1. 项目概述与核心需求解析最近在整理几个中小型办公网络的运维记录发现一个挺有代表性的需求场景财务部有几台存放敏感数据的服务器位于一个独立的VLAN里比如是192.168.10.0/24网段。领导要求除了IT运维部门的终端假设在192.168.20.0/24网段可以正常访问这些服务器进行维护外其他所有网段比如市场部的192.168.30.0/24、行政部的192.168.40.0/24等都必须禁止访问。这个需求本质上就是基于源IP网段进行访问控制在网络层进行隔离是保障内网安全非常基础且重要的一环。实现这个目标最直接、最有效的设备就是接入层或核心层的交换机通过在交换机上配置访问控制列表ACL来达成。这次我们就以市面上常见的华三H3C交换机为例从头到尾拆解一下如何实现“限制其他网段的IP访问”这个具体任务。为什么是交换机而不是防火墙或者服务器自身来做对于这种纯内网、基于三层IP的访问控制在交换机的三层接口或者VLAN接口上实施ACL效率最高对网络拓扑改动最小能够从网络入口处就拦截掉非法的访问流量减轻服务器自身的负担。华三交换机的Comware系统其ACL配置逻辑清晰功能强大非常适合完成这类工作。接下来我会结合一个具体的模拟场景把配置思路、每一步的命令、背后的原理以及实际部署中容易踩的坑都详细地捋一遍。2. 访问控制的核心ACL技术原理与选型在动手敲命令之前我们必须先搞清楚手里的“工具”——ACL到底是什么以及华三交换机上有哪些ACL类型适合我们这个场景。ACL全称访问控制列表它本质上是一组有序的规则rule。交换机或路由器在转发数据包时会拿数据包的特定字段比如源IP地址、目的IP地址、协议端口号等去逐条匹配这些规则。一旦匹配成功就执行这条规则定义的动作permit允许或deny拒绝并且停止继续匹配后续规则如果所有规则都不匹配则执行一个默认动作在华为/华三设备上默认是deny any即拒绝所有。华三交换机支持的ACL主要分为两大类基本ACL和高级ACL。基本ACL2000-2999规则只能依据数据包的源IP地址进行匹配。比如“拒绝源地址是192.168.30.0这个网段的包”。它的优点是配置简单处理速度快。高级ACL3000-3999规则可以依据源IP、目的IP、协议类型IP/TCP/UDP/ICMP等、源端口、目的端口等多个维度进行精细匹配。比如“允许源是192.168.20.0网段目的是192.168.10.5的TCP 3389端口远程桌面的包”。那么针对“限制其他网段访问某一网段”这个需求我们该用哪种这需要分析我们的需求粒度。如果只是简单地禁止某个源网段访问整个目的网段的所有服务如Ping、文件共享、远程桌面等那么使用基本ACL就足够了直接在流量来源的方向上根据源IP进行过滤。但如果需求更精细例如“只允许IT网段访问财务服务器的特定端口如RDP的3389但禁止访问其他端口如文件共享的445”那就必须使用高级ACL来同时限定源、目的IP和目的端口。在我们的案例中假设需求是“完全禁止非IT网段访问整个财务服务器网段”那么使用基本ACL在财务服务器网段的入方向进行过滤是最简洁高效的方案。它的逻辑是在财务服务器所在VLAN的接口上检查所有要进入这个VLAN的流量如果流量来自非法的源网段如市场部、行政部就直接丢弃。注意关于ACL的应用方向。这是新手最容易混淆的地方。ACL规则需要被应用apply在接口的某个方向inbound或outbound才能生效。方向是以设备接口为视角的inbound (入方向)指从该接口进入设备的流量。应用在这里的ACL用于过滤“别人发给我”的流量。outbound (出方向)指从该接口离开设备的流量。应用在这里的ACL用于过滤“我发出去”的流量。 对于我们的场景目的是保护财务服务器网段所以我们应该在连接财务服务器网段的那个VLAN接口的入方向inbound应用ACL过滤所有想进入这个安全区域的“外来”流量。3. 实战配置从规划到命令行实现光说不练假把式我们构建一个具体的实验拓扑来模拟真实环境。3.1 网络拓扑与地址规划假设我们有一台华三层交换机如H3C S6850系列它作为整个网络的核心连接各个部门的VLAN。VLAN 10财务服务器网段VLAN接口IP: 192.168.10.1/24服务器IP范围: 192.168.10.10 - 192.168.10.50VLAN 20IT运维网段(允许访问VLAN 10)VLAN接口IP: 192.168.20.1/24终端IP范围: 192.168.20.0/24VLAN 30市场部网段(禁止访问VLAN 10)VLAN接口IP: 192.168.30.1/24VLAN 40行政部网段(禁止访问VLAN 10)VLAN接口IP: 192.168.40.1/24交换机上已经完成了基础的VLAN划分和三层接口配置各网段之间可以通过交换机路由互通。