ACL分类与使用讲解.doc

在三层交换机上，支持多种类型的ACL，有支持IP的ACL还有支持MAC的Ethernet ACL。 IP ACL只过滤IPv4流量，而Ethernet ACL过滤除IP之外的流量，也就是非IP流量。 根据ACL不同的应用，可以分成三种：Port ACL，Router ACL，VLAN ACL（VLAN map） Port ACL 是应用在二层接口上的，并没有任何特别之处，将任何ACL应用到二层接口后，就称为Port ACL，但在二层接口只支持in方向，一个接口只能使用一条ACL，IP或MAC的ACL都可以应用到二层接口，但不不能在应用到EtherChannel。 Router ACL 和路由器接口上应用的ACL没有区别，将任何ACL应用到三层接口后，就称为Router ACL，但只能是IP ACL，不能是MAC ACL。Router ACL在in和out方向上都可以使用，每个接口每个方向只能使用一条ACL。 VLAN ACL（VLAN map） 是使用在VLAN与VLAN之间的ACL，相同VLAN也是可以过滤的，只要流量是进入或离开指定的VLAN，都会被过滤，可以同时控制二层与三层流量。准确地讲，VLAN? ACL并不是一个ACL，只是一个能调用ACL到VLAN的技术，只要被调用的ACL支持什么功能，那么VLAN? ACL就支持什么功能。当需要控制IPv4流量时，VLAN? ACL需要调用IP ACL，而其它流量则需要靠调用MAC ACL。当应用VLAN? ACL后，进入或离开VLAN的流量都会被检测，无论是通过二层转发的还是三层转发的。而VLAN? ACL是不能定义方向的，所以所有经过指定VLAN的流都都会被过滤到。 VLAN? ACL根据所调用的ACL匹配到的流量，来做出是转发还是丢弃的动作，当被调用的ACL匹配到流量后，默认动作是转发，可以改为丢弃，而没有被匹配到的流量，默认也全部丢弃。 ? 以上三种方式的ACL可以同时使用，但Port ACL优先于任何ACL。 ? 说明： ★Port ACL支持标准，扩展ACL和MAC ACL，也就是支持所有类型ACL。 ★接口上可同时应用IP和MAC ACL，而MAC ACL是不能过滤IP流量的。 ★Router ACL可用在SVI，三层接口，或3层EtherChannel，每个接口每个方向只能使用一个。 ★在配置IP ACL时，可以使用数字，也可以使用名字，而命名ACL的好处是可以删除单条ACL语句，而数字ACL则不可以，只能删除整条ACL。 ★交换机上不支持Dynamic ACL和 Reflexive ACL。 ★VLAN? ACL是不能定义方向的，也就相当于会在两个方向上同时生效，所以在配置VLAN ACL时，所以请注意所写的ACL一定要考虑来回两个方向，否则只匹配到单向的流量，另外一方向可能被丢掉。 ★一个VLAN? ACL可以用于多个VLAN，但一个VLAN只能使用一个VLAN? ACL。 ★被ACL拒绝的ICMP，ACL将向源发送ICMP-unreachable。 ? ? 配置 ? 1.配置MAC ACL 说明:在VLAN或2层接口上过滤非IP流量，3层接口上不能使用MAC ACL。 ? （1）定义MAC ACL： sw1(config)#mac access-list extended ccie sw1(config-ext-macl)#deny host 0001.0001.0001 host 0002.0002.0002 netbios sw1(config-ext-macl)#permit any any 说明：拒绝源MAC为0001.0001.0001发送到MAC为 0002.0002.0002的netbios流量，并允许其它所有，MAC ACL匹配的协议为非IP协议，协议可以不指定。 ? （2）应用MAC ACL sw1(config)#int f0/1 sw1(config-if)#mac access-group ccie in 说明：在二层接口F0/1上使用，并且只能应用于in方向。因为MAC ACL只能过滤非IP流量，所以难以用实验来验证效果。