XCM8800 系列交换机 ACL 基础介绍.docVIP

XCM8800 系列交换机 ACL 基础介绍文档目的： XCM8800 系列交换机的 ACL 编写方式与其它的 NETGEAR 交换机存在很大差异。本文档对 ACL 的功能与编写作出应用上的说明。 ACL 除了能实现基本的包的过滤和转发决定（如策略路由等）外，它也是实现多种其它功能与特性的基础要素。多种基于ACL的功能与特性包括： 记录次数（匹配ACL的次数）， 记录与查看包头部， 镜像流量到一个监控端口，为具体的监控流量作匹配 将包送到一个QoS文件，为需要QoS的前期流量作匹配 计量匹配ACL的包去控制带宽， 文档适用性： 本文主要针对 XCM8800 系列的三层的ACL设置，其它IPv6，二层ACL此文档或会有所涉及，但不作具体说明。 ACL 的建立具有两种方法 一、基于 Policy 的 ACL： 建立一个ACL的策略并将ACL的策略应用到一个端口集中列表，一个VLAN或者所有的端口。 步骤1： ACL 策略建立 #edit policy policyname 创建一个策略并给策略起一个名字，系统将创建一个policyname.pol的文件，“”指整体可更改字段。 ~ 进入到类似于LINUX 的VI编辑器，进行编写程序模式。输入“I”可以开始编写 Entry ACLNAME { 给ACL起一个名字，“｛”对应最后一行条目的“｝”。“｛｝”为一种书写格式，“｛”和“｝”必须为一对使用，在“｛｝”中表明设备需要的各种属性项。 if ｛match-conditions ;match-conditions;---__｝ match-conditions里面填写你需要匹配的属性项。以下会有部分说明,切记“；”需要跟在属性项后。match-conditions可以有多个，相互间是与关系。 then {action;action-modifiers;-------} action 里面填写匹配后的动作属性项，action-modifiers里面填写将动作修改后的属性项。action-modifiers可以有多个，相互间是顺序执行关系。 ｝ 对应ACL名字后面的“｛”。 ESC 退出编辑模式。 :wq/:q! 保存文档并退出/不保存文档直接退出，退回到“#”模式。 Match-conditionsnt属性项（部分）： Ethernet-type number Number指 IP:0x0800 8021Q:0x8100 IPv6:0x86DD ethernet-source-address mac-address mask 以太网源地址，其中mac-address和mask格式为XX:XX:XX:XX:XX:XX/YY:YY:YY:YY:YY:YY 或XX:XX:XX:XX:XX:XX mask YY:YY:YY:YY:YY:YY，mask为可选项，默认mask 为FF:FF:FF:FF:FF:FF Ethernet-destination-address mac-addressmask 以太网目的地址，其中mac-address和mask格式为XX:XX:XX:XX:XX:XX/YY:YY:YY:YY:YY:YY 或XX:XX:XX:XX:XX:XX mask YY:YY:YY:YY:YY:YY，mask为可选项，默认mask 为FF:FF:FF:FF:FF:FF Protocol number Number指tcp :6,udp:17,igmp:2,icmp:1 ip：4等等 Source-addressprefix IP源地址与掩码 格式：X.X.X.X/X Destination-address prefix IP目的地址与掩码 格式：X.X.X.X/X Source-port numberor number range 源端口 number格式：X 范围：1~65535number range格式：X-X范围：1~65535 destination-port numberor number range 目的端口 number格式：X范围：1~65535number range格式：X-X范围：1~65535 其它选项请参考官方文档链接：/doucument/Detail.asp?id=2108 XCM8800系列用户手册中列表31 (Table 31)。 Actions Permit Action中的允许动作，是默认行为。 Deny Action 中的丢弃动作。 Action Modifiers Count countname 递增次数（匹配ACL的次数）countname 给一个名字以方便显示匹配数使用。查看次数的命令为