求助ACL策略的调用问题
- 0关注
- 1收藏，1623浏览
问题描述：
求助求助，各位大佬，H3C的交换机，ACL配置完了，怎么调用啊，具体代码给下，谢谢，这是我写的ACLacl number 3000 rule 5 permit ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255理论来说，30.0段位的可以访问20.1，可是我ping不通traffic classifier 1 operator and if-match acl 3000#traffic behavior 1 filter deny#qos policy 1 classifier 1 behavior 1这些也配置了。
组网及组网描述：
在S5024PV2-EI交换机测试的，电脑直连交换机，电脑IP地址是：192.168.30.111，无法ping通192.168.20.1，可以ping通192.168.30.1
- 2020-07-15提问
- 举报
-
(0)
最佳答案
您好，请知：
关于acl的应用有很多情况，看您的应用应该是用OQS，可以在端口或者全局下应用。
流量统计：
http://h3c.com/cn/d_202004/1284903_30005_0.htm#_Toc37773330
12.3 流量统计配置举例
12.3.1 流量统计配置举例
1. 组网需求
用户网络描述如下：Host通过接口Ten-GigabitEthernet1/0/1接入设备Device。
配置流量统计功能，对接口Ten-GigabitEthernet1/0/1接收的源IP地址为1.1.1.1/24的报文进行统计。
2. 组网图
图12-1 流量统计配置组网图
3. 配置步骤
# 定义基本ACL 2000，对源IP地址为1.1.1.1的报文进行分类。
<Device> system-view
[Device] acl basic 2000
[Device-acl-ipv4-basic-2000] rule permit source 1.1.1.1 0
[Device-acl-ipv4-basic-2000] quit
# 定义类classifier_1，匹配基本ACL 2000。
[Device] traffic classifier classifier_1
[Device-classifier-classifier_1] if-match acl 2000
[Device-classifier-classifier_1] quit
# 定义流行为behavior_1，动作为流量统计。
[Device] traffic behavior behavior_1
[Device-behavior-behavior_1] accounting packet
[Device-behavior-behavior_1] quit
# 定义策略policy，为类classifier_1指定流行为behavior_1。
[Device] qos policy policy
[Device-qospolicy-policy] classifier classifier_1 behavior behavior_1
[Device-qospolicy-policy] quit
# 将策略policy应用到接口Ten-GigabitEthernet1/0/1的入方向上。
[Device] interface ten-gigabitethernet 1/0/1
[Device-Ten-GigabitEthernet1/0/1] qos apply policy policy inbound
[Device-Ten-GigabitEthernet1/0/1] quit
# 查看配置后流量统计的情况。
[Device] display qos policy interface ten-gigabitethernet 1/0/1
Interface: Ten-GigabitEthernet1/0/1
Direction: Inbound
Policy: policy
Classifier: classifier_1
Operator: AND
Rule(s) :
If-match acl 2000
Behavior: behavior_1
Accounting enable:
28529 (Packets)
包过滤：
http://h3c.com/cn/d_202004/1284902_30005_0.htm
1.5 ACL典型配置举例
1.5.1 在接口上应用包过滤的ACL典型配置举例
1. 组网需求
· 某公司内的各部门之间通过Device实现互连，该公司的工作时间为每周工作日的8点到18点。
· 通过配置，允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
2. 组网图
图1-1 ACL典型配置组网图
3. 配置步骤
# 创建名为work的时间段，其时间范围为每周工作日的8点到18点。
<Device> system-view
[Device] time-range work 08:00 to 18:00 working-day
# 创建IPv4高级ACL 3000，并制订如下规则：允许总裁办在任意时间、财务部在工作时间访问财务数据库服务器，禁止其它部门在任何时间、财务部在非工作时间访问该服务器。
[Device] acl advanced 3000
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] rule permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work
[Device-acl-ipv4-adv-3000] rule deny ip source any destination 192.168.0.100 0
[Device-acl-ipv4-adv-3000] quit
# 应用IPv4高级ACL 3000对接口Ten-GigabitEthernet1/0/1出方向上的报文进行过滤。
[Device] interface ten-gigabitethernet 1/0/1
[Device-Ten-GigabitEthernet1/0/1] packet-filter 3000 outbound
[Device-Ten-GigabitEthernet1/0/1] quit
4. 验证配置
配置完成后，在各部门的PC（假设均为Windows XP操作系统）上可以使用ping命令检验配置效果，在Device上可以使用display acl命令查看ACL的配置和运行情况。例如在工作时间：
# 在财务部的PC上检查到财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Reply from 192.168.0.100: bytes=32 time=1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Reply from 192.168.0.100: bytes=32 time<1ms TTL=255
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 0ms, Maximum = 1ms, Average = 0ms
由此可见，财务部的PC能够在工作时间访问财务数据库服务器。
# 在市场部的PC上检查财务数据库服务器是否可达。
C:\> ping 192.168.0.100
Pinging 192.168.0.100 with 32 bytes of data:
Request timed out.
Request timed out.
Request timed out.
Request timed out.
Ping statistics for 192.168.0.100:
Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),
由此可见，市场部的PC不能在工作时间访问财务数据库服务器。
# 查看IPv4高级ACL 3000的配置和运行情况。
[Device] display acl 3000
Advanced IPv4 ACL 3000, 3 rules,
ACL's step is 5
rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.100 0
rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.0.100 0 time-range work (Active)
rule 10 deny ip destination 192.168.0.100 0
- 2020-07-15回答
- 评论(1)
- 举报
-
(0)
谢谢，我再学习学习
您好，请知：
ACL直接调用到端口的命令举例如下：
int gi 1/0/1
packet-filter 3000 inbound
packet-filter 3000 outbound
quit
- 2020-07-15回答
- 评论(1)
- 举报
-
(1)
谢谢，不过刚才我看了下S5024PV2-EI是二层交换机，没有ACL功能。我的问题，惆怅
谢谢，不过刚才我看了下S5024PV2-EI是二层交换机，没有ACL功能。我的问题，惆怅
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
谢谢，我再学习学习