3.2 ACL策略规划与配置步骤我们的目标是允许VLAN 20访问VLAN 10拒绝VLAN 30和VLAN 40访问VLAN 10。步骤一创建基本ACL我们选择基本ACL编号范围为2000-2999这里使用2000。# 进入系统视图 system-view # 创建基本ACL 2000并进入其视图 acl basic 2000 # 规则1允许源IP为IT网段192.168.20.0/24的流量。规则编号设为5留出前面空间。 rule 5 permit source 192.168.20.0 0.0.0.255 # 规则2拒绝源IP为市场部网段192.168.30.0/24的流量。规则编号设为10。 rule 10 deny source 192.168.30.0 0.0.0.255 # 规则3拒绝源IP为行政部网段192.168.40.0/24的流量。规则编号设为15。 rule 15 deny source 192.168.40.0 0.0.0.255 # 退出ACL视图 quit关键点解释规则编号rule id如51015。规则按编号从小到大顺序匹配。我们可以手动指定方便后期在中间插入新规则。这里从5开始预留了1-4的空间。通配符掩码wildcard mask0.0.0.255。这是ACL中用于匹配IP范围的关键它与子网掩码恰好相反。子网掩码中“1”表示网络位“0”表示主机位而通配符掩码中“0”表示需要精确匹配的位“1”表示忽略不关心的位。192.168.20.0 0.0.0.255意味着匹配前24位192.168.20必须精确后8位主机位任意即匹配整个192.168.20.0/24网段。隐含的拒绝所有在所有用户自定义的规则之后系统会自动添加一条rule deny any的规则。这意味着除了我们明确允许的192.168.20.0/24网段以及我们明确拒绝的30和40网段其他任何来源的流量包括未来新增的VLAN 50、60等在匹配完前面规则后落到这条隐含规则上都会被拒绝。这符合安全原则“默认拒绝”是我们策略生效的重要保障。步骤二将ACL应用到正确的接口和方向ACL创建后只是一组规则必须“挂载”到接口上才能起作用。根据之前的分析我们应该在财务服务器所属VLANVLAN 10的接口的入方向应用这个ACL。# 进入VLAN接口10的视图 interface Vlan-interface 10 # 在入方向inbound应用ACL 2000 packet-filter 2000 inbound # 退出接口视图 quit命令解析packet-filter是华三交换机上应用IPv4 ACL的命令。2000 inbound表示将ACL 2000应用在当前接口的入方向。这意味着所有从外部网络发往Vlan-interface 10即目的地是192.168.10.0/24网段的IP报文在进入这个三层接口时都需要经过ACL 2000的检查。步骤三保存配置这是至关重要的一步否则设备重启后配置会丢失。save force系统会提示输入配置文件的名称直接回车使用默认名称即可。4. 配置验证与效果测试配置完成后绝不能假设它已经正常工作必须进行测试。4.1 使用display命令查看配置# 查看ACL 2000的配置详情确认规则是否正确 display acl 2000输出应类似Basic ACL 2000, 3 rules Acls step is 5 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255# 查看Vlan-interface 10的接口配置确认ACL已应用 display current-configuration interface Vlan-interface 10输出中应包含packet-filter 2000 inbound这一行。4.2 模拟网络访问测试我们可以在不同网段的测试机上使用ping和telnet或测试特定端口来验证。在IT网段192.168.20.x的电脑上ping 192.168.10.10——应该能通。因为规则5允许。telnet 192.168.10.10 3389(如果服务器开了远程桌面) ——应该能通。在市场部网段192.168.30.x的电脑上ping 192.168.10.10——应该不通显示“Request timed out”或“Destination host unreachable”。