华为AirEngine AP | 基于ACL的报文过滤配置实践

实践 | Practices 2025年2月10日

1.First | 序

华为 AirEngine 系列 AP 支持使用 ACL 做报文过滤

现网环境有如下需求:

阻止 10.7.7.151 访问 10.7.7.11

上述需求可通过配置并引用 ACL(Access Control List) 实现

1.1.What is ACL | 什么是ACL?

访问控制列表ACL（Access Control List）是由一系列规则组成的集合

ACL通过这些规则对数据包进行分类，从而设备可以对不同类报文进行不同的处理

引用至华为WLAN产品文档: ACL定义

1.2.ACL Tips | Acl 小贴士

ACL 主要用于 安全、流量控制、QoS 和 NAT
规则按顺序匹配 | 一旦匹配成功，后续规则不再检查
ACL 需要 绑定到接口或策略 才会生效
华为默认ACL的步长设定为5

1.3.Preconditions | 前提条件

华为 AirEngine 产品
- AirEngine 5700&6700&8700&9700D 系列
  - AirEngine 6776-56TP
  - AirEngine 5760-10
  - AirEngine 5760-51
  - AirEngine 5760-22W
  - ......
- AirEngine 9700 系列

示例基于V200R023C00SPC100版固件

了解一定的ACL基础知识
了解ACL规则配置中有关通配符的基础知识
查询文档的能力

1.4.OS&SW Version | 系统&软件版本

可能不完全列出此篇 OS&SW Version

AirEngine

Huawei Versatile Routing Platform Software
VRP (R) software, Version 5.170 (AirEngine 5700 V200R023C00SPC100)
Copyright (C) 2011-2023 HUAWEI TECH CO., LTD

2.Setting | 设置

想要实现本篇需求大致需要两个步骤

配置ACL规则做报文过滤
绑定至所需的SSID

下面依次进行

2.1.配置`ACL`规则

2.1.1.Web

登录 Wlan Web管理系统
依次单击高级 > 安全管理 > ACL > 用户ACL配置，进入用户ACL配置页面
单击新建按钮建立用户ACL

需要键入以下内容
- ACL名称
- ACL编号
- ACL描述
这里需要注意编号为6000～6031的ACL会下发给AP生效
为 ACL 添加规则

点击添加规则一项

编辑 ACL 规则

可选项如下

以下做详析

规则编号
- 此项输入范围从0~4294967294
- 步长为5
即若不填写规则编号默认从5开始计数,依次规则编号为10、15、20、25、30.......依次类推

步长设定存在的意义是控制规则的匹配顺序,假如说管理员已经配置了两条规则5、10

现在想要在第一条规则(5)后面插入一条新规则,即可以自定义规则编号为6以控制规则的匹配顺序
动作
- 允许
- 拒绝

协议类型

默认可选的协议类型如下

IP
GRE(47)
ICMP(1)
IGMP(2)
IPINIP(4)
OSPF(89)
TCP(6)
UDP(17)
自定义类型

不知道大家注意到协议类型后方的数字编号没

例如 ICMP(1) 括号当中的数字1即表示IP协议号（Protocol Numbers）

IP协议号（Protocol Numbers）是由 IANA(Internet Assigned Numbers Authority)维护的一组编号，用于标识 IP 数据包的封装协议。协议号范围是 0-255

部分协议号

协议号	协议名称	说明
0	HOPOPT	IPv6 跳跃选项
1	ICMP	互联网控制报文协议
2	IGMP	互联网组管理协议
3	GGP	网关到网关协议
4	IP in IP	IP in IP 封装
5	ST	流协议
6	TCP	传输控制协议
7	CBT	组播协议
8	EGP	外部网关协议
9	IGP	内部网关协议
17	UDP	用户数据报协议
27	RDP	可靠数据协议
41	IPv6	IPv6 封装
47	GRE	通用路由封装协议
50	ESP	IPsec 的封装安全负载
51	AH	IPsec 的认证头
58	ICMPv6	IPv6 版本的 ICMP
89	OSPF	开放最短路径优先路由协议
132	SCTP	流控制传输协议