目  录

1 ACL命令

1.1 ACL命令

1.1.1 acl

1.1.2 description

1.1.3 display acl

1.1.4 display time-range

1.1.5 rule（基本ACL）

1.1.6 rule（高级ACL）

1.1.7 rule comment

1.1.8 time-range

1 ACL命令

1.1  ACL命令

1.1.1  acl

【命令】

acl number acl-number [ match-order { auto | config } ]

undo acl { all | number acl-number }

【视图】

系统视图

【参数】

all：所有的ACL（Access Control List，访问控制列表）。

number acl-number：ACL序号，取值范围为：

l              2000～2999：表示基本ACL。

l              3000～3999：表示高级ACL（3998与3999是系统为集群管理预留的编号，用户无法配置）。

match-order：指定对该ACL规则的匹配顺序，匹配顺序如下：

l              auto：按照“深度优先”的顺序进行规则匹配。

l              config：按照用户配置规则的先后顺序进行规则匹配。

关于auto和config这两种匹配顺序的详细介绍请参见“ACL操作”中的描述。

【描述】

acl命令用来定义ACL，并进入相应的ACL视图。undo acl命令用来删除指定的ACL，或者删除全部ACL。

缺省情况下，ACL规则的匹配顺序为config。

用户也可以通过本命令修改一个已经存在的ACL的匹配顺序，但必须在ACL中没有规则的时候修改，对已经包含规则的ACL是无法修改其匹配顺序的。

进入相应的ACL视图之后，可以用rule命令增加此ACL的规则。

相关配置可参考命令rule。

【举例】

# 定义基本ACL 2000，并配置其匹配顺序为“深度优先”。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] acl number 2000 match-order auto

# 为基本ACL 2000创建三条源IP地址范围（反掩码中“0”位的数量）不同的规则。

[Sysname-acl-basic-2000] rule 1 permit source 1.1.1.1 0.255.255.255

[Sysname-acl-basic-2000] rule 2 permit source 2.2.2.2 0.0.255.255

[Sysname-acl-basic-2000] rule 3 permit source 3.3.3.3 0.0.0.255

# 使用display acl命令查看基本ACL 2000的配置信息。

[Sysname-acl-basic-2000] display acl 2000

Basic ACL  2000, 3 rules, match-order is auto

Acl's step is 1

 rule 3 permit source 3.3.3.0 0.0.0.255

 rule 2 permit source 2.2.0.0 0.0.255.255

 rule 1 permit source 1.0.0.0 0.255.255.255

以上信息表明，交换机按照“深度优先”的原则对基本ACL 2000内的规则进行排序，即按照规则反掩码中“0”位的数量由多到少的顺序排列。

1.1.2  description

【命令】

description text

undo description

【视图】

基本ACL视图/高级ACL视图

【参数】

text：ACL的描述信息，取值范围为1～127个字符，可以包含空格和特殊字符。

【描述】

description命令用来定义ACL的描述信息，描述该ACL的具体用途、应用于哪些端口等信息，方便用户对ACL进行区分和识别。undo description命令用来删除ACL的描述信息。

缺省情况下，ACL没有描述信息。

【举例】

# 定义高级ACL 3000的描述信息为“This acl is used for filtering all HTTP packets”。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] acl number 3000

[Sysname-acl-adv-3000] description This acl is used for filtering all HTTP packets

# 使用display acl命令查看高级ACL 3000的配置信息。

[Sysname-acl-adv-3000] display acl 3000

Advanced ACL  3000, 0 rule

This acl is used for filtering all HTTP packets

Acl's step is 1

# 删除高级ACL 3000的描述信息。

[Sysname-acl-adv-3000] undo description

1.1.3  display acl

【命令】

display acl { all | acl-number }

【视图】

任意视图

【参数】

all：所有的ACL。

acl-number：指定ACL的序号，取值范围为2000～3999。

【描述】

display acl命令用来显示ACL的配置信息。

需要注意的是，如果用户在配置ACL的时候指定了match-order参数，则在使用display acl命令时，显示的是交换机按照auto（深度优先）或config（配置顺序）对ACL中的规则进行排序后的结果。

【举例】

# 显示基本ACL 2000的详细配置信息。

<Sysname> display acl 2000

Basic ACL  2000, 1 rule

Acl's step is 1

 rule 0 permit source 1.1.1.1 0 (3 times matched)