因为规则10拒绝。telnet 192.168.10.10 任何端口——应该不通。在行政部网段192.168.40.x的电脑上测试结果应同市场部网段。4.3 查看ACL计数高级调试为了更直观地看到ACL规则是否被命中可以查看计数。# 在任意视图下查看ACL 2000的统计信息需要先在ACL视图下开启统计功能 acl basic 2000 rule 5 permit source 192.168.20.0 0.0.0.255 counting rule 10 deny source 192.168.30.0 0.0.0.255 counting rule 15 deny source 192.168.40.0 0.0.0.255 counting quit # 等待一些测试流量后查看统计 display acl 2000此时每条规则后面会显示匹配的报文数量如(100 packets matched)。这是一个非常实用的调试手段可以确认流量是否按预期匹配了规则。注意开启计数counting功能会对设备性能有轻微影响生产环境在调试完毕后可考虑关闭。5. 高级场景与精细化控制上面的案例满足了基本需求。但实际工作中需求往往更复杂。下面探讨几个进阶场景。5.1 场景一只允许访问特定服务器或端口如果需求不是一刀切而是“只允许IT部门访问财务服务器的远程桌面端口3389和Web管理端口443但禁止访问文件共享445等其他所有端口”那么基本ACL就力不从心了。这时必须使用高级ACL3000-3999。# 创建高级ACL 3000 acl advanced 3000 # 规则5允许IT网段访问财务服务器A192.168.10.10的RDP端口 rule 5 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 3389 # 规则10允许IT网段访问财务服务器A的HTTPS端口 rule 10 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 443 # 规则15拒绝IT网段访问财务服务器A的任何其他流量可选为了明确日志记录 rule 15 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 # 规则20拒绝其他所有网段访问整个财务服务器网段 rule 20 deny ip source any destination 192.168.10.0 0.0.0.255 # 注意高级ACL末尾同样有隐含的deny ip any any quit # 应用ACL。此时应用在Vlan-interface 10 inbound依然有效。 interface Vlan-interface 10 packet-filter 3000 inbound quit这个配置实现了端口级的精细控制。规则20是一个兜底明确拒绝了非IT网段访问整个财务网段。5.2 场景二限制访问的例外处理领导说“市场部总监的电脑IP是192.168.30.88需要临时访问财务服务器查看报表怎么办” 我们不能修改整个规则禁止市场部网段但可以在ACL中为特例添加一条允许规则。关键是规则的位置ACL是按顺序匹配的。我们之前的规则是rule 5 permit 192.168.20.0/24rule 10 deny 192.168.30.0/24rule 15 deny 192.168.40.0/24如果我们直接在后面加一条rule 20 permit source 192.168.30.88是没用的因为来自192.168.30.88的流量在第二条规则rule 10就已经被拒绝并停止匹配了。因此允许规则必须放在拒绝规则之前。acl basic 2000 # 首先为特例添加允许规则编号设为3放在rule 5之前 rule 3 permit source 192.168.30.88 0 # 原有的规则5、10、15保持不变 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255 quit这样192.168.30.88的流量会先匹配rule 3被允许而市场部网段其他IP的流量则继续匹配到rule 10被拒绝。5.3 场景三基于时间的访问控制有些场景下访问控制需要基于时间比如“只允许在工作时间9:00-18:00访问”。华三ACL支持与时间段time-range结合。