神州数码交换机ACL配置.doc

神州数码交换机 ACL 配置ACL 配置 创建编号为 110 的数字扩展访问列表。拒绝 icmp 报文通过，允许目的地址为 目的端口为32 的udp 包通过。Switch(Config)#access-list 110 deny icmp any-source any-destination?Switch(Config)#access-list 110 permit udp any-source host-destination dPort 32? 创建一条编号为 20的数字标准 IP访问列表，允许源地址为 /24的数据包通过，拒绝其余源地址为/16 的数据包通过。Switch(Config)#access-list 20 permit 55?Switch(Config)#access-list 20 deny 55 ? 允许防火墙起作用Switch(Config)#firewall enable ? 创建一条名为tcpFlow的命名扩展IP 访问列表Switch(Config)#ip access-list extended tcpFlow ? 创建一条名为ipFlow的命名标准 IP 访问列表Switch(Config)#ip access-list standard ipFlow ? 将名为aaa 的访问列表绑定到端口的出方向上Switch(Config-Ethernet0/0/1)#ip access-group aaa out ? 创建名为udpFlow的扩展访问列表。拒绝igmp报文通过，允许目的地址为目的端口为32 的udp 包通过。Switch(Config)#ip access-list extended udpFlow?Switch(Config-Ext-Nacl-udpFlow)#access-list 110 deny igmp any-source any-destination?Switch(Config-Ext-Nacl-udpFlow)#access-list 110 permit udp any-source host-destination dPort 32 ? 允许源地址为 /24 的数据包通过，拒绝其余源地址为 /16 的数据包通过。?Switch(Config)# ip access-list standard ipFlow?Switch(Config-Std-Nacl-ipFlow)# permit 55?Switch(Config-Std-Nacl-ipFlow)# deny 55 ? 允许源 MAC 地址为 00-00-XX-XX-00-01 的数据包通过，拒绝源地址为00-00-00-XX-00-ab 的数据包通过。Switch(Config)# access-list 700 permit 00-00-00-00-00-01 00-00-FF-FF-00-01?Switch(Config)# access-list 700 deny? 00-00-00-00-00-ab 00-00-00-FF-00-ab ? 创建一个名字为mac_acl 的 MAC ACLSwitch(Config)# mac-access-list extended mac_acl?Switch(Config-Mac-Ext-Nacl-mac_acl)# ? 允许源MAC为00-12-34-45-XX-XX，任意目的 MAC地址，源 IP地址为： 55，任意目的IP 地址，且源端口是100，目的端口是 40000 的TCP 报文通过?Switch(Config)# access-list 3199 permit? 00-12-34-45-67-00 00-00-00-00-FF-FF?any-destination-mac tcp 55 s-port 100 any-destination d-port 40000 ? ACL举例案例 1：?用户有如下配置需求：交换机的10端口连接/24 网段，管理员不希望用户使用ftp，也不允许外网ping 此网段的任何一台主机。 配置更改：?1． 创建相应的ACL?2． 配置包过滤功能?3． 绑定ACL 到端口 配置步骤如下：??Switch(Config)#access-list 110 deny tcp 55 any-destination d-port 21?Switch(Config)#access-list 120 deny icmp any-source 55??Switch(Config)#firewall enable?Switch(Config)#firewall defa