华为交换中端产品QACL配置案例集

　　【案例7】

　　用户配置访问列表禁止某一网段在周一至周五禁止上互联网，在这一网段中的两个ip不受限，在运行半天后，不受限的两个ip无法访问internet。即acl中的permit失效，deny还起作用。不做ACL的网段转发没有问题，0030（包括此版本）版本以下都有此问题。

　　访问列表需求如下：

　　有2个网段192.168.21.0/24192.168.22.0/24在2台3050（分别千兆上连到6506）上，现要求周一到周五不能访问互联网，但其中的192.168.21/22.9和192.168.21/22.10却不受限制。

　　我在6506上做了2种配置均可实现以上功能（运行1/2天以后必须重起6506）

　　第一种是在3050上连到6506的光纤口上做访问列表

　　第二种是在6506连接路由器的电口上做访问列表（在这个口上是为了考虑2个网段访问内网方便----即访问列表简单）

　　aclnumber101

　　rule0denyipsource192.168.21.00.0.0.255time-rangestunet

　　rule1permitipsource192.168.21.00.0.0.255destination192.168.31.00.0.0.255

　　rule2permitipsource192.168.21.100

　　rule3permitipsource192.168.21.90

　　aclnumber102

　　rule0denyipsource192.168.22.00.0.0.255time-rangestunet

　　rule1permitipsource192.168.22.00.0.0.255destination192.168.31.00.0.0.255

　　rule2permitipsource192.168.22.100

　　rule3permitipsource192.168.22.90

　　time-rangestunet08:00to22:00working-day

　　#

　　【问题分析】

　　防火墙可以配置时间段，这样规则就可以在一段规定的时间内发生作用。这是对防火墙功能的进一步提升。

　　交换机的时间段功能是通过软件中的定时器在规定的时间段范围内下发到硬件中来完成的，在其他时间硬件中没有配置带有时间段的acl。当在规定的时间段之外，软件会将规则从硬件中删除，到达时间后再次下发。但这里会存在一个问题，就是我们已经默认后下发的规则优先，这就人为的提供了带有时间段的规则的优先级。以至使得其它不带有时间段的规则失效。上面的问题就是一例。