华为交换机ACL控制列表设置

1、交换机配置(三)ACL基本配置1，二层 ACL.组网需求：通过二层访问控制列表，实现在每天8:0018:00时间段内对源 MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303 报文的过滤。该主机从GigabitEthernet0/1 接入。.配置步骤：(1) 定义时间段#定义8:00至18:00的周期时间段。Quidway time-range huawei 8:00 to 18:00 daily(2) 定义源 MAC为 00e0-fc01-0101 目的 MAC为 00e0-fc01-0303 的 ACL#进入基于名字的二层访问控制列表视图，命名为traffic-of

2、-li nk。Quidway acl n ame traffic-of-li nk link#定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303 的流分类规则。Quidway-acl-li nk-traffic-of-li nk rule 1 deny in gress 00e0-fc01-0101 0-0-0 egress00e0-fc01-0303 0-0-0 time-ra nge huawei激活ACL# 将 traffic-of-link 的 ACL激活。Quidway-GigabitEthernet0/1 packet-filter lin k-gr

3、oup traffic-of-li nk2三层ACL定义8:00至18:00的周期时间段。将 traffic-of-host 的 ACL激活。Quidway-GigabitEthernet0/1 packet-filter inbound ip-group traffic-of-hostb)高级访问控制列表配置案例.配置步骤：(1)定义时间段#定义8:00至18:00的周期时间段。定义时间ACL规则创建设定规则激活规则图2三层交换机防ARF攻击组网三、配置步骤1. 对于三层设备，需要配置过滤源IP是网关的ARP报文的ACL规则，配置如下ACL规则: acl number 5000ruleO禁止

4、S3526E的所有端口接收冒充网关的 ARP报文，其中斜体部分是网关IP地址的 16进制表示形式。2. 下发ACL到全局S3526E packet-filter user-group 5000仿冒他人IP的ARP防攻击一、组网需求：作为网关的设备有可能会出现错误 ARP的表项，因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤。二、组网图：参见图1和图2三、配置步骤：1. 如图1所示，当PC-B发送源IP地址为PC-D的arp reply攻击报文，源mac是PC-B的 mac（000d-88f8-09fa），源 ip 是 PC-D的，目的 ip 和 mac是网关（3552P）的，这

5、样 3552 上就会学习到错误的arp，如下所示： 错误arp表项IP Address MAC Address VLAN ID Port Name Agi ng TypeEthernet0/2 20 Dyn amic从网络连接可以知道PC-D的arp表项应该学习到端口 E0/8上，而不应该学习到E0/2端 口上。但实际上交换机上学习到该 ARP表项在E0/2。上述现象可以在S3552上配置静态 ARP实现防攻击：2. 在图2 S3526C上也可以配置静态ARP来防止设备学习到错误的 ARP表项。3. 对于二层设备（S3050C和S3026E系列），除了可以配置静态ARP外,还可以配置IP +M

6、AC- port绑定，比如在S3026C端口 E0/4上做如下操作：端口绑定则IP为并且MAC为000d-88f8-09fa 的ARP报文可以通过E0/4端口，仿冒其它设备的ARP 报文则无法通过，从而不会出现错误 ARPS项。四、配置关键点：此处仅仅列举了部分Quidway S系列以太网交换机的应用。在实际的网络应用中，请根 据配置手册确认该产品是否支持用户自定义 ACL和地址绑定。仅仅具有上述功能的交换 机才能防止ARP欺骗。5,关于ACL规则匹配的说明a）ACL直接下发到硬件中的情况交换机中ACL可以直接下发到交换机的硬件中用于数据转发过程中的过滤和流分类。此 时一条ACL中多个子规则的匹配顺序是由交换机的硬件决定的，用户即使在定义ACL时配置了匹配顺序也不起作用。ACL直接下发到硬件的情况包括：交换机实现 QoS功能时引用ACL硬件转发时通过ACL 过滤转发数据等。b）ACL被上层模块引用的情况交换机也使用ACL来对由软件处理的报文进行过滤和流分类。此时ACL子规则的匹配顺序有两种：config （指定匹配该规则时按用户的配置顺序）和 auto （指定匹配该规则时 系统自动排序，即按“深度优先”的顺序）。这种情况下用户可以在定义 ACL的时候指定 一条ACL中多个子规则的匹