问

msr 2600 http做了acl但是不生效

2天前提问

0关注
0收藏，94浏览

zhiliao_npyAjD

zhiliao_npyAjD 零段

粉丝：0人关注：0人

问题描述：

MSR2600 http 做了acl但是不生效
ip http acl name http
ip https acl name http
ip http enable
ip https enable

acl advance

d name http

description http_https

rule 3 permit ip source 172.16.113.0 0.0.0.255

acl advanced name http

http_https

rule 3 permit ip source 172.16.113.0 0.0.0.255

rule 20 deny ip

3 个回答

按时间按赞数

有飞不起的鸟

有飞不起的鸟七段

粉丝：13人关注：0人

您的 ACL 配置有几个关键问题导致不生效。以下是修正后的完整配置方案：
# =====================================================
# 华三 MSR2600 HTTP/HTTPS ACL 正确配置
# =====================================================
system-view

# 1. 删除现有错误配置
undo acl advanced name http
undo ip http acl
undo ip https acl

# 2. 创建新的高级 ACL
acl advanced name HTTP_ACL # 使用有意义的名称
description "HTTP/HTTPS Access Control"
rule 5 permit ip source 172.16.113.0 0.0.0.255 # 允许特定网段
rule 10 deny ip # 拒绝所有其他IP
quit

# 3. 应用 ACL 到 HTTP/HTTPS 服务
ip http acl name HTTP_ACL
ip https acl name HTTP_ACL

# 4. 启用 HTTP/HTTPS 服务
ip http enable
ip https enable

# 5. 保存配置
save force
原配置问题分析
1. ACL 命名冲突
您创建了两个同名的 ACL：http
华三设备不允许 ACL 名称重复
2. ACL 类型错误
您混合使用了基本 ACL (acl advance) 和高级 ACL (acl advanced)
HTTP/HTTPS 服务需要高级 ACL
3. 规则顺序问题
规则 20 的 deny ip应该放在最后
ACL 规则按序号从小到大执行
4. 语法错误
d name http是无效命令
http_https行缺少命令前缀
验证配置是否生效
1. 检查 ACL 配置
display acl advanced name HTTP_ACL
# 应显示：
# Advanced ACL HTTP_ACL, 2 rules
# rule 5 permit ip source 172.16.113.0 0.0.0.255
# rule 10 deny ip
2. 检查 HTTP/HTTPS 服务配置
display ip http
# 应显示：HTTP ACL: HTTP_ACL

display ip https
# 应显示：HTTPS ACL: HTTP_ACL
3. 测试访问控制
# 从允许的网段测试 (172.16.113.0/24)
telnet 172.16.113.1 80 # 测试 HTTP
telnet 172.16.113.1 443 # 测试 HTTPS

# 从不允许的网段测试 (如 172.16.114.1)
telnet 172.16.114.1 80 # 应被拒绝
高级配置建议
1. 添加更多安全规则
acl advanced name HTTP_ACL
# 允许管理网段
rule 5 permit ip source 172.16.113.0 0.0.0.255

# 允许特定管理主机
rule 6 permit ip source 192.168.1.100 0

# 拒绝所有其他IP
rule 100 deny ip
quit
2. 结合时间段控制
# 创建时间段
time-range WORKING_HOURS 08:00 to 18:00 working-day

# 应用时间段到ACL
acl advanced name HTTP_ACL
rule 5 permit ip source 172.16.113.0 0.0.0.255 time-range WORKING_HOURS
rule 10 deny ip
quit
3. 启用日志记录
acl advanced name HTTP_ACL
rule 5 permit ip source 172.16.113.0 0.0.0.255 logging
rule 10 deny ip logging
quit
常见问题排查
如果 ACL 仍然不生效：
检查默认策略：
display current-configuration | include "ip http"
display current-configuration | include "ip https"
检查接口应用：
display ip interface brief
# 确保ACL应用到正确的接口
检查规则顺序：
display acl advanced name HTTP_ACL
# 确保deny规则在最后
测试基本连通性：
# 从客户端测试
ping 172.16.113.1
telnet 172.16.113.1 80
最终配置示例
system-view
# 清除现有配置
undo acl advanced name http
undo ip http acl
undo ip https acl

# 创建新ACL
acl advanced name MGMT_ACCESS
description "HTTP/HTTPS Management Access"
rule 5 permit ip source 172.16.113.0 0.0.0.255
rule 10 permit ip source 192.168.1.100 0
rule 100 deny ip logging
quit

# 应用ACL
ip http acl name MGMT_ACCESS
ip https acl name MGMT_ACCESS

# 启用服务
ip http enable
ip https enable

# 保存配置
save force

回复zhiliao_npyAjD:

undo ip http acl undo acl basic name http_acl # 创建新 ACL acl basic name HTTP_MGMT_ACL description "HTTP Management Access" rule 5 permit source 172.16.113.0 0.0.0.255 logging rule 10 permit source 192.168.1.100 0 logging # 添加特定管理主机 rule 100 deny logging # 拒绝所有其他IP quit # 应用 ACL ip http acl name HTTP_MGMT_ACL # 启用 HTTP 服务 ip http enable

