华三，思科ACL命令解析



基本访问控制列表定义及应用： 第一步：分析哪些源地址，也在分析访问控制需求（含拓扑图内容）； 第二步：定义基本访问控制列表， a 弄清基本访问控制列表的表号 H3C： 2000--2999 cisco及其它公司：1-99 b 编写acl H3C:是在管理员用户视图下编写 cisco:全

基本访问控制列表定义及应用： 第一步：分析哪些源地址，也在分析访问控制需求（含拓扑图内容）； 第二步：定义基本访问控制列表，            a 弄清基本访问控制列表的表号              H3C：             2000--2999              cisco及其它公司：1-99            b 编写acl              H3C:是在管理员用户视图下编写              cisco:全局模式下编写            c 命令如下：              H3C：acl number 2001                    description JinGuoFirewall                                      rule 0 deny source 192.110.10.0 0.0.0.255                    rule 1 permit source 202.110.10.0 0.0.0.255              cisco:ip access-list standard 99                      deny      192.110.10.0 0.0.0.255                      permit 202.110.10.0 0.0.0.255 第三步：应用（下发编写好的acl列表）            a H3C:交换机(在交换机物理接口上直接下发)                  qos                  packet-filter inbound ip-group 2001                  路由及防火墙 acl inbound 2001            b cisco: ip access-group 99 in（可以直接下发于三层vlan接口）           注： ACL下发于三层vlan接口还是二层物理接口，起到不同的效果，如下发于三层             vlan接口则属于此vlan的物理接口都会应用于此访问控制列表；如下发于二层物             理接口，则只限此物理接口应用，另如果想下发多个连续的ACL时，可采用下发于此             些物理接口所属的芯片组上，例如，一般每8个连续的物理接口就属于同一个芯片组。                cisco路由交换机举例:int vlan 180       (进入到一个vlan接口)                      ip access-group 120 in（下发一个访问控制列表，in指进入到vlan的包行使acl控制                                                                  out指从vlan中出去的包行使acl控制）             在cisco7609的交换板的物理接口可以转换为路由口使用，实际命令如下：               interface GigabitEthernet3/17               no switchport              转换为路由口后，就可以直接在此物理接口下配置IP地址，方便网络连接。相关ACL可以直接下发于此物理接口              并不影响策略使用。                          为实现更多用户的连接或其它网络用途在一物理接口常需绑定更多IP，具体命令如下：               ip address 192.168.2.1 255.255.255.0 secondary            把已有的路由口还原为交换口采用如下命令：               interface GigabitEthernet3/17                             switchport 第四步：诊断及测试            a H3C:dis acl running-packet-filter all                   dis acl mode                  dis acl config all            b cisco:show access-lists                     show ip access-lists 第五步：取消或删除某条策略            a H3C:undo rule 0 (0 指策略编号)                        b cisco:ip access-list standard 99                      no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 99才可查看)  ************************************************************************************************************* 扩展访问控制列表编写： 第一步：分析哪些源地址、源端口、协议类型、目的地址、目的端口，也在分析访问控制需求（含拓扑图内容）； 第二步：定义扩展访问控制列表，            a 弄清扩展访问控制列表的表号              H3C：             3000--3999              cisco及其它公司：100-199            b 编写acl              H3C:是在管理员用户视图下编写              cisco:全局模式下编写            c 命令如下：              H3C：acl number 3001                    rule 0 permit tcp source 202.110.10.0 0.0.0.255 source-port eq www destination 179.100.17.10 0                    rule 1 deny ip                 （注解：从202.110.10.0/24来的,到179.100.17.10的，使用TCP协议，利用HTTP访问的数据包可以通过）              cisco:ip access-list extended 199                    access-list 199 permit tcp 202.110.10.0 0.0.0.255 eq www host 179.100.17.10                    access-list 199 deny      ip any any             为方便于ACL的管理，如添加、删除ACL里的条目、并方便ACL的识别与记忆，常采用命名的ACL访问控制列表             命令如下：                          ip access-list extended denynet12     (全局配置模式)                          10 deny ip 10.12.0.0 0.0.0.255 any                            （“10”代表ACL的条目，以及执行次序，如考滤策略执行顺序，                               可采用调整此条目大小实现，小的先执行，大的数字后执行）                          11 deny ip 10.13.0.0 0.0.0.255 any                          20 permit ip any any                                  另注：ACL的条目缺省情况是以10的倍数出现，也可人为调整大小编辑。 