# 首先定义一个时间段命名为Work-Time time-range Work-Time 09:00 to 18:00 working-day # 工作日 9点到18点 # 在ACL规则中引用这个时间段 acl basic 2000 # 这条允许规则仅在Work-Time时间段内生效 rule 5 permit source 192.168.20.0 0.0.0.255 time-range Work-Time # 非工作时间由于没有规则匹配流量会落到隐含的deny any上从而被拒绝。 quit这个功能对于实现更灵活的安控策略非常有用。6. 常见问题排查与实操心得在实际部署中你可能会遇到配置不生效的情况。别慌按照以下思路排查十有八九能找到问题。6.1 问题排查清单问题现象可能原因排查命令与解决思路ACL配置了但完全没效果1. ACL未应用到接口上。2. 应用方向错误。3. 配置未保存设备重启后丢失。1.display current-configuration interface [接口名]检查是否有packet-filter。2. 确认方向过滤“访问者”用入方向inbound在目标网段接口过滤“被访问者出站”用出方向outbound在源网段接口。通常用入方向。3. 检查是否执行过save。部分IP通部分IP不通1. 通配符掩码计算错误。2. 规则顺序错误特例规则被通用规则覆盖。1. 仔细核对ACL规则中的IP和通配符。0表示精确匹配255表示忽略。可用display acl [编号]查看。2. 检查规则ID顺序。记住设备按rule id从小到大匹配一旦匹配立即执行动作并停止。允许特例的规则必须放在拒绝整个网段的规则之前。ping不通但telnet/应用能通或反之使用了基本ACL但需求是控制特定协议或端口。基本ACL无法区分协议。检查需求。如果需要控制具体服务如只禁Ping但放通HTTP必须使用高级ACL并明确指定协议如icmp for ping, tcp for http和端口。本地设备自己访问被限制ACL应用在了本地设备出方向错误地过滤了设备自身发出的流量。检查ACL应用位置。如果目的是限制其他设备访问本设备管理的网段应将ACL应用在该网段VLAN接口的入方向inbound。设备自身发出的流量不经过接口的入方向ACL检查。配置后网络出现异常或性能下降1. ACL规则过于复杂或数量庞大。2. 在高速端口或核心路径上应用了带统计counting的ACL。1. 优化ACL规则合并能合并的条目减少规则数量。2. 生产环境调试完毕后关闭规则的counting功能进入ACL视图对规则使用rule [id] permit/deny ...不加counting重新配置一遍即可覆盖。6.2 实操心得与避坑指南先允许后拒绝特例优先这是配置ACL的黄金法则。在规划规则时先把需要放通的、范围最小的特例规则写在前面编号小然后是范围较大的允许规则最后是范围最大的拒绝规则。这样逻辑最清晰也最容易避免规则冲突。通配符掩码是“反掩码”这是新手最大的坑。一定要反复告诉自己ACL里的0对应子网掩码的1网络位需匹配255对应子网掩码的0主机位忽略。一个快速验证方法将IP地址与通配符掩码相加如果等于另一个IP则这两个IP会被同一条规则匹配。例如规则source 192.168.1.0 0.0.0.255会匹配192.168.1.1到192.168.1.254的所有IP。接口方向是灵魂花一分钟想清楚你的流量路径。你要过滤的流量是从哪个接口进入设备的把这个接口找到在它的inbound方向应用ACL。绝大多数“限制他人访问我”的场景都是在“我”所在的接口入方向做文章。测试测试再测试配置完成后不要只从一个点测试。要用被允许的IP、被拒绝的IP、甚至不相干的IP从多个角度进行测试ping, telnet, 实际应用。并利用display acl [编号]的计数功能确认流量命中了你期望的规则。文档化与注释在配置中可以使用description命令为ACL添加描述。虽然命令行不保存但在你的运维文档里一定要记录每条ACL的目的、应用的接口和方向、以及变更历史。这对于后续维护和故障排查至关重要。考虑管理流量如果你通过Telnet或SSH从被限制的网段管理交换机ACL可能会把你的管理会话也阻断。确保ACL规则中包含了允许管理协议如SSH的TCP 22端口访问交换机管理IP的规则并且这条规则位置要靠前。通过以上从原理到实践从基础到进阶的完整梳理相信你已经能够独立在华三交换机上设计和部署基于网段的IP访问控制策略了。网络安全的策略部署核心在于对流量路径和访问需求的精确理解ACL只是一个高效的工具。每次配置前多花点时间画一画流量图理一理规则顺序就能避免很多后期的麻烦。
