H3C S9500交换机ACL访问控制列表功能的配置

H3C S9500交换机ACL访问控制列表功能的配置

一、组网需求：

访问控制列表（Access Control List，ACL）的功能是过滤通过网络设备的特定数据包。ACL通过一系列匹配条件对数据包进行分类，这些条件可以是数据包的源地址、目的地址、端口号，交换机根据ACL中指定的条件来检测数据包，从而决定是转发还是丢弃该数据包。ACL包括端口ACL、全局ACL、VLAN-ACL。全局ACL给用户提供一种整个单板上端口都会生效的ACL配置机制；VLAN-ACL即基于VLAN的ACL，用户通过对VLAN配置QACL动作，从而实现对VLAN内所有端口的访问控制。

以下组网图中，财经部工资服务器（server）连接在S9500的g7/1/1端口，端口ACL组网图中研发部计算机（HOST）连接在S9500的e3/1/1端口上，全局ACL组网图中研发部计算机（HOST）连接在S9500的g9/1/1到g9/3/1共9个端口上。研发部属于VLAN 10，IP地址为10.10.10.0/24，财经部属于VLAN 11，IP地址为10.11.11.0/24，其中工资服务器的地址为10.11.11.11/24。要求正确配置ACL，限制研发部除10.10.10.2与10.10.10.3这2个地址之外的主机上班时间8:00到18:00访问工资服务器。

二、组网图：

 

端口ACL典型组网图

全局ACL典型组网图

三、配置步骤：

软件版本：端口ACL，S9500交换机全系列软件版本；全局ACL，S9500交换机1273及以后版本。

硬件版本：端口ACL，S9500交换机全系列硬件版本；全局ACL，B类单板无法支持该功能。

该组网需求可以通过端口ACL或者全局ACL，一般情况下建议采用端口ACL

端口ACL配置

1）在S9500上创建研发部所属VLAN 10和财经部所属VLAN 11，并配置接口地址，使研发部计算机能ping通财经部工资服务器

[S9500]vlan 10

[S9500-vlan10]port Ethernet 3/1/1

[S9500]interface Vlan-interface 10

[S9500-Vlan-interface10]ip address 10.10.10.1 255.255.255.0

[S9500]vlan 11

[S9500-vlan11]port GigabitEthernet 7/1/1

[S9500]interface Vlan-interface 11

[S9500-Vlan-interface11]ip address 10.11.11.1 255.255.255.0

2）在交换机上配置带time-range的ACL规则

[S9500]time-range worktime 08:00 to 18:00 working-day

[S9500]acl number 3000

[S9500-acl-adv-3000]rule 0 permit ip source 10.10.10.2 0

[S9500-acl-adv-3000]rule 1 permit ip source 10.10.10.3 0

[S9500-acl-adv-3000]rule 2 deny ip source 10.10.10.0 0.0.0.255 destination 10.

11.11.11 0 time-range worktime

3）在相应的交换机端口上激活访问控制列表

[S9500-Ethernet3/1/1]packet-filter inbound ip-group 3000

全局ACL配置

需要进行访问控制配置的端口占了某个单板的大部分端口时，采用全局ACL可以节省交换机资源，而且能大大减少重复配置劳动。如上的全局ACL组网图，研发部门通过g91/1～g9/3/1九个端口（该单板一共12个端口）与交换机相连，采用全局ACL实现限制研发部门除10.10.10.2和10.10.10.3之外上班时间访问工资服务器，需要进行如下配置：

1）在交换机上面创建VLAN 10和VLAN 11，把端口加入到相应的VLAN且配置相应接口IP地址，使研发部计算机能ping通财经部工资服务器

[S9500]vlan 11

[S9500-vlan11]port GigabitEthernet 7/1/1

[S9500]interface Vlan-interface 11

[S9500-Vlan-interface11]ip address 10.11.11.1 255.255.255.0

[S9500]vlan 10

[S9500-vlan10]port GigabitEthernet 9/1/1

......

[S9500-vlan10]port GigabitEthernet 9/3/1

[S9500]interface Vlan-interface 10

[S9500-Vlan-interface10]ip address 10.10.10.1 255.255.255.0

2）在交换机上配置带time-range的ACL规则

[S9500]time-range worktime 08:00 to 18:00 working-day

[S9500]acl number 3000

[S9500-acl-adv-3000]rule 0 permit ip source 10.10.10.2 0

[S9500-acl-adv-3000]rule 1 permit ip source 10.10.10.3 0

[S9500-acl-adv-3000]rule 2 deny ip source 10.10.10.0 0.0.0.255 destination 10.

11.11.11 0 time-range worktime

3）定义并应用全局流模板

[S9500]flow-template user-defined slot 9 sip 0.0.0.0 dip 0.0.0.0

[S9500]flow-template user-defined global slot 9

4）在单板上激活访问控制列表

[S9500]packet-filter inbound ip-group 3000 slot 9

5）在端口上应用自定义流模板

[S9500]inter GigabitEthernet 9/1/1

[S9500-GigabitEthernet9/1/1]flow-template user-defined

四、配置关键点：

1. 端口ACL

1）定义流模板时，模板中所有的元素大小之和要不大于16个字节

2）交换机每块单板支持两个流模板。一个是系统默认流模板，另一个是用户自定义流模板

3）流模板中可以同时定义二层、三层元素而不冲突

4）ACL规则的匹配顺序为：全局ACL、端口ACL、VLAN-ACL

2. 全局ACL

1）全局ACL只能在C,CA类和D类单板上配置

2）端口下发的流模板要与全局流模板一致，如果某端口的流模板与全局流模板不相同，则全局ACL在该端口不生效。如全局使用默认流模板，而端口使用自定义流模板，全局ACL规则在此端口上就不生效.