数码dcrs-三层交换机操作手册安全功能.pdfVIP

第1章ACL配置

1.1ACL介绍

ACL(AccessControlLists)是交换机实现的一种数据滤机制，通过允许或特定

的数据包进出网络，交换机可以对网络进行控制，有效保证网络的安全运行。用户可以

基于报文中的特定信息制定一组规则（rule），每条规则都描述了对匹配一定信息的数据包

所采取的动作：允许通过（permit）或通过（deny）。用户可以把这些规则应用到特定

交换机端口的或出口方向，这样特定端口上特定方向的数据流就必须依照指定的ACL

规则进出交换机。

1.1.1Access-list

Access-list是一个有序的语句集，每一条语句对应一条特定的规则(rule)。每条rule包括

了过滤信息及匹配此rule时应采取的动作。Rule包含的信息可以包括源IP、目的IP、IP协议

号、tcp端口等条件的有效组合。根据不同的标准，access-list可以有如下分类：

根据过滤信息：ipaccess-list（三层以上信息）。

根据配置的复杂程度：标准(standard)和扩展(extended)，扩展方式可以指定更加

细致过滤信息。

根据命名方式：数字(numbered)和命名(named)。

对一条ACL的说明应当从这三个方面加以描述。

1.1.2Access-group

当用户按照实际需要制定了一组access-list，就可以把他们分别应用到不同端口的

不同方向上。access-group就是对特定的一条access-list与特定端口的特定方向的绑定关系

的描述。当您建立了一条access-group，流经此端口此方向的所有数据包都会试图匹配

指定的access-list规则，以决定交换动作是允许(permit)或(deny)。另外还可以在端口加

上对ACL规则统计计数器，以便统计流经端口的符合ACL规则数据包的数量。

1.1.3Access-list动作及全局默认动作

Access-list动作及默认动作分为两种：允许通过(permit)或通过(deny)。具体有如下：

在一个access-list内，可以有多条规则（rule）。对数据包的过滤从第一条规则（rule）

开始，直到匹配到一条规则（rule），其后的规则（rule）不再进行匹配。

全局默认动作只对端口方向的数据流量有效。对出口的所有数据包，其默认转发动

1-1

作均为允许通过(permit)。

只有在滤功能打开且端口上没有绑定任何的ACL或不匹配任何绑定的ACL时才会

匹配的全局的默认动作。

当一条access-list被绑定到一个端口的出方向时，其规则（rule）的动作只能为通

过（deny）。

1.2ACL配置

ACL配置任务序列如下：

1.配置access-list

（1）配置数字标准IP列表

（2）配置数字扩展IP列表

（

3）配置命名标准IP列表

a)创建一个命名标准IP列表

b)指定多条permit或deny规则表项

c)