Oamc

ACL 与流量过滤

修改记录 原文
#ACL #访问控制 #网络进阶
本页目录

场景

要限制某段地址只能访问特定端口，或者把某些流量在接口上直接丢掉。

前置条件

  • 知道源/目的地址、协议和端口
  • 明确是「入口」还是「出口」过滤
  • 想清楚默认策略是 permit 还是 deny

配置

H3C

system-view
acl advanced 3000
 rule 0 deny tcp source 10.0.0.0 0.0.0.255 destination 10.0.1.10 0 destination-port eq 3389
 rule 10 permit ip source 10.0.0.0 0.0.0.255
 rule 20 deny ip
 quit

interface GigabitEthernet1/0/1
 packet-filter 3000 inbound
 quit

华为

acl number 3000
 rule 5 deny tcp source 10.0.0.0 0.0.0.255 destination 10.0.1.10 0 destination-port eq 3389
 rule 10 permit ip source 10.0.0.0 0.0.0.255
 rule 20 deny ip
 quit

interface GigabitEthernet0/0/1
 traffic-filter inbound acl 3000
 quit

验证

display acl 3000
display packet-filter interface GigabitEthernet1/0/1
display acl 3000 statistics

规则后面的命中计数能说明有没有生效。

回滚

interface GigabitEthernet1/0/1
 undo packet-filter 3000 inbound

坑

  • rule 20 deny ip 这类兜底规则，没放行的全被拒，先确认没有遗漏。
  • 规则是按序号从小到大匹配，命中即停，顺序错了结果完全不同。
  • 编号间隔留大一点（10、20、30），中间好插规则。
  • 反掩码写错（0.0.0.255 和 255.255.255.0 别混）。
  • 只配了 inbound，出方向还是全放行。
  • 忘了允许管理流量，把自己关在外面。