华为交换机ACL控制列表设置

交换机配置（三）ACL基本配置

1，二层ACL

.组网需求:

通过二层访问控制列表，实现在每天8:00～18:00时间段内对源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303报文的过滤。该主机从GigabitEthernet0/1接入。

.配置步骤:

(1)定义时间段

#定义8:00至18:00的周期时间段。

[Quidway]time-rangehuawei8:00to18:00daily

(2)定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的ACL

#进入基于名字的二层访问控制列表视图，命名为traffic-of-link。

[Quidway]aclnametraffic-of-linklink

#定义源MAC为00e0-fc01-0101目的MAC为00e0-fc01-0303的流分类规则。

[Quidway-acl-link-traffic-of-link]rule1denyingress00e0-fc01-01010-0-0egress00e0-fc01-03030-0-0time-rangehuawei

(3)激活ACL。

#将traffic-of-link的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterlink-grouptraffic-of-link

2三层ACL

a)基本访问控制列表配置案例

.组网需求:

通过基本访问控制列表，实现在每天8:00～18:00时间段内对源IP为10.1.1.1主机发出报文的过滤。该主机从GigabitEthernet0/1接入。

.配置步骤:

(1)定义时间段

#定义8:00至18:00的周期时间段。

[Quidway]time-rangehuawei8:00to18:00daily

(2)定义源IP为10.1.1.1的ACL

#进入基于名字的基本访问控制列表视图，命名为traffic-of-host。

[Quidway]aclnametraffic-of-hostbasic

#定义源IP为10.1.1.1的访问规则。

[Quidway-acl-basic-traffic-of-host]rule1denyipsource10.1.1.10time-rangehuawei

(3)激活ACL。

#将traffic-of-host的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-host

b)高级访问控制列表配置案例

.组网需求:

公司企业网通过Switch的端口实现各部门之间的互连。研发部门的由GigabitEthernet0/1端口接入，工资查询服务器的地址为129.110.1.2。要求正确配置ACL，限制研发部门在上班时间8:00至18:00访问工资服务器。

.配置步骤:

(1)定义时间段

#定义8:00至18:00的周期时间段。定义时间－ACL规则创建－设定规则－激活规则[Quidway]time-rangehuawei8:00to18:00working-day

(2)定义到工资服务器的ACL

#进入基于名字的高级访问控制列表视图，命名为traffic-of-payserver。

[Quidway]aclnametraffic-of-payserveradvanced

#定义研发部门到工资服务器的访问规则。

[Quidway-acl-adv-traffic-of-payserver]rule1denyipsourceanydestination129.110.1.20.0.0.0time-rangehuawei

(3)激活ACL。

#将traffic-of-payserver的ACL激活。

[Quidway-GigabitEthernet0/1]packet-filterinboundip-grouptraffic-of-payserver

3，常见病毒的ACL

创建acl

aclnumber100

禁ping

ruledenyicmpsourceanydestinationany

用于控制Blaster蠕虫的传播

ruledenyudpsourceanydestinationanydestination-porteq69

ruledenytcpsourceanydestinationanydestination-porteq4444

用于控制冲击波病毒的扫描和攻击

ruledenytcpsourceanydestinationanydestination-porteq135

ruledenyudpsourceanydestinationanydestination-porteq135

ruledenyudpsourceanydestinationanydestination-porteqnetbios-ns

ruledenyudpsourceanydestinationanydestination-porteqnetbios-dgm

ruledenytcpsourceanydestinationanydestination-porteq139

ruledenyudpsourceanydestinationanydestination-porteq139

ruledenytcpsourceanydestinationanydestination-porteq445

ruledenyudpsourceanydestinationanydestination-porteq445

ruledenyudpsourceanydestinationanydestination-porteq593

ruledenytcpsourceanydestinationanydestination-porteq593

用于控制振荡波的扫描和攻击

ruledenytcpsourceanydestinationanydestination-porteq445

ruledenytcpsourceanydestinationanydestination-porteq5554

ruledenytcpsourceanydestinationanydestination-porteq9995

ruledenytcpsourceanydestinationanydestination-porteq9996

用于控制Worm_MSBlast.A蠕虫的传播

ruledenyudpsourceanydestinationanydestination-porteq1434

下面的不出名的病毒端口号（可以不作）

ruledenytcpsourceanydestinationanydestination-porteq1068

ruledenytcpsourceanydestinationanydestination-porteq5800

ruledenytcpsourceanydestinationanydestination-porteq5900

ruledenytcpsourceanydestinationanydestination-porteq10080

图2三层交换机防ARP攻击组网三、配置步骤1.对于三层设备，需要配置过滤源IP是网关的ARP报文的ACL规则，配置如下ACL规则：aclnumber5000rule0deny0806ffff2464010105ffffffff40rule0禁止S3526E的所有端口接收冒充网关的ARP报文，其中斜体部分64010105是网关IP地址100.1.1.5的16进制表示形式。2.下发ACL到全局[S3526E]packet-filteruser-group5000仿冒他人IP的ARP防攻击一、组网需求：作为网关的设备有可能会出现错误ARP的表项，因此在网关设备上还需对用户仿冒他人IP的ARP攻击报文进行过滤。二、组网图：参见图1和图2三、配置步骤：1.如图1所示，当PC-B发送源IP地址为PC-D的arpreply攻击报文，源mac是PC-B的mac(000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是网关（3552P）的，这样3552上就会学习到错误的arp，如下所示：---------------------错误arp表项--------------------------------IPAddressMACAddressVLANIDPortNameAgingType100.1.1.4000d-88f8-09fa1Ethernet0/220Dynamic100.1.1.3000f-3d81-45b41Ethernet0/220Dynamic从网络连接可以知道PC-D的arp表项应该学习到端口E0/8上，而不应该学习到E0/2端口上。但实际上交换机上学习到该ARP表项在E0/2。上述现象可以在S3552上配置静态ARP实现防攻击：arpstatic100.1.1.3000f-3d81-45b41e0/82.在图2S3526C上也可以配置静态ARP来防止设备学习到错误的ARP表项。3.对于二层设备（S3050C和S3026E系列），除了可以配置静态ARP外，还可以配置IP＋MAC＋port绑定，比如在S3026C端口E0/4上做如下操作：amuser-bindip-addr100.1.1.4mac-addr000d-88f8-09fainte0/4端口绑定则IP为100.1.1.4并且MAC为000d-88f8-09fa的ARP报文可以通过E0/4端口，仿冒其它设备的ARP报文则无法通过，从而不会出现错误ARP表项。四、配置关键点：此处仅仅列举了部分QuidwayS系列以太网交换机的应用。在实际的网络应用中，请根据配置手册确认该产品是否支持用户自定义ACL和地址绑定。仅仅具有上述功能的交换机才能防止ARP欺骗。5，关于ACL规则匹配的说明a)ACL直接下发到硬件中的情况交换机中ACL可以直接下发到交换机的硬件中用于数据转发过程中的过滤和流分类。此时一条ACL中多个子规则的匹配顺序是由交换机的硬件决定的，用户即使在定义ACL时配置了匹配顺序也不起作用。ACL直接下发到硬件的情况包括：交换机实现QoS功能时引用ACL、硬件转发时通过ACL过滤转发数据等。b)ACL被