华三交换机ACL配置实战：基于IP网段实现内网访问控制与安全隔离
1. 项目概述与核心需求解析最近在整理几个中小型办公网络的运维记录发现一个挺有代表性的需求场景财务部有几台存放敏感数据的服务器位于一个独立的VLAN里比如是192.168.10.0/24网段。领导要求除了IT运维部门的终端假设在192.168.20.0/24网段可以正常访问这些服务器进行维护外其他所有网段比如市场部的192.168.30.0/24、行政部的192.168.40.0/24等都必须禁止访问。这个需求本质上就是基于源IP网段进行访问控制在网络层进行隔离是保障内网安全非常基础且重要的一环。实现这个目标最直接、最有效的设备就是接入层或核心层的交换机通过在交换机上配置访问控制列表ACL来达成。这次我们就以市面上常见的华三H3C交换机为例从头到尾拆解一下如何实现“限制其他网段的IP访问”这个具体任务。为什么是交换机而不是防火墙或者服务器自身来做对于这种纯内网、基于三层IP的访问控制在交换机的三层接口或者VLAN接口上实施ACL效率最高对网络拓扑改动最小能够从网络入口处就拦截掉非法的访问流量减轻服务器自身的负担。华三交换机的Comware系统其ACL配置逻辑清晰功能强大非常适合完成这类工作。接下来我会结合一个具体的模拟场景把配置思路、每一步的命令、背后的原理以及实际部署中容易踩的坑都详细地捋一遍。2. 访问控制的核心ACL技术原理与选型在动手敲命令之前我们必须先搞清楚手里的“工具”——ACL到底是什么以及华三交换机上有哪些ACL类型适合我们这个场景。ACL全称访问控制列表它本质上是一组有序的规则rule。交换机或路由器在转发数据包时会拿数据包的特定字段比如源IP地址、目的IP地址、协议端口号等去逐条匹配这些规则。一旦匹配成功就执行这条规则定义的动作permit允许或deny拒绝并且停止继续匹配后续规则如果所有规则都不匹配则执行一个默认动作在华为/华三设备上默认是deny any即拒绝所有。华三交换机支持的ACL主要分为两大类基本ACL和高级ACL。基本ACL2000-2999规则只能依据数据包的源IP地址进行匹配。比如“拒绝源地址是192.168.30.0这个网段的包”。它的优点是配置简单处理速度快。高级ACL3000-3999规则可以依据源IP、目的IP、协议类型IP/TCP/UDP/ICMP等、源端口、目的端口等多个维度进行精细匹配。比如“允许源是192.168.20.0网段目的是192.168.10.5的TCP 3389端口远程桌面的包”。那么针对“限制其他网段访问某一网段”这个需求我们该用哪种这需要分析我们的需求粒度。如果只是简单地禁止某个源网段访问整个目的网段的所有服务如Ping、文件共享、远程桌面等那么使用基本ACL就足够了直接在流量来源的方向上根据源IP进行过滤。但如果需求更精细例如“只允许IT网段访问财务服务器的特定端口如RDP的3389但禁止访问其他端口如文件共享的445”那就必须使用高级ACL来同时限定源、目的IP和目的端口。在我们的案例中假设需求是“完全禁止非IT网段访问整个财务服务器网段”那么使用基本ACL在财务服务器网段的入方向进行过滤是最简洁高效的方案。它的逻辑是在财务服务器所在VLAN的接口上检查所有要进入这个VLAN的流量如果流量来自非法的源网段如市场部、行政部就直接丢弃。注意关于ACL的应用方向。这是新手最容易混淆的地方。ACL规则需要被应用apply在接口的某个方向inbound或outbound才能生效。方向是以设备接口为视角的inbound (入方向)指从该接口进入设备的流量。应用在这里的ACL用于过滤“别人发给我”的流量。outbound (出方向)指从该接口离开设备的流量。应用在这里的ACL用于过滤“我发出去”的流量。 对于我们的场景目的是保护财务服务器网段所以我们应该在连接财务服务器网段的那个VLAN接口的入方向inbound应用ACL过滤所有想进入这个安全区域的“外来”流量。3. 实战配置从规划到命令行实现光说不练假把式我们构建一个具体的实验拓扑来模拟真实环境。3.1 网络拓扑与地址规划假设我们有一台华三层交换机如H3C S6850系列它作为整个网络的核心连接各个部门的VLAN。VLAN 10财务服务器网段VLAN接口IP: 192.168.10.1/24服务器IP范围: 192.168.10.10 - 192.168.10.50VLAN 20IT运维网段(允许访问VLAN 10)VLAN接口IP: 192.168.20.1/24终端IP范围: 192.168.20.0/24VLAN 30市场部网段(禁止访问VLAN 10)VLAN接口IP: 192.168.30.1/24VLAN 40行政部网段(禁止访问VLAN 10)VLAN接口IP: 192.168.40.1/24交换机上已经完成了基础的VLAN划分和三层接口配置各网段之间可以通过交换机路由互通。