Expert扩展访问列表的配置927.pdf

《Expert扩展访问列表的配置927.pdf》由会员分享，可在线阅读，更多相关《Expert扩展访问列表的配置927.pdf（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、Expert 扩展 ACLs 的语句规则 配置标号的 Expert 扩展 ACLs 配置命名的 Expert 扩展 ACLs 访问控制列表（ACLs）是一种基于包过滤的防火墙技术，它可以对接口上的数据包进行过滤，允许其通过或丢弃。Expert 扩展访问控制列表是 IP 访问列表和 MAC 访问列表的综合体，可根据数据包的 IP 地址、MAC 地址、使用的协议等设置过滤，根据设定的规则，允许或拒绝数据包通过。Expert 扩展访问控制列表用标号或名字进行标识，可使用的标号是27002899。Expert 扩展 ACLs 的语句规则 Expert 扩展访问控制列表由一系列的规则组成，每条规则用一个

2、 permit 或 deny 关键字定义，规则的格式为：permit|deny 协议|以太网协议类型 源IP 地址 源MAC地址 目的 IP 地址 目的 MAC 地址 表达式 1、permit|deny：必需。permit 定义的是允许通过的规则，deny 定义的是拒绝通过的规则。2、协议|以太网协议类型：可选。指定数据包的协议，如 ip、icmp、tcp、udp 等，或者指定帧的以太网协议类型。3、源 IP 地址：必需。指定数据包源 IP 地址。有三种格式：any 表示任意地址 host ip-address 表示单一地址 address wildcard 表示一组地址 4、源 MAC 地址

3、：必需。指定数据包源 MAC 地址。有两种格式：any 表示任意地址 host mac-address 表示单一地址 5、目的 IP 地址：必需。指定数据包目的 IP 地址。有三种格式：any 表示任意地址 host ip-address 表示单一地址 address wildcard 表示一组地址 6、目的 MAC 地址：必需。指定数据包目的 MAC 地址。有两种格式：any 表示任意地址 host mac-address 表示单一地址 7、表达式：可选。指定数据包的用途。当“协议”字段指定了协议后，才能使用表达式来指定端口名称或端口号。举例：deny tcp host 192.168.1.

4、3 host 00d0.f800.0104 any any 拒绝源 IP 为 192.168.1.3，源 MAC 地址为 00d0.f800.0104，目的地址为任意，使用的协议为 TCP 的数据包通过。说明：在每个 Expert 扩展 ACLs 中，最后一条规则隐含为 deny any any any any，它表示拒绝任何数据包通过。配置标号的 Expert 扩展 ACLs 扩展访问控制列表有两种配置方法：标号的 ACLs 和命名的 ACLs，以下是标号的 Expert 扩展 ACLs 配置。标号的扩展 ACLs 在全局配置模式中配置；标号的扩展 ACLs 由一系列 access-list

5、 语句组成；属于同一个扩展 ACLs 的 access-list 语句使用相同的标号。1、access-list 语句：Ruijie(config)#access-list list-id 规则 list-id 是 Expert 扩展 ACLs 的标号，取值范围是 27002899，同一个 ACLs中的各语句标号必须相同。规则就是前面所说的 permit 和 deny 规则。2、包过滤的配置：定义的 ACLs 必须应用在指定的接口上，才能起到包过滤的作用。Ruijie(config)#interface interface-id Ruijie(config-if)#expert access-

6、group list-id in|out interface 命令指定了一个接口。extert access-group 命令指定在接口上应用的 Expert 访问控制列表，list-id是访问列表的标号，in 指定在输入流中进行过滤，out 指定在输出流中进行过滤，两者只能指定一个。说明：在每个接口、每个方向上只能应用一个访问列表。在一个接口的入口和出口方向上可应用不同的访问列表。使用入口过滤和出口过滤在效果上和效率上都有所不同，应根据具体的应用合适选择。配置举例：Ruijieenable Ruijie#configure terminal Ruijie(config)#access-lis

7、t 2701 tcp deny host 192.168.5.1 host 0013.2049.8272 any any Ruijie(config)#access-list 2701 permit any any any any Ruijie(config)#interface f0/1 Ruijie(config-if)#expert access-group 2701 in 本例定义了一个 Expert 扩展访问控制列表，它由 3 条规则组成：拒绝源 IP 为 192.168.5.1、源 MAC 地址为 0013.2049.8272 的 TCP 数据包通过；允许所有数据包通过；拒绝所有数

8、据包通过。这句是由隐含的规则定义的。整个配置可以解释为，在 f0/1 接口的输入流中执行包过滤，拒绝来自192.168.5.1、0013.2049.8272 的帧通过，其余的都不受限制。配置命名的 Expert 扩展 ACLs 扩展访问控制列表有两种配置方法：标号的 ACLs 和命名的 ACLs，以下是命名的 Expert 扩展 ACLs 配置。命名的扩展 ACLs 用编号或名字区分各个访问列表；命名的扩展 ACLs 的规则在访问列表配置模式中配置。1、进入访问列表配置模式：Ruijie(config)#expert access-list extended list-id|list-name

9、 Ruijie(config-exp-nacl)#本命令用于进入 Expert 扩展访问列表的配置模式。list-id 是 Expert 扩展 ACLs 的标号，取值范围是 27002899。list-name 是 Expert 扩展 ACLs 的名字，用字母、数字命名。list-id 和list-name 只能指定一个，如果指定的访问列表不存在，则创建它并进入访问列表配置模式。2、配置访问列表的规则：Ruijie(config-exp-nacl)#permit 规则 Ruijie(config-exp-nacl)#deny 规则 规则形式参照前面的描述。3、包过滤的配置：把定义的 ACLs

10、应用在指定的接口上。Ruijie(config)#interface interface-id Ruijie(config-if)#expert access-group list-id|list-name in|out interface 命令指定了一个接口。expert access-group 命令指定在接口上应用的访问控制列表，list-id 和list-name 是访问列表的标号或名字，in 指定在输入流中进行过滤，out 指定在输出流中进行过滤，两者只能指定一个。配置举例：Ruijieenable Ruijie#configure terminal Ruijie(config)#expert access-list extended exp1 Ruijie(config-exp-nacl)#deny host 192.168.5.1 host 0013.2049.8272 any any Ruijie(config-exp-nacl)#permit any any any any Ruijie(config-exp-nacl)#exit Ruijie(config)#interface f0/1 Ruijie(config-if)#expert access-group exp1 in 本例和前面的例子是一样的，只是采用了命名的方式定义的。