表1-1 display acl命令显示信息描述表

1.1.4  display time-range

【命令】

display time-range { all | time-name }

【视图】

任意视图

【参数】

all：所有的时间段。

time-name：为时间段的名称，以英文字母a～z或A～Z为起始字母的字符串，取值范围为1～32个字符。

【描述】

display time-range命令用来显示时间段的配置和状态，当前处于激活状态的时间段将显示Active，处于非激活状态的时间段将显示Inactive。

相关配置可参考命令time-range。

【举例】

# 显示所有的时间段。

<Sysname> display time-range all

Current time is 17:01:34 May/21/2007 Monday

Time-range : tr ( Active )

 12:00 to 18:00 working-day

Time-range : tr1 ( Inactive )

 From 12:00 Jan/1/2008 to 12:00 Jun/1/2008

表1-2 display time-range命令显示信息描述表

1.1.5  rule（基本ACL）

【命令】

rule [ rule-id ] { deny | permit } [ rule-string ]

undo rule rule-id [ fragment | source | time-range ]*

【视图】

基本ACL视图

【参数】

1. rule命令的参数

rule-id：ACL规则编号，取值范围为0～65534。

deny：表示丢弃符合条件的数据包。

permit：表示允许符合条件的数据包通过。

rule-string：ACL规则信息，具体参数说明如表1-3所示。

表1-3 基本ACL规则信息

2. undo rule命令的参数

rule-id：ACL规则编号，必须是一个已经存在的ACL规则编号。如果用户不知道ACL规则的编号，可以使用display acl命令来查看。

fragment：删除编号对应的ACL规则的对非尾片分片报文有效的设置。

source：删除编号对应的ACL规则的源IP地址的设置。

time-range：删除编号对应的ACL规则的时间段的设置。

【描述】

rule命令用来定义ACL规则。undo rule命令用来删除ACL规则或者规则中的某些属性信息。

在删除一条ACL规则时，如果不指定其他参数，交换机将这个ACL规则完全删除；否则交换机只删除该ACL规则中相应的属性信息。

需要注意的是：

l              当基本ACL的匹配顺序为config时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；当基本ACL的匹配顺序为auto时，用户不能修改该ACL中的任何一条已经存在的规则，否则系统会提示错误信息。

l              在创建一条ACL规则的时候，用户可以不指定规则的编号，交换机将自动为这个规则分配一个编号：如果此ACL中没有规则，编号为0；如果此ACL中已有规则，编号为现有规则的最大编号+1；如果此ACL中现有规则的最大编号为65534，则系统会提示错误信息，此时用户必须指定规则的编号才能创建成功。

l              新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不成功，系统会提示该规则已经存在。

l              当基本ACL的匹配顺序为auto时，新创建的规则将按照“深度优先”的原则插入到已有的规则中，但是所有规则对应的编号不会改变。

【举例】

# 创建基本ACL 2000，定义规则1，禁止源IP地址为192.168.0.1的报文通过。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] acl number 2000

[Sysname-acl-basic-2000] rule 1 deny source 192.168.0.1 0

[Sysname-acl-basic-2000] quit

# 创建基本ACL 2001，定义规则1，禁止非尾片分片报文通过。

[Sysname] acl number 2001

[Sysname-acl-basic-2001] rule 1 deny fragment

[Sysname-acl-basic-2001] quit

# 创建基本ACL 2002，定义规则1，禁止所有报文在时间段trname所表示的时间范围内通过。

[Sysname] acl number 2002

[Sysname-acl-basic-2002] rule 1 deny time-range trname

完成上述配置后，用户可以使用display acl命令查看ACL的配置信息。

1.1.6  rule（高级ACL）

【命令】

rule [ rule-id ] { deny | permit } protocol [ rule-string ]

undo rule rule-id  [ destination | destination-port | dscp | fragment | icmp-type | igmp-type |  precedence | source | source-port | time-range | tos ]*

【视图】

高级ACL视图

【参数】

1. rule命令的参数说明

rule-id：ACL规则编号，取值范围为0～65534。

deny：表示丢弃符合条件的数据包。

permit：表示允许符合条件的数据包通过。

protocol：IP承载的协议类型。用数字表示时，取值范围为1～255；用名字表示时，可以选取gre（47）、icmp（1）、igmp（2）、ip、ipinip（4）、ospf（89）、tcp（6）、udp（17）。