3.2 ACL策略规划与配置步骤我们的目标是允许VLAN 20访问VLAN 10拒绝VLAN 30和VLAN 40访问VLAN 10。步骤一创建基本ACL我们选择基本ACL编号范围为2000-2999这里使用2000。# 进入系统视图 system-view # 创建基本ACL 2000并进入其视图 acl basic 2000 # 规则1允许源IP为IT网段192.168.20.0/24的流量。规则编号设为5留出前面空间。 rule 5 permit source 192.168.20.0 0.0.0.255 # 规则2拒绝源IP为市场部网段192.168.30.0/24的流量。规则编号设为10。 rule 10 deny source 192.168.30.0 0.0.0.255 # 规则3拒绝源IP为行政部网段192.168.40.0/24的流量。规则编号设为15。 rule 15 deny source 192.168.40.0 0.0.0.255 # 退出ACL视图 quit关键点解释规则编号rule id如51015。规则按编号从小到大顺序匹配。我们可以手动指定方便后期在中间插入新规则。这里从5开始预留了1-4的空间。通配符掩码wildcard mask0.0.0.255。这是ACL中用于匹配IP范围的关键它与子网掩码恰好相反。子网掩码中“1”表示网络位“0”表示主机位而通配符掩码中“0”表示需要精确匹配的位“1”表示忽略不关心的位。192.168.20.0 0.0.0.255意味着匹配前24位192.168.20必须精确后8位主机位任意即匹配整个192.168.20.0/24网段。隐含的拒绝所有在所有用户自定义的规则之后系统会自动添加一条rule deny any的规则。这意味着除了我们明确允许的192.168.20.0/24网段以及我们明确拒绝的30和40网段其他任何来源的流量包括未来新增的VLAN 50、60等在匹配完前面规则后落到这条隐含规则上都会被拒绝。这符合安全原则“默认拒绝”是我们策略生效的重要保障。步骤二将ACL应用到正确的接口和方向ACL创建后只是一组规则必须“挂载”到接口上才能起作用。根据之前的分析我们应该在财务服务器所属VLANVLAN 10的接口的入方向应用这个ACL。# 进入VLAN接口10的视图 interface Vlan-interface 10 # 在入方向inbound应用ACL 2000 packet-filter 2000 inbound # 退出接口视图 quit命令解析packet-filter是华三交换机上应用IPv4 ACL的命令。2000 inbound表示将ACL 2000应用在当前接口的入方向。这意味着所有从外部网络发往Vlan-interface 10即目的地是192.168.10.0/24网段的IP报文在进入这个三层接口时都需要经过ACL 2000的检查。步骤三保存配置这是至关重要的一步否则设备重启后配置会丢失。save force系统会提示输入配置文件的名称直接回车使用默认名称即可。4. 配置验证与效果测试配置完成后绝不能假设它已经正常工作必须进行测试。4.1 使用display命令查看配置# 查看ACL 2000的配置详情确认规则是否正确 display acl 2000输出应类似Basic ACL 2000, 3 rules Acls step is 5 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255# 查看Vlan-interface 10的接口配置确认ACL已应用 display current-configuration interface Vlan-interface 10输出中应包含packet-filter 2000 inbound这一行。4.2 模拟网络访问测试我们可以在不同网段的测试机上使用ping和telnet或测试特定端口来验证。在IT网段192.168.20.x的电脑上ping 192.168.10.10——应该能通。因为规则5允许。telnet 192.168.10.10 3389(如果服务器开了远程桌面) ——应该能通。在市场部网段192.168.30.x的电脑上ping 192.168.10.10——应该不通显示“Request timed out”或“Destination host unreachable”。