《H3C通过二层ACL实现报文过滤》由会员分享，可在线阅读，更多相关《H3C通过二层ACL实现报文过滤（3页珍藏版）》请在金锄头文库上搜索。
1、H3C通过二层ACL实现报文过滤（包过滤方式）1.7通过二层ACL实现报文过滤典型配置指导（包过滤方式）二层ACL根据报文的源MAC地址、目的MAC地址、802.1p优先级、二层协议 类型等二层信息制定匹配规则，对报文进行相应的分析处理。二层ACL的序号取值范围为40004999。1.7.1 组网图图 1-7 配置二层 ACL 组网图1.7.2 应用要求研发部和管理部中均部署了网络视频设备，这些视频设备的 MAC 地址为000f-e2xx-xxxx,现要求 限制这些设备仅有每天的8:30到18:00才能够向外 网发送数据。1.7.3 配置思路在受限设备的 IP 地址不定时，可以通过 MAC 地
2、址来进行匹配；而对于具有相 同 MAC 地址前缀的 多台设备，也可以通过 MAC 地址掩码的方式来进行同时匹 配。在本例中，只需要通过 MAC 地址掩 码来匹配前缀为 000f-e2 的设备，即 可限制所有视频设备的数据发送。相对于匹配源 IP 地址的方式， 匹配 MAC 地 址显得更为简单和准确。与 QoS 策略方式不同，包过滤方式只需要在 packet-filter 命令中引用 ACL 编号，就可以根据 ACL规则对报文进行拒绝或允许通过的动作，省去流行为、流分类的制定和关联。1.7.4 适用产品、版本表 1-7 配置适用的产品与软件版本关系产品软件版本S7500E系列以太网交换机Rele
3、ase 6610 系列S7600系列以太网父换机Release 6610 系列S5800&S5820X系列以太网交换机Release 1110, Release 1211CE3000-32F以太网交换机Release 1211S5810系列以太网父换机Release 1102S5500-EI系列以太网交换机Release 2202, Release 2208S5500-EI-D系列以太网交换机Release 2208S5500-SI系列以太网交换机Release 2202, Release 2208S5120-EI系列以太网交换机Release 2202, Release 2208S5120-
4、EI-D系列以太网交换机Release 1505S5120-SI系列以太网交换机Release 1101, Release 1505S5120-LI系列以太网交换机Release 1107E552&E528以太网交换机Release 1103S3100V2-EI系列以太网交换机Release 51031.7.5 配置过程和解释#定两个周期时间段timel和time2,时间范围分别为每天的0:008:30和 18:0024:00。 system-viewSwitch time-range time1 0:00 to 8:30 dailySwitch time-range time1 18:00
5、to 24:00 daily# 创建二层 ACL 4000,并定义两条规则,分别为在 time1 和 time2 时间段内 拒绝源 MAC 地址前缀 为 000f-e2 的所有报文通过。Switch acl number 4000Switch-acl-ethernetframe-4000 rule deny source-mac 000f-e200-0000 ffff-ff00-0000 time-range time1Switch-acl-ethernetframe-4000 rule deny source-mac 000f-e200-0000 ffff-ff00-0000 time-ra
6、nge time2Switch-acl-ethernetframe-4000 quit# 在端口 GigabitEthernet 1/0/1 的入方向配置包过滤功能，引用 ACL 4000 对 报文进行过滤。Switch interface GigabitEthernet 1/0/1 Switch-GigabitEthernet1/0/1 packet-filter 4000 inbound1.7.6 完整配置#time-range time1 00:00 to 08:30 dailytime-range time1 18:00 to 24:00 daily#acl number 4000ru
7、le 0 deny source-mac 000f-e200-0000 ffff-ff00-0000 time-range time1 rule 5 deny source-mac 000f-e200-0000 ffff-ff00-0000 time-range time2 #interface GigabitEthernet1/0/1packet-filter 4000 inbound1.7.7 配置注意事项z 当二层 ACL 的匹配顺序为 config 时，用户可以修改该 ACL 中的任何一条已 经存在的规则， 在修改 ACL 中的某条规则时，该规则中没有修改到的部分仍旧 保持原来的状态；当 ACL 的匹 配顺序为 auto 时，用户不能修改该 ACL 中的 任何一条已经存在的规则，否则系统会提示错 误信息。z 新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不 成功，系统会 提示该规则已经存在。z 当二层 ACL 的匹配顺序为 auto 时，新创建的规则将按照“深度优先”的原 则插入到已有的 规则中，但是所有规则对应的编号不会改变。z当二层ACL被用于包过滤之后，用户可以随时编辑（增加、删除、修改）ACL 中的过滤规则， 修改后的过滤规则将立刻生效。