rule-string：ACL规则信息，具体参数说明如表1-4所示。

表1-4 高级ACL规则信息

如果选择dscp关键字，除了直接输入数值0～63外，用户也可输入如表1-5所示的关键字。

表1-5 DSCP关键字说明

如果选择precedence关键字，除了直接输入数值0～7外，用户也可输入如表1-6所示的关键字。

表1-6 IP Precedence关键字说明

如果选择tos关键字，除了直接输入数值0～15外，用户也可输入如表1-7所示的关键字。

表1-7 ToS关键字说明

当协议类型选择为TCP或者UDP时，用户还可以定义如表1-8所示信息。

表1-8 TCP/UDP特有的ACL规则信息

当TCP或UDP的端口号用名字表示时，用户还可以定义如表1-9所示信息。

表1-9 TCP或UDP端口取值信息

当协议类型选择为ICMP时，用户还可以定义如表1-10所示信息。

表1-10 ICMP特有的规则信息

当协议类型选择为ICMP时，用户也可以直接在icmp-type参数后输入ICMP的消息名称，如表1-11所示。

表1-11 ICMP消息

当协议类型选择为IGMP时，用户还可以定义如表1-12所示信息。

表1-12 IGMP特有的规则信息

2. undo rule命令的参数说明

rule-id：ACL规则编号，必须是一个已经存在的ACL规则编号。如果用户不知道ACL规则的编号，可以使用display acl命令来查看。

source：删除编号对应的ACL规则的源IP地址的设置。

source-port：删除编号对应的ACL规则的源端口的设置，本参数仅在规则定义的协议是TCP或者UDP的情况下有效。

destination：删除编号对应的ACL规则的目的IP地址的设置。

destination-port：删除编号对应的ACL规则的目的端口的设置，本参数仅在规则定义的协议是TCP或者UDP的情况下有效。

icmp-type：删除编号对应的ACL规则的ICMP类型和消息码的设置，本参数仅在规则定义的协议是ICMP的情况下有效。

igmp-type：删除编号对应的ACL规则的IGMP子类型的设置，本参数仅在规则定义的协议是IGMP的情况下有效。

precedence：删除编号对应的ACL规则的IP Precedence的相关设置。

tos：删除编号对应的ACL规则的ToS的相关设置。

dscp：删除编号对应的ACL规则的DSCP的相关设置。

time-range：删除编号对应的ACL规则的时间段的设置。

fragment：删除编号对应的ACL规则的对非尾片分片报文有效的设置。

【描述】

rule命令用来定义ACL规则。undo rule命令用来删除ACL规则或者ACL规则中的某些属性信息。

在删除一条ACL规则时，如果不指定其他参数，交换机将这个ACL规则完全删除；否则交换机只删除该ACL规则中相应的属性信息。

需要注意的是：

l              当高级ACL的匹配顺序为config时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；当高级ACL的匹配顺序为auto时，用户不能修改该ACL中的任何一条已经存在的规则，否则系统会提示错误信息。

l              在创建一条ACL规则的时候，用户可以不指定规则的编号，交换机将自动为这个规则分配一个编号：如果此ACL中没有规则，编号为0；如果此ACL中已有规则，编号为现有规则的最大编号+1；如果此ACL中现有规则的最大编号为65534，则系统会提示错误信息，此时用户必须指定规则的编号才能创建成功。

l              新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不成功，系统会提示该规则已经存在。

l              当高级ACL的匹配顺序为auto时，新创建的规则将按照“深度优先”的原则插入到已有的规则中，但是所有规则对应的编号不会改变。

【举例】

# 创建高级ACL 3000，定义规则1，拒绝源IP地址为192.168.0.1并且DSCP优先级为46的IP报文通过。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] acl number 3000

[Sysname-acl-adv-3000] rule 1 deny ip source 192.168.0.1 0 dscp 46

[Sysname-acl-adv-3000] quit

# 创建高级ACL 3001，定义规则1，允许从129.9.0.0/16网段的主机向202.38.160.0/24网段的主机发送的目的端口号为80的TCP报文通过。

[Sysname] acl number 3001

[Sysname-acl-adv-3001] rule 1 permit tcp source 129.9.0.0 0.0.255.255 destination 202.38.160.0 0.0.0.255 destination-port eq 80

完成上述配置后，用户可以使用display acl命令查看ACL的配置信息。

1.1.7  rule comment

【命令】

rule rule-id comment text

undo rule rule-id comment

【视图】

高级ACL视图

【参数】

rule-id：ACL规则编号，取值范围为0～65534。

text：ACL规则的注释信息，字符串格式，取值范围为1～127个字符。

【描述】

rule comment命令用来定义ACL规则的注释信息。undo rule comment命令用来删除ACL规则的注释信息。

用户可以使用rule comment命令来描述ACL规则的具体用途、应用于哪些端口等信息，方便用户对ACL规则进行区分和识别。

缺省情况下，ACL规则没有注释信息。

需要注意的是，在定义ACL规则的注释信息之前，该ACL规则必须已经存在。

【举例】

# 定义高级ACL 3001的rule 0的注释信息为“This rule is to be applied to eth 1/0/1”。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] acl number 3001

