产品管理华为交换中端产品QACL配置案例集

1、（产品管理）华为交换中端产品QACL配置案例集20XX年XX月峯年的企业咨询咸问经验.经过实战验证可以藩地执行的卓越萱理方案.值得您下载拥有华为交换中端产品QACL配置案例集由于芯片结构的原因，中端产品的QACL配置较复杂，给用户使用带来了壹定的难度，用服人员维护起来有时也会较为棘手，经常会有用户和用服人员打电话过来咨询这方面的配置的使用，下面的配置案例全部取材于6500系列产品于使用中的实际配置，大多是客户的咨询，其中壹些仍曾发生过网上问题。将这些东西进行总结，有利于我们更好的使用6506。【案例1】我想实现办公网只有个别的机器(8)访问服务器54，我进行了如

2、下配置，但8依然无法访问服务器，6506是不是不能实现这种需求啊。acln umber100rule0permitipsou80des540rule1de nyipin te2/0/1paip in 100【问题分析】这是个比较典型的错误，错误原因就是没有搞清6506的acl的其作用的顺序。于6500系列产品上，是根据规则的下发时间顺序来决定起作用的顺序的，最近下发的规则我们认为是用户最新的需求，它会最新起作用。对于上面的配置，rule0先下发，rule1后下发，那么首先其作用的是rule1o这样会将所有的报文均过滤掉。【解决办法】将俩条规则的配

3、置顺序对调。【案例2】我想禁止55访问任何网段的ICMP报文，但却无法实现，请帮忙检查壹下。aclnu mberlOOmatch-orderautoruleOde nyicmpsource55rule1de nytcpsource-porteq135dest in ati on-porteq135rule2de nytcpsource-porteq135dest in ati on-porteq139rule3de nytcpsource-porteq135desti nati on-porteq4444rule4de n

4、ytcpsource-porteq135dest in ati on-porteq445rule5de ny udpsource-porteqtftpdesti nati on-porteqtftprule6de ny tcpsource-porteq1025rule8permitip【问题分析】又是壹个比较典型的错误，用户认为要想让交换机转发，必须配置类似rule8的规则，其实这是不必要的，6506缺省有壹条matchall表项，将交换机配置成转发模式，再配置壹条， 则覆盖了前面的所有规则。【解决办法】将最后壹条规则去掉。【案例3】规则如下，要求只允许/16访问10.1.1

5、.0，但配置后其他网段也能够访问了，请问是为什么？aclnu mber101match-orderauto rule0de nyipaclnu mber102match-orderauto rule0permitipsource55desti nation55 in terfaceEthernet2/0/3descripti onconn ectedto5louportli nk-typehybridporthybridvla n1taggedporthybridvla n20un tagged porthybridpvidvl

6、a n20 qospacket-filteri nboun dip-group101rule0 packet-filteri nboun dip-group102rule0 packet-filteri nboundip-group103rule0 packet-filteri nboun dip-group105rule2 packet-filteri nboun dip-group105rule3packet-filteri nboun dip-group105rule5 packet-filteri nboun dip-group105rule6 packet-filteri nboun

7、dip-group105rule4【问题分析】由于ACL102的ruleO的原因，只要是从这个网段上来的报文均会匹配这个规则的前半部分,但如果它不是访问/16，它不会匹配上ACL102的ruleO，本来希望它匹配到ACL101的ruleO，可是由于于硬件中ipsource和ipanyany使用的是不同的id，所以ACL101的rule0也不再会被匹配到。那么报文会匹配到最后壹条缺省的matchall表项，进行转发。【解决办法】把rule0denyip变成rule0denyipsource55。【案例4】某银行当每天造成重起

8、6506后，发现有部分网段的用户无法访问病毒服务器(41和)，将防火墙配置删除后再下发问题消除。配置如下：acln umber122descripti on guokurule1de nyipsourcea nydesti natio n5rule2permitipsource601desti natio n5rule3permitipsource5desti natio n5rule

9、4permitipsource0desti natio n5rule5permitipsource4dest in atio n5rule6permitipsourcedesti natio n5rule7permitipsourcedesti natio n5 acln umber186rule1permitipsour

10、ce55dest in atio nanyin terfaceEthernet1/0/48descripti onconn ect_to_vla nIOOO-router traffic-priorityoutbo un dip-group181dscp46traffic-priorityoutbo un dip-group182dscp34traffic-priorityoutbo un dip-group183dscp26traffic-priorityoutbo un dip-group184dscp18traffic-priorityoutbo un d

11、ip-group185dscp10traffic-priorityoutbo un dip-group186dscp0packet-filteri nboun dip-group12 Ono t-care-for- in terfacepacket-filteri nboun dip-group121 no t-care-for- in terfacepacket-filteri nboun dip-group122 no t-care-for- in terfacepacket-filteri nboun dip-group123 no t-care-for- in terfacepacke

12、t-filteri nboun dip-group12 4no t-care-for- in terfacepacket-filteri nboun dip-group125 no t-care-for- in terface【问题分析】当我们做完配置时，软件对配置进行了相应的记录，我们使用save命令就能够将这些记录保存于配置文件中，每次启动后按照此记录的顺序逐条下发。由于acl的功能和下发顺序密切关联，所以软件上应该能够保证启动后的配置顺序和启动前的顺序壹致性。本问题出于软件于buildrun时将acl和qos的顺序进行了调整，将qos的动作放于了acl的动作之后，相当于人为的提高了qos

