DF002513 QACL原理及配置.pptVIP

1 DF002513 QACL原理及配置 ISSUE x.x 引入 S8500如何实现对数据包的过滤？ S8500如何实现QOS？ S8500如何实现Telnet/SNMP用户访问的控制？ 学习目标 掌握ACL的配置 掌握QOS的配置 掌握登录用户的ACL控制 参考资料 S8500操作手册（07-QACL操作） S8500命令手册（07-QACL命令） 课程内容 以太网访问控制 主要功能：在整个网络中实施分布式的访问接入安全。其核心是包过滤技术。ACL就是实现包过滤的重要手段之一。 S8500实现的ACL S8500中ACL应用的特点 ACL直接下发到硬件: 用于数据转发过程中的过滤和流分类 子规则的匹配顺序是由交换机的硬件决定，为config 适用范围： 交换机实现QoS功能时引用ACL 通过ACL实现数据包的转发过滤 ACL被上层模块引用： 用于对由软件处理的报文进行过滤和流分类 ACL子规则的匹配顺序有两种：config和auto，默认为config 适用范围： 配置路由策略时引用ACL 控制登录用户时引用ACL ACL 配置 配置时间段 定义流模板 定义访问控制列表 激活访问控制列表 配置时间段 时间段配置 time-range time-name { start-time to end-time days-of-the-week | from start-time start-date [ to end-time end-date ] }* 定义流模板 作用：用于交换机对报文进行流分类的情况，它定义了流分类可以采用的信息 流模板定义 flow-template user-defined template-info 交换机支持两个流模板：一个是系统默认的，包含源IP、目的IP、源TCP/UDP端口、目的TCP/UDP端口、IP协议号五元组。另一个是用户自定义流模板 基本ACL 配置 定义基本ACL [Quidway] acl { number acl-number | name acl-name basic } [ match-order { config | auto } ] 定义基本ACL的子规则 rule [ rule-id ] { permit | deny } [ source source-addr wildcard | any ] [ fragment ] [ time-range name ] 缺省情况下，访问控制列表中子规则的匹配顺序为按用户配置顺序（config）进行匹配 高级ACL 配置 定义高级ACL [Quidway] acl { number acl-number | name acl-name advanced } [ match-order { config | auto } ] 定义高级ACL的子规则 rule [ rule-id ] { permit | deny } protocol [ source source-addr wildcard | any ] [ destination dest-addr wildcard | any ] [ source-port operator port1 [ port2 ] ] [ destination-port operator port1 [ port2 ] ] [ icmp-type type code ] [ established ] [ precedence precedence ] [ tos tos ] [ dscp dscp ] [ fragment ] [ time-range name ] 二层ACL 配置 定义二层ACL acl { number acl-number | name acl-name link } [ match-order { config | auto } ] 定义二层ACL的子规则 rule [ rule-id ] { permit | deny } [ cos vlan-pri ] [ ingress { [ source-vlan-id ] [ source-mac-addr source-mac-wildcard ] | any } ] [ egress { [ dest-vlan-id ] [ dest-mac-addr dest-mac-wildcard ] | any } ] [ tagged | untagged ] [ time-range name ] 激活ACL 激活 ACL packet-filter inbound { ip-group { acl-number | acl-name } [ rule