因为规则10拒绝。telnet 192.168.10.10 任何端口——应该不通。在行政部网段192.168.40.x的电脑上测试结果应同市场部网段。4.3 查看ACL计数高级调试为了更直观地看到ACL规则是否被命中可以查看计数。# 在任意视图下查看ACL 2000的统计信息需要先在ACL视图下开启统计功能 acl basic 2000 rule 5 permit source 192.168.20.0 0.0.0.255 counting rule 10 deny source 192.168.30.0 0.0.0.255 counting rule 15 deny source 192.168.40.0 0.0.0.255 counting quit # 等待一些测试流量后查看统计 display acl 2000此时每条规则后面会显示匹配的报文数量如(100 packets matched)。这是一个非常实用的调试手段可以确认流量是否按预期匹配了规则。注意开启计数counting功能会对设备性能有轻微影响生产环境在调试完毕后可考虑关闭。5. 高级场景与精细化控制上面的案例满足了基本需求。但实际工作中需求往往更复杂。下面探讨几个进阶场景。5.1 场景一只允许访问特定服务器或端口如果需求不是一刀切而是“只允许IT部门访问财务服务器的远程桌面端口3389和Web管理端口443但禁止访问文件共享445等其他所有端口”那么基本ACL就力不从心了。这时必须使用高级ACL3000-3999。# 创建高级ACL 3000 acl advanced 3000 # 规则5允许IT网段访问财务服务器A192.168.10.10的RDP端口 rule 5 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 3389 # 规则10允许IT网段访问财务服务器A的HTTPS端口 rule 10 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 443 # 规则15拒绝IT网段访问财务服务器A的任何其他流量可选为了明确日志记录 rule 15 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 # 规则20拒绝其他所有网段访问整个财务服务器网段 rule 20 deny ip source any destination 192.168.10.0 0.0.0.255 # 注意高级ACL末尾同样有隐含的deny ip any any quit # 应用ACL。此时应用在Vlan-interface 10 inbound依然有效。 interface Vlan-interface 10 packet-filter 3000 inbound quit这个配置实现了端口级的精细控制。规则20是一个兜底明确拒绝了非IT网段访问整个财务网段。5.2 场景二限制访问的例外处理领导说“市场部总监的电脑IP是192.168.30.88需要临时访问财务服务器查看报表怎么办” 我们不能修改整个规则禁止市场部网段但可以在ACL中为特例添加一条允许规则。关键是规则的位置ACL是按顺序匹配的。我们之前的规则是rule 5 permit 192.168.20.0/24rule 10 deny 192.168.30.0/24rule 15 deny 192.168.40.0/24如果我们直接在后面加一条rule 20 permit source 192.168.30.88是没用的因为来自192.168.30.88的流量在第二条规则rule 10就已经被拒绝并停止匹配了。因此允许规则必须放在拒绝规则之前。acl basic 2000 # 首先为特例添加允许规则编号设为3放在rule 5之前 rule 3 permit source 192.168.30.88 0 # 原有的规则5、10、15保持不变 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255 quit这样192.168.30.88的流量会先匹配rule 3被允许而市场部网段其他IP的流量则继续匹配到rule 10被拒绝。5.3 场景三基于时间的访问控制有些场景下访问控制需要基于时间比如“只允许在工作时间9:00-18:00访问”。华三ACL支持与时间段time-range结合。