ACL的rule中的deny/permit在各个业务模块里的场景是怎样的

ACL的rule中的deny/permit在各个业务模块里的场景是怎样的

ACL的rule中的deny/permit在各个业务模块里的场景不同，具体如下：

• 流策略

  1. 当ACL的rule配置为permit时，系统匹配该规则才执行流行为中的动作，流行为中的动作为deny则禁止匹配规则的流量通过，动作为permit则允许匹配规则的流量通过。

  2. 当ACL的rule配置为deny时，只要匹配该规则就执行丢弃报文动作，并且流行为中的具体动作不生效（流量统计和流镜像除外）。

  3. 当ACL里未配置rule时，则应用该ACL的流策略功能不生效。

• 简化流策略

  1. 当ACL的rule配置为permit时，设备执行简化流策略功能中的动作，如允许匹配该规则的报文通过、对匹配ACL规则的报文进行限速等。

  2. 当ACL的rule配置为deny时，如果将ACL应用在简化流策略的报文过滤功能中，设备会拒绝匹配该规则的报文通过。

  3. 当ACL里未配置rule时，则应用该ACL的简化流策略功能不生效。

• IPSec

  1. 仅当ACL的rule配置为permit时，设备会对匹配该规则的报文进行IPSec保护后再发送该报文。

  2. 当ACL的rule配置为deny时，设备不允许匹配ACL规则的报文通过。

  3. 当ACL未配置rule时，应用该ACL的IPSec功能不生效，即设备直接发送通过接口的报文。

• 防火墙

  1. 当ACL的rule配置为permit时：
     • 如果该ACL应用在inbound方向，则允许从优先级低到优先级高的安全区域并且匹配该规则的报文通过。
     • 如果该ACL应用在outbound方向，则允许从优先级高到优先级低的安全区域并且匹配该规则的报文通过。

  2. 当ACL的rule配置为deny时：

     • 如果该ACL应用在inbound方向，则拒绝从优先级低到优先级高的安全区域且匹配该规则的报文通过。
     • 如果该ACL应用在outbound方向，则拒绝从优先级高到优先级低的安全区域且匹配该规则的报文通过。

  3. 当ACL里未配置rule时：

     • 如果该ACL应用在inbound方向，则该ACL不生效，设备会拒绝从优先级低到优先级高的安全区域的所有报文通过。
     • 如果该ACL应用在outbound方向，则该ACL不生效，设备会允许从优先级高到优先级低的安全区域的所有报文通过。

• NAT

  1. 仅当ACL的rule配置为permit时，设备允许匹配该规则中指定的源IP地址使用地址池进行地址转换。

  2. 当ACL的rule配置为deny或ACL未配置rule时，应用该ACL的NAT功能不生效，即不允许使用地址池进行地址转换，设备根据目的地址查找路由表转发报文。

• Telnet

  1. 当ACL的rule配置为permit时：
     • 如果该ACL应用在inbound方向，则允许匹配该rule规则的其他设备访问本设备。
     • 如果该ACL应用在outbound方向，则允许本设备访问匹配该rule规则的其他设备。

  2. 当ACL的rule配置为deny时：

     • 如果该ACL应用在inbound方向，则拒绝匹配该rule规则的其他设备访问本设备。
     • 如果该ACL应用在outbound方向，则拒绝本设备访问匹配该rule规则的其他设备。

  3. 当ACL配置了rule，但来自其他设备的报文没有匹配该rule规则时：

     • 如果该ACL应用在inbound方向，则拒绝其他设备访问本设备。
     • 如果该ACL应用在outbound方向，则拒绝本设备访问其他设备。

  4. 当ACL未配置rule时：

     • 如果该ACL应用在inbound方向，则允许任何其他设备访问本设备。
     • 如果该ACL应用在outbound方向，则允许本设备访问任何其他设备。

• HTTP

  1. 当ACL的rule配置为permit时，则允许指定源IP地址的其他设备与本设备建立HTTP连接。
  2. 当ACL的rule配置为deny时，则拒绝其他设备与本设备建立HTTP连接。
  3. 当ACL配置了rule，但来自其他设备的报文没有匹配该rule规则时，则拒绝其他设备与本设备建立HTTP连接。
  4. 当ACL未配置rule时，则允许任何其他设备与本设备建立HTTP连接。

• FTP

  1. 当ACL的rule配置为permit时，则允许指定源IP地址的其他设备与本设备建立FTP连接。

  2. 当ACL的rule配置为deny时，则拒绝任何其他设备与本设备建立FTP连接。

  3. 当ACL配置了rule，但来自其他设备的报文没有匹配该rule规则时，则拒绝其他设备与本设备建立FTP连接。

  4. 当ACL未配置rule时，则允许任何其他设备与本设备建立FTP连接。

• TFTP

  1. 当ACL的rule配置为permit时，则允许本设备与指定源IP地址的设备建立TFTP连接。

  2. 当ACL的rule配置为deny时，则拒绝本设备与任何其他设备建立TFTP连接。

  3. 当ACL配置了rule，但来自其他设备的报文没有匹配该rule规则时，则拒绝其他设备与本设备建立TFTP连接。

  4. 当ACL未配置rule时，则允许本设备与任何其他设备建立TFTP连接。

• SNMP

  1. 当ACL的rule配置为permit时，则允许指定源IP地址的网管访问本设备。

  2. 当ACL的rule配置为deny时，则拒绝其他网管访问本设备。

  3. 当ACL未配置rule时，则允许任何其他网管访问本设备。

• NTP

  1. 当ACL的rule配置为permit时，则使用ntp-service access命令配置的访问控制权限才能生效。

  2. 当ACL的rule配置为deny，则使用ntp-service access命令配置的访问控制权限不生效。

  3. 当ACL未配置rule时，则使用ntp-service access命令配置的访问控制权限不生效。