有飞不起的鸟发表时间：2天前 更多>>

还是不行 Advanced IPv4 ACL named http_acl, 2 rules, "http/https access control" ACL's step is 5 rule 0 permit ip source 172.16.113.0 0.0.0.255 rule 10 deny ip dis ip https HTTPS port: 443 SSL server policy : Not configured Certificate access-control-policy : Not configured ACL: http_acl(basic) Operation status : Enabled dis acl name http_acl Advanced IPv4 ACL named http_acl, 2 rules, "http/https access control" ACL's step is 5 rule 0 permit ip source 172.16.113.0 0.0.0.255 rule 10 deny ip dis tcp *: TCP connection with authentication Local Addr:port Foreign Addr:port State Slot PCB 0.0.0.0:22 0.0.0.0:0 LISTEN 0 0xffffffffffffffa2 0.0.0.0:80 0.0.0.0:0 LISTEN 0 0xffffffffffffffa3 0.0.0.0:443 0.0.0.0:0 LISTEN 0 0xffffffffffffffa5 192.168.100.2:22 172.16.113.211:54494 ESTABLISHED 0 0x0000000000005fb8 192.168.100.2:443 172.16.113.211:54241 FIN_WAIT_2 0 0x0000000000005fac 192.168.100.2:443 172.16.113.211:54298 FIN_WAIT_2 0 0x0000000000005fb5 220.176.42.234:443 172.16.113.211:54625 ESTABLISHED 0 0x0000000000005fce 220.176.42.234:443 172.16.113.211:54626 ESTABLISHED 0 0x0000000000005fcf 220.176.42.234:443 172.16.113.211:54632 ESTABLISHED 0 0x0000000000005fd1 192.168.100.2:443 172.16.113.211:54732 ESTABLISHED 0 0x0000000000005fe9 192.168.100.2:443 172.16.113.211:54733 ESTABLISHED 0 0x0000000000005fea 192.168.100.2:443 172.16.113.211:54734 ESTABLISHED 0 0x0000000000005feb

zhiliao_npyAjD 发表时间：2天前

策略没有命中，登录正常

zhiliao_npyAjD 发表时间：2天前

dis acl name http_acl Advanced IPv4 ACL named http_acl, 2 rules, "http/https access control" ACL's step is 5 rule 0 permit ip source 172.16.113.0 0.0.0.255 rule 10 deny ip ip http acl name http_acl ip https acl name http_acl ip http enable ip https enable web new-style dis tcp 192.168.100.2:443 172.16.113.211:54733 ESTABLISHED 0 0x0000000000005fea

zhiliao_npyAjD 发表时间：2天前

dis ip http HTTP port: 80 ACL: http_acl(basic) Operation status : Enabled

zhiliao_npyAjD 发表时间：2天前

回复zhiliao_npyAjD:

有飞不起的鸟发表时间：2天前

沉鱼落雁_解决问题看主页

沉鱼落雁_解决问题看主页八段

粉丝：56人关注：0人

打开你的电脑，在浏览器输入知了社区，找到这个帖子，要么在别人下面评论，要么点我的头像。

配置没问题，是否ACL有其他地方优先匹配了，仔细排查下

7.4.2 对Web用户的控制典型配置举例1. 组网需求

通过源IP对Web用户进行控制，仅允许来自10.110.100.52的Web用户访问设备。

2. 组网图

图7-2 对Device的HTTP用户进行ACL控制

‌

3. 配置步骤

# 定义基本访问控制列表。

<Sysname> system-view

[Sysname] acl basic 2030 match-order config

[Sysname-acl-ipv4-basic-2030] rule 1 permit source 10.110.100.52 0

# 引用访问控制列表，仅允许来自10.110.100.52的Web用户访问设备。

[Sysname] ip http acl 2030

4. 验证配置

在Host B上打开浏览器，输入https://10.110.110.66，按下回车，打开Web用户登录界面，输入用户名和密码后，按下<登录>按钮，进入设备配置管理Web界面。在Host A上打开浏览器，输入https://10.110.110.66，按下回车，打开Web用户登录界面，输入用户名和密码后，按下<登录>按钮，无法进入设备配置管理Web界面。

zhiliao_ymR7Os

zhiliao_ymR7Os 三段

粉丝：4人关注：0人

我用模拟器做是可以的，主要配置如下：

acl ba 2000

rule permit source 172.16.113.0 0.0.0.255

ip http acl 2000

ip http enable

ip https acl 2000

ip https enable

就是没有匹配上啊，不排查干嘛呢

沉鱼落雁_解决问题看主页发表时间：2天前 更多>>

就是没有匹配上啊，不排查干嘛呢

沉鱼落雁_解决问题看主页发表时间：2天前

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

msr 2600 http做了acl但是不生效

问题描述：

打开你的电脑，在浏览器输入知了社区，找到这个帖子，要么在别人下面评论，要么点我的头像。

配置没问题，是否ACL有其他地方优先匹配了，仔细排查下

7.4.2 对Web用户的控制典型配置举例1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

编辑答案

提出建议