[Sysname-acl-adv-3001] rule 0 comment This rule is to be applied to eth 1/0/1

# 使用display acl命令查看高级ACL 3001的配置信息。

[Sysname-acl-adv-3001] display acl 3001

Advanced ACL  3001, 1 rule

Acl's step is 1

 rule 0 deny IP source 1.1.1.1 0 destination 2.2.2.2 0

 rule 0 comment This rule is to be applied to eth 1/0/1

1.1.8  time-range

【命令】

time-range time-name { start-time to end-time days-of-the-week [ from start-time start-date ] [ to end-time end-date ] | from start-time start-date [ to end-time end-date ] | to end-time end-date }

undo time-range { all | name time-name [ start-time to end-time days-of-the-week [ from start-time start-date ] [ to end-time end-date ] | from start-time start-date [ to end-time end-date ] | to end-time end-date ] }

【视图】

系统视图

【参数】

all：所有的时间段。

time-name：时间段的名称，为1～32个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，时间段的名字不能使用英文单词all。

start-time：可选参数，周期时间段的开始时间，表示形式为hh:mm。

end-time：可选参数，周期时间段的结束时间，表示形式为hh:mm。结束时间必须大于起始时间。

days-of-the-week：可选参数，参数表示该周期时间在每周几有效。可以输入如下参数及其组合：

l              数字（0～6）；

l              星期一到星期日（Mon，Tue，Wed，Thu，Fri，Sat，Sun）；

l              工作日（working-day），包括从星期一到星期五五天；

l              休息日（off-day），包括星期六和星期日；

l              每一天（daily），一个星期中的每一天。

from start-time start-date：可选参数，绝对时间段的开始日期，和end-time end-date共同表示该绝对时间在某一段日期中生效，表示形式为hh:mm MM/DD/YYYY或hh:mm YYYY/MM/DD。如果不指定开始日期，则开始日期为1970年1月1日0点0分。

to end-time end-date：可选参数，绝对时间段的结束日期，和start-time start-date共同表示该绝对时间在某一段日期中生效，表示形式为hh:mm MM/DD/YYYY或hh:mm YYYY/MM/DD。如果不指定结束日期，则结束日期为2100年12月31日23点59分。

【描述】

time-range命令用来配置一个时间段。undo time-range命令用来删除一个时间段或删除所有的时间段。

需要注意的是：

l              交换机最多支持配置256个时间段，一个时间段下最多可以配置32个周期时间段和12个绝对时间段。

l              如果一个时间段只定义了周期时间段，则只有系统时钟在该周期时间段内，该时间段才进入激活状态。如果一个时间段下定义了多个周期时间段，则这些周期时间段之间是“或”的关系。

l              如果一个时间段只定义了绝对时间段，则只有系统时钟在该绝对时间段内，该时间段才进入激活状态。如果一个时间段下定义了多个绝对时间段，则这些绝对时间段之间是“或”的关系。

l              如果一个时间段同时定义了绝对时间段和周期时间段，则只有同时满足绝对时间段和周期时间段的定义时，该时间段才进入激活状态。例如，一个时间段定义了绝对时间段：从2004年1月1日零点零分到2004年12月31日23点59分，同时定义了周期时间段：每周三的12：00到14：00。该时间段只有在2004年内每周三的12：00到14：00才进入激活状态。

【举例】

# 定义周期时间段，时间范围为每周一到周五的08:00至12:00。

<Sysname> system-view

System View: return to User View with Ctrl+Z.

[Sysname] time-range tr1 08:00 to 12:00 working-day

# 定义绝对时间段，时间范围为2008年1月1日12:00至2008年6月1日12:00。

[Sysname] time-range tr2 from 12:00 1/1/2008 to 12:00 6/1/2008

# 显示时间段的配置信息。

[Sysname] display time-range all

Current time is 17:37:23 Nov/27/2007 Tuesday

Time-range : tr1 ( Inactive )

 08:00 to 12:00 working-day

Time-range : tr2 ( Inactive )

 From 12:00 Jan/1/2008 to 12:00 Jun/1/2008