华为交换机作为企业网络的核心设备，其访问控制功能对于保障网络安全至关重要，掌握华为交换机的长命令（即包含多个参数或功能的复合命令）能够帮助管理员高效配置和管理访问控制策略，本文将详细介绍华为交换机访问控制相关的长命令及其应用场景,帮助读者深入理解并灵活运用这些命令。
访问控制列表（ACL）基础配置
访问控制列表（ACL）是华为交换机实现访问控制的核心技术，通过ACL可以定义规则，对数据包的源IP、目的IP、端口号等字段进行匹配，从而决定允许或拒绝数据包通过，华为交换机支持多种类型的ACL，包括基本ACL（基于IP地址）和高级ACL（基于IP地址、端口、协议等）。
基本ACL配置
基本ACL主要用于简单的IP地址过滤,命令格式如下：
acl number 2000 // 创建基本ACL，编号2000-2999
rule [rule-id] { permit | deny } source { source-address { source-wildcard } | any } // 配置规则
quit
配置允许192.168.1.0/24网段访问,拒绝其他所有地址：
acl number 2000 rule permit source 192.168.1.0 0.0.0.255 rule deny source any quit
高级ACL配置
高级ACL支持更复杂的匹配条件，如协议类型、端口号等,命令格式如下：
acl number 3000 // 创建高级ACL，编号3000-3999
rule [rule-id] { permit | deny } protocol { source-source-address source-wildcard | any } destination { destination-address destination-wildcard | any} [ destination-port operator port-number ] // 配置规则
quit
配置允许TCP协议的80端口和443端口通过,拒绝其他所有流量：
acl number 3000 rule permit tcp source any destination any destination-port eq 80 rule permit tcp source any destination any destination-port eq 443 rule deny ip source any destination any quit
ACL的应用与绑定
配置完成后，需要将ACL应用到接口或全局，才能生效，华为交换机支持将ACL绑定在接口的入方向（inbound）或出方向（outbound）。
绑定到接口
interface GigabitEthernet 0/0/1 // 进入接口视图 traffic-filter inbound acl 2000 // 在入方向应用ACL 2000 traffic-filter outbound acl 3000 // 在出方向应用ACL 3000 quit
绑定到全局（QoS策略）
qos car inbound acl 2000 cir 10000 // 在入方向应用ACL 2000并限制带宽为10Mbps quit
常用的访问控制长命令示例
以下是一些常用的华为交换机访问控制长命令及其功能说明：
| 命令功能 | 命令示例 | 说明 |
|---|---|---|
| 创建高级ACL并配置规则 | acl number 3100<br>rule 5 permit tcp source 10.1.1.0 0.0.0.255 destination 20.1.1.0 0.0.0.255 destination-port eq 22<br>rule 10 deny udp source any destination any |
创建高级ACL 3100，允许10.1.1.0/24网段访问20.1.1.0/24的SSH端口，拒绝其他UDP流量 |
| 配置基于时间的ACL | time-range worktime 08:00-18:00 working-day<br>acl number 3200<br>rule permit ip source any destination any time-range worktime |
创建时间范围worktime（工作日8:00-18:00），并应用到ACL 3200 |
| 配置端口安全 | interface GigabitEthernet 0/0/1<br>port-security max-mac-num 10<br>port-security mac-address sticky<br>port-security violation shutdown |
限制接口最大MAC地址数为10，启用MAC地址粘性，违规时关闭接口 |
| 配置IP Source Guard | interface GigabitEthernet 0/0/1<br>ip source check user-bind enable |
启用IP源地址检查，防止IP地址欺骗 |
访问控制命令的优化与维护
为了确保访问控制策略的高效运行，管理员需要定期优化和维护ACL配置,以下是一些优化建议：
- 规则顺序优化：ACL按照规则编号顺序匹配，建议将常用的规则放在前面,减少匹配次数。
- 定期清理无用规则：使用
display acl all命令查看ACL配置,删除不再使用的规则。 - 日志记录：通过
rule [rule-id] logging命令开启规则日志记录,便于审计和故障排查。
FAQs
问题1：华为交换机中，ACL规则匹配的顺序是什么？如何优化规则顺序？
答：华为交换机中的ACL规则按照规则编号从小到大依次匹配，一旦找到匹配的规则即停止后续规则的匹配，优化规则顺序的方法包括：将高频允许的规则放在前面，低频或拒绝规则放在后面；使用较小的规则编号（如5、10、15）预留规则编号,便于后续插入新规则而不影响现有规则顺序。
问题2：如何查看华为交换机上已配置的ACL规则及其应用情况？
答：可以使用以下命令查看ACL规则和应用情况：
display acl all：查看所有ACL的详细配置。display traffic-filter applied-record：查看ACL在接口上的应用记录。display time-range：查看已配置的时间范围及其生效状态，通过这些命令，管理员可以全面掌握ACL的配置和应用情况,便于维护和调试。
来源互联网整合，作者：小编，如若转载，请注明出处：https://www.aiboce.com/ask/287563.html