13、动作的优先级，重起后造成了部分acl失效。将acl删除后再下发，再次改变了匹配顺序，acl规则生效。由于软件设计时将acl和qos设计成了俩个模块，而buildrun的各个模块是独立的，所以此部分更改起来需要彻底更改设计方案，变动实于太大。【解决办法】能够将qos的操作移动到前面的端口来做，由于buildrun的顺序是按照端口顺序来做的，这样qos就会先行下发，acl的动作后下发，避免了覆盖的发生。对于上面的例子，也能够将acl186再添加俩条如下蓝色字体的规则，acln umber186rule1permitipsource55dest in atio nan

14、y rule5permitipsource4dest inatio n5 rule6permitipsourcedesti natio n5【案例5】我这里用户有这样的壹个需求，请帮我确定壹下应如何配置：核心使用6506，边缘节点使用五台3526E（使用二层），3526E和6506之间使用trunk模式，用户分为了7个网段。vlan分别为28，用户地址是27.0。考虑了网络安全，用户需要如下要求：21.0:能够访问in ternet网

15、，但不能访问其他网段；22.0:能够访问其他网段，但不能访问in ternet网；OOOOOOOO21.0和22.0分别属于vlan2和3，这俩个网段内的用户均通过壹个3526E接到6506上,请协助确定如何于6506上使用访问控制策略。多谢。【解决方案】1根据需求的字面意思来配置，思路清晰，但比较浪费表项。21-22de ny21-23de ny21-24de ny21-25de ny21-26de ny21 - 27de ny22 -anydeny22-21peimit22 - 23peimit22 - 24peimit2225peimit22 - 26peimit22 - 27permi

16、t2对需求进行分析，将网段加以合且，能够节省表项。3和4聚合成A:/235和8聚合成B:/22则需求能够简化成禁止2访问A和B,只允许A和B能够互访，禁止den y2toAden y2toBdeny Atoa nyden yBtoa nyA和B访问其他网段。permitAtoA permitBtoBpermitAtoB配置壹个acl即可：【案例6】我配置了如下acl，但下发时提示我配置无法下发，请问是为什么？acln umberlOOrulelde nyipdesti natio n55rulellde nyi

17、pdesti nati on 55rule28permitipsourcea nydest in atio n55【问题分析】规则11和28是同壹条规则，虽然动作不同，软件禁止同壹条规则重复下发。【解决办法】如果想下发后壹条规则，应首先删除头壹条。【案例7】用户配置访问列表禁止某壹网段于周壹至周五禁止上互联网，于这壹网段中的俩个ip不受限，于运行半天后，不受限的俩个ip无法访问in ternet。即acl中的permit失效，deny仍起作用。不做ACL的网段转发没有问题，0030（包括此版本）版本以下均有此问题。访问列表

18、需求如下：有2个网段/24/24于2台3050（分别千兆上连到6506）上,现要求周壹到周五不能访问互联网，但其中的 受限制。192.168.21/22.9和192.168.21/22.10却不我于6506上做了2种配置均可实现之上功能（运行1/2天以后必须重起6506） 第壹种是于3050上连到6506的光纤口上做访问列表第二种是于6506连接路由器的电口上做访问列表（于这个口上是为了考虑2个网段访问内网方便-即访问列表简单）acln umber101rule0de nyipsource55time-ra

19、ngestu netrule1permitipsource55desti natio n55rule2permitipsource00rule3permitipsource0acln umber102rule0de nyipsource55time-ra ngestu netrule1permitipsource55desti natio n55rule2pe

20、rmitipsource00rule3permitipsource0time-ra ngestu net08:00to22:00worki ng-day#【问题分析】防火墙能够配置时间段，这样规则就能够于壹段规定的时间内发生作用。这是对防火墙功能的进壹步提升。交换机的时间段功能是通过软件中的定时器于规定的时间段范围内下发到硬件中来完成的，于其他时间硬件中没有配置带有时间段的acl。当于规定的时间段之外，软件会将规则从硬件中删除，至U达时间后再次下发。但这里会存于壹个问题，就是我们已经默认后下发的规则优先，这就人为的提供了带有时间段的规则的优先级。

21、以至使得其它不带有时间段的规则失 效。上面的问题就是壹例。【解决办法】将同壹条acl的所有规则均配上相同的时间段。【案例8】用户反映，配置了访问控制列表后不知道如何查见是否有匹配上该规则的机器。应该如何查 见呢？【解答】能够配置流统计来实现这个功能。命令为接口模式下配置traffic-statics。然后使用disqos-interface命令来显示统计结果。但可是如果我配置的规则是DENY则不能下发。【案例9】能够通过下面的命令来选择使用L2或L3模式的流分类规则。请于全局配置模式下进行下列配置。表1-7选择ACL模式操作命令选择ACL模式aclmodel2|l3那么是说缺省情况下，选择使用

22、L3流分类规则。那么是说5516不能同时使用2层和3层的acl吗？换句话说是不是不能同时起用二层和三层的规则，如果已经配置了三层规则，又想再配置二 层规则，唯壹的方法就是把三层规则取消掉?【解答】5516和6506不能同时使用2层和3层的acl。不需要把三层规则取消掉，只需选择生效模式，硬件会自动选择二层或三层规则进行匹配。【案例10】路由器下面接6506，6506下面挂俩个vlan，壹边是学生，壹边是老师，老师和学生的带宽无论什么时候均各是2M。也就是基于vlan的限速。如果参见配置手册中下面的配置，实现起来应该没有什么问题吧。（1）定义工资服务器向外发送的流量Quidwayacl nametraffic-of-payserveradva ncedip#定义traffic-of-payserver这条高级访问控制列表的规则。Quidway-acl-adv-traffic-of-payserverrule1permitipsource129