第三步：应用（下发编写好的acl列表）            a H3C:交换机                      QOS                                            packet-filter inbound ip-group 3001                  路由及防火墙 acl inbound 3001            b cisco: ip access-group 199 in 第四步：诊断及测试            a H3C:dis acl running-packet-filter all                   dis acl mode                  dis acl config all            b cisco:show access-lists                     show ip access-lists 第五步：取消或删除某条策略            a H3C:undo rule 0 (0 指策略编号)                        b cisco:ip access-list extended 199                     no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 199才可查看) ******************************************************************************************************************** 接口访问控制列表编写： 第一步：分析接口，以及访问策略，含拓扑图分析； 第二步：定义接口访问控制列表，            a 弄清接口访问控制列表的表号              H3C：             1000--1999              cisco及其它公司：100-199 （合二为一方式实现接口列表）            b 编写acl              H3C:是在管理员用户视图下编写              cisco:全局模式下编写            c 命令如下：              H3C：acl number 1001                   rule 0 permit interface Ethernet0/0 time-range www                   #                  time-range www from 08:30 May/13/2007 to 12:00 Jun/30/2007                （注解：分成二部分实现，第一实现时间段，第二实现接口列表与时间段关联）              cisco:ip access-list extended 101                      access-list 101 permit ip host 10.115.232.203 any time-range allow-http2                     access-list 101 permit ip any any time-range allow-http1                     access-list 101 deny      ip any any                    #                     time-range allow-http1                      periodic weekdays 12:00 to 14:30                   （注解：分成二部分实现，第一实现时间段，第二实现扩展访问控制列表与时间段关联） 第三步：应用（下发编写好的acl列表）            a H3C:交换机 packet-filter inbound ip-group 1001                  路由及防火墙 acl inbound 1001            b cisco: ip access-group 199 in                      第四步：诊断及测试            a H3C:dis acl running-packet-filter all                   dis acl mode                  dis acl config all                  debugging ip packet acl 1001 (1001 指需要诊断的ACL列表号)            b cisco:show access-lists                     show ip access-lists                    debug access-expression 第五步：取消或删除某条策略            a H3C:undo rule 0 (0 指策略编号)                        b cisco:ip access-list extended 199                     no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 199才可查看) ******************************************************************************************************** 基于MAC地址访问控制列表配置过程 第一步：分析MAC地址，以及访问策略，含拓扑图分析； 第二步：定义MAC地址访问控制列表，            a 弄清MAC地址访问控制列表的表号              H3C：             4000--4999              cisco：基本MAC地址列表：700-799 ；扩展MAC地址列表：1100-1199（基本列表控制是源MAC，扩展列表控制源、目等参数）            b 编写acl              H3C:是在管理员用户视图下编写              cisco:全局模式下编写            c 命令如下：              H3C：acl number 4000                   rule 0 permit 802.3 ingress 0001-0001-0001 egress 0002-0002-0002                   rule 1 deny ingress any egress any                   #              cisco:access-list 1100 permit 1.1.1 f.f.f 2.2.2 f.f.f                    或access-list 700 permit 1.1.1 f.f.f                     # 第三步：应用（下发编写好的acl列表）            a H3C:交换机                    qos                   packet-filter inbound link-group 4000                  路由及防火墙 acl inbound 4000            b cisco: ip access-group 700 in                     或ip access-group 1100 in 第四步：诊断及测试            a H3C:dis acl running-packet-filter all                   dis acl mode                  dis acl config all                  debugging ip packet acl 4000 (4000 指需要诊断的ACL列表号)            b cisco:show access-lists                     show ip access-lists                    debug access-expression 第五步：取消或删除某条策略            a H3C:undo rule 0 (0 指策略编号)                        b cisco: no access-list 1100                     (直接删除整条策略，如需要，则需重重新编写,然后下发。