IPv6终端进了内网却没个门禁？华为基本ACL6按源地址把关

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

IPv6一落地，很多单位发现管理思路要跟着翻新：过去IPv4时代配好的访问控制只认IPv4地址，新上来的IPv6终端反而不受约束——网段随便进，设备随便访。IPv6网络同样需要门禁，而且门禁的逻辑和IPv4一脉相承：基本ACL6就是这把锁，它根据源IPv6地址、分片信息和生效时间段来定义规则，对IPv6报文做过滤。如果只需要按源地址把关，基本ACL6就够用。

建规则之前，有三条使用须知。第一，规则编号已存在且新旧规则冲突时，冲突部分新规则代替原规则，相当于就地编辑；第二，不同ACL6的匹配顺序可能造成不同的匹配结果，规则的先后顺序要按业务想清楚再落；第三，很多没有配置ACL6规则的业务也会占用ACL6资源，可以用display system tcam service brief查看资源占用情况，规则堆太多时留意余量。另外删除规则要谨慎：规则即使被引用，undo rule也能删掉，删前先用display current-configuration | include acl确认它没有被业务引用。

配置四步走。进入系统视图：

system-view

创建基本ACL6，数字型或命名型二选一，基本ACL6的编号范围是2000～2999：

acl ipv6 [ number ] basic-acl6-number

acl ipv6 name basic-acl6-name basic

可选两步：规则多时把步长调大留出插入空间（缺省步长为5，不能满足部署需求时可调整）；再给ACL6和规则各加一句描述，方便日后理解用途：

step step-value

description text

rule rule-id description destext

配规则本身，看两个典型写法。按主机地址过滤——允许源地址为2001:db8:1::1/128的报文通过：

<HUAWEI> system-view
[HUAWEI] acl ipv6 2001
[HUAWEI-acl6-basic-2001] rule permit source 2001:db8:1::1 128
[HUAWEI-acl6-basic-2001] quit

按网段过滤则讲究顺序：仅允许某台主机、拒绝同网段其余地址时，permit主机规则要放在deny网段规则前面，先命中先执行：

<HUAWEI> system-view
[HUAWEI] acl ipv6 2001
[HUAWEI-acl6-basic-2001] rule permit source 2001:db8:1::2 128
[HUAWEI-acl6-basic-2001] rule deny source 2001:db8:1::1 64
[HUAWEI-acl6-basic-2001] quit

配完用display acl ipv6检查配置信息。特别提醒收尾一环：ACL6配好只是半成品，必须在具体的业务模块中应用，规则才会正常下发和生效——配在仓库里没人调用，是IPv6门禁配了不生效的常见原因。

IPv6管起来和IPv4是同一套思路，早配早受益。给客户做IPv6改造时，ACL6规则与IPv4侧管控值得成对设计，双栈环境下两套地址各有各的门禁，不留空窗。欢迎搜索关注贵州诚鑫致达科技，了解更多IPv6落地实战配置。