一文读懂ACL：分类解析、应用场景及华为设备配置实战

智能流量管理

• 分时访问控制：利用时间ACL，在工作时间禁止访问娱乐、游戏网站，非工作时间放开，以提升工作效率。
• 分时带宽管理：在工作时间保障核心业务带宽，限制P2P下载；在夜间或周末放开限制，优化带宽利用率。
• 服务访问控制：允许或拒绝特定端口的流量，例如只允许HTTP/HTTPS访问，拒绝Telnet或FTP。

ACL还可用于实现路由过滤，与路由策略结合，对路由信息的接收与发布进行精确控制，或用于网络地址转换（NAT），确定哪些内网地址通过哪个外网地址池进行转换。

华为设备ACL配置实战

下面以一个典型的企业网络场景为例，展示如何在华为路由器上配置ACL。假设网络中有研发部（网段：192.168.1.0/24）、市场部（网段：192.168.2.0/24）和财务服务器（IP：172.16.10.1）。

需求1：禁止研发部访问财务服务器，但允许其访问其他网络。

这需要使用高级ACL，在连接研发部的路由器接口入方向进行过滤。

华为设备配置命令

# 进入系统视图
<HUAWEI> system-view

# 创建高级ACL 3000
[HUAWEI] acl 3000

# 配置规则：拒绝研发部(192.168.1.0/24)访问财务服务器(172.16.10.1)
[HUAWEI-acl-adv-3000] rule deny ip source 192.168.1.0 0.0.0.255 destination 172.16.10.1 0

# 配置规则：允许其他所有IP流量（避免隐含拒绝所有）
[HUAWEI-acl-adv-3000] rule permit ip
[HUAWEI-acl-adv-3000] quit

# 进入连接研发部的接口（例如GigabitEthernet 0/0/1）
[HUAWEI] interface GigabitEthernet 0/0/1

# 在接口入方向应用ACL 3000
[HUAWEI-GigabitEthernet0/0/1] traffic-filter inbound acl 3000
[HUAWEI-GigabitEthernet0/0/1] quit

需求2：在工作时间（周一至周五 8:00-17:30）限制市场部的总上网带宽为4Mbps。

这需要结合时间ACL和流量策略（MQC）。

华为设备配置命令

# 定义工作时间段
[HUAWEI] time-range WORK_TIME 08:00 to 17:30 working-day

# 创建ACL识别市场部流量
[HUAWEI] acl 3001
[HUAWEI-acl-adv-3001] rule permit ip source  192.168.2.0 0.0.0.255 time-range WORK_TIME
[HUAWEI-acl-adv-3001] quit

# 配置MQC流策略进行限速
[HUAWEI] traffic classifier MARKET_CLASSIFIER
[HUAWEI-classifier-MARKET_CLASSIFIER] if-match acl 3001
[HUAWEI-classifier-MARKET_CLASSIFIER] quit

[HUAWEI] traffic behavior SHAPING_4M
[HUAWEI-behavior-SHAPING_4M] car cir 4000  # 承诺信息速率4Mbps
[HUAWEI-behavior-SHAPING_4M] quit

[HUAWEI] traffic policy QOS_FOR_MARKET
[HUAWEI-trafficpolicy-QOS_FOR_MARKET] classifier MARKET_CLASSIFIER behavior SHAPING_4M
[HUAWEI-trafficpolicy-QOS_FOR_MARKET] quit

# 在连接市场部的接口入方向应用流策略
[HUAWEI] interface GigabitEthernet 0/0/2
[HUAWEI-GigabitEthernet0/0/2] traffic-policy QOS_FOR_MARKET inbound
[HUAWEI-GigabitEthernet0/0/2] quit

关键配置原则与注意事项

• 匹配顺序：ACL规则默认按配置顺序（规则ID从小到大）匹配，一旦命中即停止。也可设置为自动排序（深度优先）。
• 隐含拒绝：如果数据包未匹配任何规则，设备将执行隐含的“拒绝所有”操作。因此，通常需要在ACL末尾显式添加一条`permit ip`规则以避免误阻断。
• 应用方向：需仔细考虑将ACL应用在接口的`inbound`（入方向）还是`outbound`（出方向），这决定了过滤的是进入还是离开设备的流量。
• 规则位置：通常将更具体、更严格的规则放在前面，避免被泛化的规则提前匹配。
• 时间ACL依赖：时间ACL完全依赖设备的系统时钟，务必使用NTP同步时间，否则策略生效时间会错乱。