参数，必须以英文字母（即[ a～z，A～Z]）开头，而且中间不能有空格和引号。

ip-group { acl-number | acl-name }：表示激活IP访问控制列表，包括基本、高级访问控制列表。acl-number：访问控制列表序号，2000到3999之间的一个数值。acl-name：访问控制列表名字，字符串参数，必须以英文字母（即[ a～z，A～Z]）开头，而且中间不能有空格和引号。

link-group { acl-number | acl-name }：表示激活二层访问控制列表。acl-number：访问控制列表序号，4000到4999之间的一个数值。acl-name：访问控制列表名字，字符串参数，必须以英文字母（即[a～z，A～Z]）开头，而且中间不能有空格和引号。

rule rule：可选参数，指定激活访问列表中的哪个子项，取值范围为0～127，如果不指定则表示要激活访问列表中的所有子项。

【描述】

packet-filter命令用来激活访问控制列表，undo packet-filter命令用来取消激活。

packet-filter命令支持同时激活二层和IP访问控制列表，但是要求各访问控制列表的动作不互相冲突，如果动作冲突（例如一个是permit另一个是deny）则不能同时激活这些访问控制列表。

【举例】

# 下面的命令同时激活2000号访问控制列表和4000号访问控制列表。

[Quidway] packet-filter ip-group 2000 link-group 4000 rule 0

1.1.6  reset acl counter

【命令】

reset acl counter { all | acl-number | acl-name }

【视图】

用户视图

【参数】

all：表示所有的访问列表（包括数字标识的和名字标识的）。

acl-number：访问列表序号，2000到3999之间的一个数值。

acl-name：访问列表名字，字符串参数，必须以英文字母（即[a-z,A-Z]）开始，而且中间不能有空格和引号；不区分大小写，不允许使用all、any关键字。

【描述】

reset acl counter命令用来清除对软件处理的报文过滤和流分类的访问控制列表的统计信息。本命令把访问控制列表被匹配的次数信息清零。

                                                                                                                                                                  表1-5 统计信息的reset命令的比较

【举例】

# 下面的命令清除2000号访问列表的统计信息。

<Quidway> reset acl counter 2000

1.1.7  rule

【命令】

1. 定义或删除基本访问控制列表的子规则

rule [ rule-id ] { permit | deny } [ source source-addr wildcard | any ] [ fragment ] [ time-range name ]

undo rule rule-id[ source ] [ fragment ] [ time-range ]

2. 定义或删除高级访问控制列表的子规则

rule [ rule-id ] { permit | deny } protocol [ source source-addr wildcard | any ] [ destination dest-addr wildcard | any ] [ source-port operator port1 [ port2 ] ] [ destination-port operator port1 [ port2 ] ] [ icmp-type type code ]  [ established ] [ [ precedence precedence | tos tos ]* | dscp dscp ] [ fragment ] [ time-range name ]

undo rule rule-id[ source ] [ destination ] [ source-port ] [ destination-port ] [ icmp-type ] [ precedence ] [ tos ] [ dscp ] [ fragment ]  [ time-range ]

3. 定义或删除二层访问控制列表的子规则

rule [ rule-id ]{ permit | deny } [ protocol ] [ cos vlan-pri ] [ ingress { { source-vlan-id | source-mac-addr source-mac-wildcard | interface { interface-name | interface-type interface-num } }* | any } ] [ egress { { dest-mac-addr dest-mac-wildcard | interface { interface-name | interface-type interface-num } }* | any } ] [ time-range name ]

undo rule rule-id

4. 定义或删除用户自定义访问控制列表的子规则

rule [ rule-id ] { permit | deny } { rule-string rule-mask offset }&<1-8> [ time-range name ]

undo rule rule-id

【视图】

相应的访问控制列表视图

【参数】

rule-id：指定访问控制列表的子项，取值范围为0～127。

permit：表明允许满足条件的报文通过。

deny：表明禁止满足条件的报文通过。

time-range name：时间段的名称，可选参数，表示该规则在此时间段内有效。

l              下面是基本访问控制列表特有的参数：

source source-addr wildcard | any：source-addr wildcard表示源IP地址和源地址通配位，点分十进制表示；any表示所有源地址。本参数适用于定义基本访问控制列表。

fragment：表示此条规则仅对分片报文有效。如果不选择本参数则表示本规则不以报文是否分片作为依据对报文进行过滤。本参数适用于定义基本访问控制列表。

l              下面是高级访问控制列表特有的参数：

protocol：本参数用来指定协议类型。协议类型可以使用名字表示，也可以使用数字表示。在使用名字表示时，该参数可以取值icmp、igmp、tcp、udp、ip、gre、ospf、ipinip等。如果本参数取值为IP，表示所有的IP协议。在使用数字表示时，数字的取值范围为1～255。本参数适用于定义高级访问控制列表。

