cisco access list

2

2

.

.

2

2

C

C

a

a

t

t

列

列

交

交

换

换

机

机

上

上

的

的

V

V

A

A

C

C

L

L

控制，在学习 VACL 的实施之前，读者必须完全掌握 ACL 的实现方法。

当用户使用 ACL 标识数据包时，ACL 对数据包的操作一定是“permit”。用 ACL 标识以后，对此

类数据包具体采取什么操作则由 VACL 来定义，下面显示了 VACL 的设计流程图：

…

…

…

…

句的执行顺序。如果用户想向 10 与 20 语句之间插入一

条语句的话，可以将其序号定义在 10 与 20 之间，例如：

15。

名 ACL），number 即 ACL 的号码（编号 ACL）。

发数据包

list

在 VLAN 上调用 VACL

主机 1 的地址为：10.1.1.2，主机 2 的地址为：10.1.1.3。交换机 3550 配置如下：

1、配置主机名、enable secret（省略）

2、创建 VLAN、划分端口到相应的 VLAN 中。（省略）

3、定义 VLAN 虚接口地址，并且启动三层交换。

SW3550(config)#interface vlan 1

SW3550(config-if)#ip address 10.1.1.1 255.255.255.0

SW3550(config-if)#no shutdown

SW3550(config-if)#exit

SW3550(config)#interface vlan 2

SW3550(config-if)#ip address 10.2.2.1 255.255.255.0

SW3550(config)#ip routing 启动三层交换，让 vlan 间互通

4、定义 ACL，标识出需要丢弃的数据包

SW3550(config)#access-l 101 permit ip host 10.1.1.2 host 10.1.1.3

SW3550(config)#access-l 101 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255

SW3550(config)# vlan access-map cisco 10 cisco 为 VACL 的名称

SW3550(config-access-map)# match ip address 101

SW3550(config)# vlan filter cisco vlan-list 1 - 3

在 VLAN1、VLAN2、VLAN3 上启用 VACL：cisco。

2

2

.

.

3

3

特

特

殊

殊

的

的

2

2

.

.

3

3

.

.

1

1

增

增

C

L

修

修

功

功

只能向列表末尾添加语句，而不能在列表中间插入语句。Cisco 在 IOS 12.2T8 及以后的版本中

增强了 ACL 的修改功能，用户可以向现在 ACL 的任意部位插入新的语句。下面，我们先来比较一

下在 IOS 12.2T8 之前和之后的 IOS 中分别使用 show access-list 命令的输出内容。

Router(config)# access-list 101 permit ip host 1.1.1.1 host 2.2.2.2

Router(config)# access-list 101 permit ip host 1.1.1.1 host 3.3.3.3

Router(config)# end

Router(config)# access-list 101 permit ip host 1.1.1.1 host 3.3.3.3

Router(config)# do show access-list 101

Extended IP access list 101

10 permit ip host 1.1.1.1 host 2.2.2.2

20 permit ip host 1.1.1.1 host 3.3.3.3

之前加了序列号（10 和 20）。

Router(config)# ip access-list extended

101

20 permit ip host 1.1.1.1 host 3.3.3.3

10 和 20 的两句话中间。

increase-number

Router(config)# ip access-list resequence

101 10 10

Router(config)# do sh access-list 101

2

2

.

.

3

3

.

.

2

2

扩

扩

A

A

C

C

中

中

的

的

e

e

s

s

t

t

a

a

b

b

l

i

i

s

制。

段中是否设置了 ACK 位来对分组进行过滤（没有 ACK 位的不符合 established 条件）。