华为S5700EI_ACL基于mac与ip配置实例

342311

配置思路阐述：
在S5700交换机21端口通过vlan13接入无线AP设备，使注册用户无需输入密码就可联接Wifi使用外网，不允许用户访问内网。
1.只允许注册用户无需密码接入AP （在S5700中基于ACL策略mac地址控制）
2.禁止未注册用户接入网络
3.只允许用户通过AP访问外网
4.禁止AP用户访问内部办公网
-----------------------------------------------------------------------------------------------
配置基于二层ACL控制策略
acl number 4001
description wifi-test
rule 1 permit source-mac 00e0-4c68-0005
rule 2 permit source-mac 8086-f20a-274c
rule 3 permit source-mac 00e0-66c3-c60d
rule 9 deny
-----------------------------------------------------------------------------------------------
配置基于三层ACL控制策略
acl number 3015
rule 1 permit ip destination 192.168.7.15 0
rule 2 deny ip source 192.168.13.0 0.0.0.255 destination 192.168.0.0 0.0.255.255
rule 20 permit ip
-----------------------------------------------------------------------------------------------
配置分流策略
traffic classifier tc4001
if-match acl 4001
traffic behavior tb4001
permit
traffic policy tp4001
classifier tc4001 behavior tb4001
-----------------------------------------------------------------------------------------------
配置接口应用策略
interface GigabitEthernet0/0/21
description Wifi-LAN
port link-type access
port default vlan 13
loopback-detect enable
traffic-filter inbound acl 3015  （traffic-filter）
traffic-policy tp4001 inbound
-----------------------------------------------------------------------------------------------
配置说明：
以上接口配置处使用两种traffic类配置因为：
1.acl 4001被traffic-filter引用后的acl控制策略不能修改添加，删除traffic-filter后可修改acl策略，而traffic-policy无需删除引用即可添加或修改acl 4001控制策略。
  
traffic-filter与traffic-policy都可配置与全局、vlan、接口中。
traffic-filter无需做分流配置可直接用于全局、vlan、接口中，切可添加多条traffic-filter引用。
traffic-policy必须引用分流配置策略最后在全局、vlan、接口中引用，同接口只能引用一次。

当二层与三层acl策略同时在一个traffic classifier类中被引用时，会以三层为准忽略二层策略。
例子：
traffic classifier tc4001
if-match acl 4001
if-match acl 3015
以上例子测试基于二层的acl 4001的mac地址控制不起作用，基于三层acl 3015策略正常使用。