# 首先定义一个时间段命名为Work-Time time-range Work-Time 09:00 to 18:00 working-day # 工作日 9点到18点 # 在ACL规则中引用这个时间段 acl basic 2000 # 这条允许规则仅在Work-Time时间段内生效 rule 5 permit source 192.168.20.0 0.0.0.255 time-range Work-Time # 非工作时间由于没有规则匹配流量会落到隐含的deny any上从而被拒绝。 quit这个功能对于实现更灵活的安控策略非常有用。6. 常见问题排查与实操心得在实际部署中你可能会遇到配置不生效的情况。别慌按照以下思路排查十有八九能找到问题。6.1 问题排查清单问题现象可能原因排查命令与解决思路ACL配置了但完全没效果1. ACL未应用到接口上。2. 应用方向错误。3. 配置未保存设备重启后丢失。1.display current-configuration interface [接口名]检查是否有packet-filter。2. 确认方向过滤“访问者”用入方向inbound在目标网段接口过滤“被访问者出站”用出方向outbound在源网段接口。通常用入方向。3. 检查是否执行过save。部分IP通部分IP不通1. 通配符掩码计算错误。2. 规则顺序错误特例规则被通用规则覆盖。1. 仔细核对ACL规则中的IP和通配符。0表示精确匹配255表示忽略。可用display acl [编号]查看。2. 检查规则ID顺序。记住设备按rule id从小到大匹配一旦匹配立即执行动作并停止。允许特例的规则必须放在拒绝整个网段的规则之前。ping不通但telnet/应用能通或反之使用了基本ACL但需求是控制特定协议或端口。基本ACL无法区分协议。检查需求。如果需要控制具体服务如只禁Ping但放通HTTP必须使用高级ACL并明确指定协议如icmp for ping, tcp for http和端口。本地设备自己访问被限制ACL应用在了本地设备出方向错误地过滤了设备自身发出的流量。检查ACL应用位置。如果目的是限制其他设备访问本设备管理的网段应将ACL应用在该网段VLAN接口的入方向inbound。设备自身发出的流量不经过接口的入方向ACL检查。配置后网络出现异常或性能下降1. ACL规则过于复杂或数量庞大。2. 在高速端口或核心路径上应用了带统计counting的ACL。1. 优化ACL规则合并能合并的条目减少规则数量。2. 生产环境调试完毕后关闭规则的counting功能进入ACL视图对规则使用rule [id] permit/deny ...不加counting重新配置一遍即可覆盖。6.2 实操心得与避坑指南先允许后拒绝特例优先这是配置ACL的黄金法则。在规划规则时先把需要放通的、范围最小的特例规则写在前面编号小然后是范围较大的允许规则最后是范围最大的拒绝规则。这样逻辑最清晰也最容易避免规则冲突。通配符掩码是“反掩码”这是新手最大的坑。一定要反复告诉自己ACL里的0对应子网掩码的1网络位需匹配255对应子网掩码的0主机位忽略。一个快速验证方法将IP地址与通配符掩码相加如果等于另一个IP则这两个IP会被同一条规则匹配。例如规则source 192.168.1.0 0.0.0.255会匹配192.168.1.1到192.168.1.254的所有IP。接口方向是灵魂花一分钟想清楚你的流量路径。你要过滤的流量是从哪个接口进入设备的把这个接口找到在它的inbound方向应用ACL。绝大多数“限制他人访问我”的场景都是在“我”所在的接口入方向做文章。测试测试再测试配置完成后不要只从一个点测试。要用被允许的IP、被拒绝的IP、甚至不相干的IP从多个角度进行测试ping, telnet, 实际应用。并利用display acl [编号]的计数功能确认流量命中了你期望的规则。文档化与注释在配置中可以使用description命令为ACL添加描述。虽然命令行不保存但在你的运维文档里一定要记录每条ACL的目的、应用的接口和方向、以及变更历史。这对于后续维护和故障排查至关重要。考虑管理流量如果你通过Telnet或SSH从被限制的网段管理交换机ACL可能会把你的管理会话也阻断。确保ACL规则中包含了允许管理协议如SSH的TCP 22端口访问交换机管理IP的规则并且这条规则位置要靠前。通过以上从原理到实践从基础到进阶的完整梳理相信你已经能够独立在华三交换机上设计和部署基于网段的IP访问控制策略了。网络安全的策略部署核心在于对流量路径和访问需求的精确理解ACL只是一个高效的工具。每次配置前多花点时间画一画流量图理一理规则顺序就能避免很多后期的麻烦。