source source-addr wildcard | any：source-addr wildcard表示源IP地址和源地址通配位，点分十进制表示；any表示所有源地址。本参数适用于定义高级访问控制列表。

destination dest-addr wildcard | any：dest-addr wildcard表示目的IP地址和目的地址通配位，点分十进制表示；any表示所有目的地址。本参数适用于定义高级访问控制列表。

source-port operator port1 [ port2 ]：表示报文使用的源TCP或者UDP端口号。其中operator表示端口操作符，包括eq（等于）、gt(大于)、lt(小于)、neq (不等于)、range(在某个范围内)。注：本参数在protocol参数取值为TCP或UDP时才可用。port1 [ port2 ]：报文使用的TCP或者UDP源端口号，用字符或数字表示。数字的取值范围为0～65535，字符取值请参看端口号助记符表。只有操作符为range时才会同时出现port1 port2两个参数，其它操作符只需port1。本参数适用于定义高级访问控制列表。

destination-port operator port1 [ port2 ]：表示报文使用的目的TCP或者UDP端口号。具体描述同source-port operator port1 [ port2 ]。

icmp-type type code：当protocol参数取值icmp时出现。type code指定一ICMP报文。type代表ICMP报文类型，用字符或数字表示，数字取值范围为0～255； code代表ICMP码，在协议为icmp且没有使用字符表示ICMP报文类型时出现，取值范围是0～255。本参数适用于定义高级访问控制列表。

established：表示此条规则仅对TCP建立连接的第一个SYN报文有效，可选参数，当protocol参数取值tcp时出现。本参数适用于定义高级访问控制列表。

precedence precedence：可选参数，表示IP优先级，取值为0～7的数值或名字。

tos tos：可选参数，数据包可以根据TOS值来分类，取值为0～15的数值或名字。本参数适用于定义高级访问控制列表。

dscp dscp：可选参数，数据包可以根据DSCP值来分类，取值为0～63的数值或名字。本参数适用于定义高级访问控制列表。

fragment：表示此条规则仅对分片报文有效。如果不选择本参数则表示本规则不以报文是否分片作为依据对报文进行过滤。本参数适用于定义高级访问控制列表。

l              下面是二层访问控制列表特有的参数：

protocol：为以太网帧承载的协议类型，可选参数，取值范围为ip、arp、rarp、pppoe-control和pppoe-data。

cos vlan-pri：802.1p优先级，取值范围为0～7。

ingress { { [ source-vlan-id ] [ source-mac-addr source-mac-wildcard ] [ interface { interface-name | interface-type interface-num } ] } | any }：数据包的源信息，[ source-vlan-id ]表示的是数据包的源VLAN，[ source-mac-addr source-mac-wildcard ]表示的是数据包的源MAC地址和MAC地址的通配符，这两个参数共同作用可以得到用户感兴趣的源MAC地址的范围，比如source-mac-wildcard取值为0.0.ffff，则表示用户只对源MAC地址的前32个bit（即通配符中数字0对应的比特位）感兴趣，interface { interface-name | interface-type interface-num }表示的是接收该报文的二层端口，any表示从所有端口接收到的所有报文。

egress { { [ dest-mac-addr dest-mac-wildcard ] [ interface { interface-name | interface-type interface-num } ] } | any }：数据包的目的信息，dest-mac-addr dest-mac-wildcard表示该报文的目的MAC地址和目的MAC地址通配符，这两个参数共同作用可以得到用户感兴趣的目的MAC地址的范围，比如dest-mac-wildcard取值为0.0.ffff，则表示用户只对目的MAC地址的前32个bit（即通配符中数字0对应的比特位）感兴趣，interface { interface-name | interface-type interface-num }表示转发该报文的二层端口，any表示从所有端口转发的所有报文。

l              下面是用户自定义访问控制列表特有的参数：

{ rule-string rule-mask offset }&<1-8>：rule-string是用户自定义的规则字符串，必须是16进制数组成，字符必须是偶数个；rule-mask offset用于提取报文的信息，rule-mask是规则掩码，用于和数据包作“与”操作，offset是偏移量，它以数据包的头部为基准，指定从第几个字节开始进行“与”操作，rule-mask offset共同作用，将从报文提取出来的字符串和用户定义的rule-string比较，找到匹配的报文，然后进行相应的处理。&<1-8>表示则一次最多可以定义8个这样的规则。此参数用于用户自定义的访问控制列表。

【描述】

rule命令用来增加访问控制列表的一条子规则，undo rule命令用来删除一条访问控制列表的其中一个子规则。

用户可以为一条访问控制列表定义多条子?/div>

查看(22) 评论(0) 收藏 分享 圈子 管理