1.它是判断语句，只有两种结果，要么是拒绝（deny），要么是允许（permit）
2.语句顺序
按照由上而下的顺序处理列表中的语句
3. 语句排序处理时，不匹配规则就一直向下查找，一旦某条语句匹配，后续语句不再处理。
4.隐含拒绝如果所有语句执行完毕没有匹配条目默认丢弃数据包，在控制列表的末尾有一条默认拒绝所有的语句，是隐藏的（deny）
要点：
1.ACL能执行两个 *** 作：允许或拒绝。语句自上而下执行。一旦发现匹配，后续语句就不再进行处理---因此先后顺序很重要。如果没有找到匹配，ACL末尾不可见的隐含拒绝语句将丢弃分组。一个ACL应该至少有一条permit语句；否则所有流量都会丢弃，因为每个ACL末尾都有隐藏的隐含拒绝语句。
2.如果在语句结尾增加deny any的话可以看到拒绝记录
3.Cisco ACL有两种类型一种是标准另一种是扩展，使用方式习惯不同也有两种方式一种是编号方式，另一种是命名方式。
router#conft
router(config)#ip
access-list
extend
v1
router(config-acl)#permit
ip
any
host
192.167.0.2
router(config-acl)#permit
ip
any
host
192.167.0.3
router(config-acl)#deny
ip
any
any
router(config-acl)#ip
access-list
extend
v3
router(config-acl)#permit
ip
host
192.167.0.2
192.168.1.0
0.0.0.255
router(config-acl)#permit
ip
host
192.167.0.2
192.168.1.0
0.0.0.255
router(config-acl)#deny
ip
any
192.168.1.0
0.0.0.255
router(config-acl)#permit
ip
any
any
router(config-acl)#interface
vlan1
router(config-inf)#ip
access-group
v1
in
router(config-inf)#interface
vlan3
router(config-inf)#ip
access-group
v3
in
以上配置效果：vlan1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；vlan3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。
如果要使vlan1能够访问其他地址v1就这样定义：
router(config)#ip
access-list
extend
v1
router(config-acl)#permit
ip
any
host
192.167.0.2
router(config-acl)#permit
ip
any
host
192.167.0.3
router(config-acl)#deny
ip
any
192.168.1.0
0.0.0.255
router(config-acl)#permit
ip
any
any
CISCO交换机ACL配置方法如下：标准访问列表配置实例：
R1(config)#access-list
10
deny
192.168.2.0
0.0.0.255
R1(config)#access-list
10
permit
any
R1(config)#int
fa0/0.1
R1(config-subif)#ip
access-group
10
out
标准访问列表
访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。
它的具体格式：
access-list
access-list-number
[permit
|
deny
]
[sourceaddress][wildcard-mask]
access-list-number
为1-99
或者
1300-1999之间的数字，这个是访问列表号。
访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）