19.2.4 二层ACL配置

二层ACL根据报文的源MAC地址、目的MAC地址、802.1p优先级、二层协议类型等二层信息制定匹配规则，对报文进行相应的分析处理。二层ACL的序号取值范围为4000～4999。

如果要配置带有时间段参数的规则，则需要定义相应的时间段。请参见19.2.1节介绍。

1.二层ACL的配置方法

配置二层ACL的具体步骤如表19-7所示。

表19-7  配置二层ACL的步骤

表19-7中的两个rule命令尽管适用于不同的交换机系列，但其实两者是差不多的，只是可选项和参数有些区别。在S5600、S7500系列中，是以“rule-string”参数替代了原来在S3600、S5500-EI、S5510等列中使用的一大串可选项和参数。但在实际的命令使用中，“rule-string”参数还是要以相应的可选项和参数来替代的。当然每个交换机型号所支持的可选项和参数并不完全一样，这在配置时要特别注意了。rule命令的可选项和参数如下：

n        rule-id：ACL规则编号，取值范围为0～65534。

n        deny：表示丢弃符合条件的数据包。

n        permit：表示允许符合条件的数据包通过。

n        rule-string：ACL规则信息，具体参数说明如表19-8所示。适用于S3600、S5500-EI、S5510、S7500E等列中的rule命令后面的可参数也可参照表中说明。

表19-8   二层ACL规则信息

在删除一条ACL规则时，需要指定该ACL规则的编号。如果用户不知道ACL规则的编号，可以使用display acl命令来查看。

需要注意的是：

n        用户可以修改二层ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态。

n        在创建一条ACL规则的时候，用户可以不指定规则的编号，交换机将自动为这个规则分配一个编号：如果此ACL中没有规则，编号为0；如果此ACL中已有规则，编号为现有规则的最大编号+1；如果此ACL中现有规则的最大编号为65534，则系统会提示错误信息，此时用户必须指定规则的编号才能创建成功。

n        新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不成功，系统会提示该规则已经存在。

下面是一个使用rule命令创建二层ACL 4000，定义规则1，禁止从MAC地址000d-88f5-97ed发送到MAC地址0011-4301-991e且802.1p优先级为3的报文通过的示例。

下面是一个使用rule命令创建二层ACL 4001，定义规则1，允许内层VLAN编号为2～10的报文通过的示例。

完成上述配置后，用户可以使用display acl命令查看ACL的配置信息。

表中的其他命令在本章前面已有介绍，在此不再赘述。但要注意的是，表19-7中的acl number的表表号一定要在4000～4999范围之中。

【注意】在进行二层ACL创建时，要注意以下事项：

n        当ACL的匹配顺序为config时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；当ACL的匹配顺序为auto时，用户不能修改该ACL中的任何一条已经存在的规则，否则系统会提示错误信息。

n        在定义一条ACL规则的时候，用户可以不指定规则编号，这时，系统会从0开始，按照一定的编号步长，自动为规则分配一个大于现有最大编号的最小编号。假设现有规则的最大编号是28，编号步长是5，那么系统分配给新定义的规则的编号将是30。关于步长的详细介绍请参考step命令。

n        新创建或修改后的规则不能和已经存在的规则相同，否则会导致创建或修改不成功，系统会提示该规则已经存在。

n        当ACL的匹配顺序为auto时，新创建的规则将按照“深度优先”的原则插入到已有的规则中，但是所有规则对应的编号不会改变。

n        用户可以通过命令acl numberacl-number[nameacl-name]match-order{auto|config}修改ACL的匹配顺序为auto或者config，但必须在ACL中没有规则的时候修改，对已经有规则的ACL是无法修改其匹配顺序的。

n        在使用rule comment命令为规则定义描述信息时，该规则必须存在。

2. 二层ACL配置示例

本示例是要配置一个二层ACL 4000，禁止802.1p优先级为3的报文通过。具体配置命令和显示信息如下：