ACL及单播策略路由.docVIP

ACL配置 ACL（Access Control List）用于过滤数据包。下表列出了本章所包含的内容。 如果您需要…… 请阅读…… 了解ACL的基本概念和相关参数 访问控制列表简介 配置基本访问控制列表、高级访问控制列表或基于接口的访问控制列表 配置任务：配置访问控制列表 配置举例：配置举例 清除访问控制列表 维护访问控制列表 访问控制列表简介 本节介绍了访问控制列表的概念、分类和相关参数等。具体包括： 访问控制列表概述 访问控制列表的分类 访问控制列表的匹配顺序 访问控制列表的创建 访问控制列表的描述信息 访问控制列表的步长设定 基本访问控制列表 高级访问控制列表 基于接口的访问控制列表 ACL对分片报文的支持 ACL生效时间段 访问控制列表概述 路由器为了过滤数据包，需要配置一系列的规则，以决定什么样的数据包能够通过，这些规则就是通过访问控制列表ACL（Access Control List）定义的。访问控制列表是由permit | deny语句组成的一系列有顺序的规则，这些规则根据数据包的源地址、目的地址、端口号等来描述。ACL通过这些规则对数据包进行分类，这些规则应用到路由器接口上，路由器根据这些规则判断哪些数据包可以接收，哪些数据包需要拒绝。 访问控制列表的分类 按照ACL用途，ACL可以分为3种类型，具体如表7-1所示。 ACL分类 ACL类型 数字范围 基于接口的ACL（Interface-based ACL） 1000～1999 基本的ACL（Basic ACL） 2000～2999 高级的ACL（Advanced ACL） 3000～3999 访问控制列表的匹配顺序 一个访问控制列表可以由多条“deny | permit”语句组成，每一条语句描述的规则是不相同，这些规则可能存在重复或矛盾的地方，在将一个数据包和访问控制列表的规则进行匹配的时候，到底采用哪些规则呢？就需要确定规则的匹配顺序。 有两种匹配顺序： 配置顺序（config） 自动排序（auto） 配置顺序 配置顺序（config），是指按照用户配置ACL的规则的先后进行匹配。缺省情况下匹配顺序为按用户的配置排序。 自动排序 自动排序（auto）使用“深度优先”的原则进行匹配。 “深度优先”规则是把指定数据包范围最小的语句排在最前面。这一点可以通过比较地址的通配符来实现，通配符越小，则指定的主机的范围就越小。 比如 指定了一台主机：，而 55则指定了一个网段：～55，显然前者在访问控制规则中排在前面。具体标准如下。 对于基本访问控制规则的语句，直接比较源地址通配符，通配符相同的则按配置顺序； 对于基于接口的访问控制规则，配置了“any”的规则排在后面，其它按配置顺序； 对于高级访问控制规则，首先比较源地址通配符，相同的再比较目的地址通配符，仍相同的则比较端口号的范围，范围小的排在前面，如果端口号范围也相同则按配置顺序。 规则ID 每条规则都有一个“规则ID”，在指定规则的时候，是不需要人为指定规则ID的，系统会自动为每一条规则生成一个“规则ID”。 规则ID之间会留下一定的空间，具体空间大小由“ACL的步长”来设定。例如步长设定为5，ACL规则ID分配是按照5、10、15……这样来分配的。 注意： 系统自动生成的规则ID从步长值起始。比如：步长值是5，自动生成的规则ID从5开始；步长值是2，自动生成的规则ID从2开始。这样做是为了便于用户在第一条规则前面插入新规则。 在“配置顺序”的情况下，如果配置规则的时候指定了“规则ID”，则会按照规则ID的位置决定该规则的插入位置。例如系统现在的规则编号是：0、5、10。如果指定规则编号为3，创建一个ACL规则，则规则的匹配顺序就为：0、3、5、10，相当于在规则0和规则5之间插入了一条子规则。 使用display acl命令就可以看出是哪条规则首先生效。显示时，列在前面的规则首先生效。 访问控制列表的步长设定 设置规则组的步长 通过命令step，可以为一个ACL规则组指定一个“步长”，步长的含义是：自动为ACL子规则分配编号的时候，每个ACL规则组的子规则编号之间的差值。例如如果步长设定为5，子规则编号分配是按照5、10、15…这样的规则分配的。默认情况，ACL规则组的步长为5。 当步长改变的时候，ACL规则组下面的子规则编号会自动重新排列。例如，本来子规则编号为： 5、10、15、20，如果通过命令step 2，把步长设定改为2，则子规则编号变成： 2、4、6、8。 恢复步长的缺省值 通过undo step命令，可以把步长改为默认设定，同时对子规则编号进行重新排列。注意：undo step命令可以立刻按照默认步长调整ACL子规则的编号。例如：ACL规则组1，下面有4个子规则：编号