ACL 访问控制列表
在所有ACL应用到到接口上时,在最后都有一条默认的deny all条目,所以,如果需要在没有匹配的报文都正常转发的话要在最后添加一条permit any条目。
1
1.1 MAC ACL
在接口ge1上应用mac acl 700,允许通过MAC地址为:0003.6B00.xxxx的报文
1.1.1 配置
1)配置一条MAC ACL,允许通过MAC地址为:0003.6B00.xxxx的报文
xNet#configure terminal
xNet(config)#mac acl 700 permit 0003.6B00.0001 ffff.ffff.0000 any 1
xNet(config)#end
xNet#
2)应用于接口上,MAC ACL只能应用于二层口
xNet#configure terminal
xNet(config)#interface ge1
xNet(config-if)#switchport
xNet(config-if)#mac access-group 700 in
xNet(config-if)#end
xNet#
1.2 IP ACL
在接口ge1上应用acl 1,只通过192.168.3.0/24网段的报文,其它的都drop。
1.2.1 配置
xNet#configure terminal
xNet(config)#access-list 1 permit 192.168.3.0 0.0.0.255
xNet(config)#end
xNet#
xNet#configure terminal
xNet(config)#interface ge1
xNet(config-if)#ip-access-group 1 in
xNet(config-if)#end
xNet#
1.3 Extended IP ACL
在接口ge1上应用扩展acl 100,只通过192.168.3.0/24网段的TCP报文,并使用rate-limit限速256kbps,其它的都drop。
1.3.1 配置
1)添加扩展ACL
xNet#configure terminal
xNet(config)#access-list 100 permit tcp 192.168.3.0/24 any rate-limit 256 4
xNet(config)#end
xNet#
2)应用于接口
xNet#configure terminal
xNet(config)#interface ge1
xNet(config-if)#ip-access-group 100 in
xNet(config-if)#end
xNet#
1.4 Expert ACL
在接口ge1上应用专家级acl 2700,只通过匹配到IP:192.168.3.0/24,MAC:0003.6B00.xxxx的TCP报文,并该ACL策略只有在每天08:00:00—20:00:00起效(time-range)。
1.4.1 配置
1)创建一个time-range规则,命名为xxx
xNet#configure terminal
xNet(config)#time-range xxx
xNet(config-tm-range)#periodic daily 08:00:00 to 20:00:00
xNet(config-tm-range)#exit
2)应用于ACL
xNet(config)#access-list 2700 permit tcp 192.168.3.0/24 0003.6B00.0000 ffff.ffff.0000 any any time-range xxx
xNet(config)#end
xNet#
3)ACL应用于接口
xNet#configure terminal
xNet(config)#interface ge1
xNet(config-if)#expert access-group 2700 in
xNet(config-if)#end
xNet#