别再死记硬背了！华为交换机ACL配置实战：从精确匹配IP到限制网页访问，保姆级避坑指南

华为交换机ACL配置实战：从精确匹配到网页访问控制

刚接触华为交换机的网络工程师，往往对ACL（访问控制列表）既爱又怕。爱的是它能实现精细的流量控制，怕的是配置时稍有不慎就会导致策略失效。记得我第一次配置ACL时，为了限制某个部门访问视频网站，反复调试了3小时才发现是通配符掩码写反了。本文将分享从IP精确匹配到网页访问控制的完整配置流程，特别针对新手容易踩的坑进行详解。

1. ACL核心概念快速回顾

在开始实战前，有必要快速梳理几个关键概念。ACL本质上是一组按顺序排列的规则，每条规则包含动作（permit/deny）和匹配条件。华为设备支持多种ACL类型：

• 基本ACL（2000-2999）：仅匹配源IP地址
• 高级ACL（3000-3999）：可匹配源/目的IP、协议类型、端口号等
• 二层ACL（4000-4999）：基于MAC地址匹配

通配符掩码是最容易出错的部分。与子网掩码不同，通配符中：

• 0表示必须精确匹配
• 1表示忽略该位

例如要匹配192.168.1.0/24网段，应写为：

rule permit source 192.168.1.0 0.0.0.255

注意：ACL规则是从上到下逐条匹配的，一旦命中就停止检查。因此规则的顺序至关重要。

2. 精确IP访问控制实战

假设需要实现：仅允许IT部门主机（192.168.1.100）访问服务器（10.0.0.5），其他所有访问拒绝。这是典型的基本ACL应用场景。

2.1 配置步骤

# 创建基本ACL 2000 [Huawei] acl 2000 # 添加允许规则（注意通配符全0表示精确匹配） [Huawei-acl-basic-2000] rule permit source 192.168.1.100 0 # 添加拒绝所有规则（可选，因华为默认在接口应用ACL时会添加隐含deny any） [Huawei-acl-basic-2000] rule deny source any # 应用到接口G0/0/1的入方向 [Huawei] interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 2000

2.2 常见问题排查

1. 策略不生效：

   • 检查ACL是否应用到正确的接口和方向（inbound/outbound）
   • 使用display acl 2000确认规则配置正确
   • 通过display traffic-filter applied-record查看ACL应用情况

2. 误阻断合法流量：

   • 确认通配符掩码是否配置正确
   • 检查规则顺序是否合理（具体规则应放在通用规则之前）

3. 高级ACL实现网页访问控制

现在来看更复杂的场景：允许市场部（192.168.2.0/24）访问所有网站，但禁止财务部（192.168.3.0/24）访问视频网站（如TCP端口443）。

3.1 配置方案

# 创建高级ACL 3001 [Huawei] acl 3001 # 允许市场部访问任何网页 [Huawei-acl-adv-3001] rule permit ip source 192.168.2.0 0.0.0.255 # 禁止财务部访问HTTPS [Huawei-acl-adv-3001] rule deny tcp source 192.168.3.0 0.0.0.255 destination-port eq 443 # 应用到出口接口的出方向 [Huawei] interface GigabitEthernet 0/0/24 [Huawei-GigabitEthernet0/0/24] traffic-filter outbound acl 3001

3.2 进阶技巧

如果需要更精细的控制，可以结合时间段：

# 定义工作时间段（周一到周五9:00-18:00） [Huawei] time-range work-time 9:00 to 18:00 working-day # 修改ACL规则添加时间条件 [Huawei-acl-adv-3001] rule deny tcp source 192.168.3.0 0.0.0.255 destination-port eq 443 time-range work-time

4. ACL优化与排错指南

4.1 规则优化建议

1. 使用描述信息：

   [Huawei-acl-adv-3001] rule 5 description "Allow Marketing Dept Internet Access"

2. 合理设置步长：

   [Huawei-acl-basic-2000] step 10 # 设置规则编号间隔为10，便于后续插入规则

3. 命名ACL（华为VRP5.2+支持）：

   [Huawei] acl name BLOCK_VIDEO advanced

4.2 排错命令速查表

5. 真实案例：多部门访问控制

某企业网络拓扑要求：

• 研发部（10.1.1.0/24）可访问代码服务器（TCP 22端口）
• 禁止市场部（10.1.2.0/24）访问财务系统（TCP 3389）
• 允许所有部门互访

配置示例：

acl 3002 rule permit tcp source 10.1.1.0 0.0.0.255 destination-port eq 22 rule deny tcp source 10.1.2.0 0.0.0.255 destination-port eq 3389 rule permit ip source any destination any

应用到核心交换机的相应接口后，发现市场部仍能访问财务系统。经排查发现：

1. ACL应用到了错误的VLAN接口
2. 规则顺序应为先放行全部互访，再添加拒绝规则
3. 需要调整规则顺序并重新应用到正确的接口