cisco acl

【转】

http://shawdawnet.blog.163.com/blog/static/8439081620094184463379/

在我手头碰到过三次了，每次都出问题，象是中了邪--湖南的认证记费！一次是没做捆绑成了环，回去就报故障过来再打倒回府再去处理，这个不是我做的，但是我参与了，我当时真没仔细了解整个网络环境，没想到他是要做捆绑的；一次是模块换错了，CISCO同样波长公里数的模块衰耗差别居然如此之大，导致丢了16个小时的包，直接造成营业厅的工单堵死，这次事故的总结前面文章有写过了，这次的问题是ACL，CISCO3750的ACL跟防火墙的ACL有细微的差别，他们往同一个序列号的规则里面加规则是没问题没区别的，但是删除的时候就有问题了，防火墙可以精确到每一条的删除，例如no access-list 120 extended permit ip 192.168.0.0 255.255.255.0 192.168.0.0 255.255.255.128 他删除的是这一条，对于其他access-list 120 .....无影响，

XZ-ITMSFW-A(config)# no access-list 120 ?   

configure mode commands/options:
  deny      Specify packets to reject
  extended  Configure access policy for IP traffic through the system
  line      Use this to specify line number at which ACE should be entered
  permit    Specify packets to forward
  remark    Specify a comment (remark) for the access-list after this keyword
  standard  Use this to configure policy having destination host or network only
  webtype   Use this to configure WebVPN related policy

但对3750，3550等却是 ：

HHY_CORE_3550(config)#no access-list 152 ?
 <cr>

后面不能精确删除某一条，即使你把整个access-list 152 permit ip any 132.129.4.0 0.0.0.255  no掉，其结果是整个ACL 152 no掉了，再也看不到ACL 152了，如果你不小心wr了，并且没有备份，那不好意思，你得慢慢去回忆你的ACL 152是什么东西吧。幸好我没有wr好有的救，从show startup-config 里面找出ACL 152 再把他写进去吧！

      我认为这是一种很愚蠢的方法，如果我在交换机上写了几百条规则，但是又需要放开某条规则时，仅靠no 掉ACL，然后再把原来的写一次，那岂不是件痛苦的事？ 请高手指点更好的方法。跪谢！

      难道不犯错误就没有进步？智者告诉我们成功需要借鉴别人的经验，而不是自己去试去碰一碰每个错误，然后下次再来避免，那你一辈子都在做错事，一辈子都抬不起头，人生没有多少个下一次！