华三，思科ACL命令解析
基本访问控制列表定义及应用： 第一步：分析哪些源地址，也在分析访问控制需求（含拓扑图内容）； 第二步：定义基本访问控制列表， a 弄清基本访问控制列表的表号 H3C： 2000--2999 cisco及其它公司：1-99 b 编写acl H3C:是在管理员用户视图下编写 cisco:全基本访问控制列表定义及应用：第一步：分析哪些源地址，也在分析访问控制需求（含拓扑图内容）；
第二步：定义基本访问控制列表，
a 弄清基本访问控制列表的表号
H3C： 2000--2999
cisco及其它公司：1-99
b 编写acl
H3C:是在管理员用户视图下编写
cisco:全局模式下编写
c 命令如下：
H3C：acl number 2001
description JinGuoFirewall
rule 0 deny source 192.110.10.0 0.0.0.255
rule 1 permit source 202.110.10.0 0.0.0.255
cisco:ip access-list standard 99
deny 192.110.10.0 0.0.0.255
permit 202.110.10.0 0.0.0.255
第三步：应用（下发编写好的acl列表）
a H3C:交换机(在交换机物理接口上直接下发)
qos
packet-filter inbound ip-group 2001
路由及防火墙 acl inbound 2001
b cisco: ip access-group 99 in（可以直接下发于三层vlan接口）
注： ACL下发于三层vlan接口还是二层物理接口，起到不同的效果，如下发于三层
vlan接口则属于此vlan的物理接口都会应用于此访问控制列表；如下发于二层物
理接口，则只限此物理接口应用，另如果想下发多个连续的ACL时，可采用下发于此
些物理接口所属的芯片组上，例如，一般每8个连续的物理接口就属于同一个芯片组。
cisco路由交换机举例:int vlan 180 (进入到一个vlan接口)
ip access-group 120 in（下发一个访问控制列表，in指进入到vlan的包行使acl控制
out指从vlan中出去的包行使acl控制）
在cisco7609的交换板的物理接口可以转换为路由口使用，实际命令如下：
interface GigabitEthernet3/17
no switchport
转换为路由口后，就可以直接在此物理接口下配置IP地址，方便网络连接。相关ACL可以直接下发于此物理接口
并不影响策略使用。
为实现更多用户的连接或其它网络用途在一物理接口常需绑定更多IP，具体命令如下：
ip address 192.168.2.1 255.255.255.0 secondary
把已有的路由口还原为交换口采用如下命令：
interface GigabitEthernet3/17
switchport
第四步：诊断及测试
a H3C:dis acl running-packet-filter all
dis acl mode
dis acl config all
b cisco:show access-lists
show ip access-lists
第五步：取消或删除某条策略
a H3C:undo rule 0 (0 指策略编号)
b cisco:ip access-list standard 99
no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 99才可查看)
*************************************************************************************************************
扩展访问控制列表编写：
第一步：分析哪些源地址、源端口、协议类型、目的地址、目的端口，也在分析访问控制需求（含拓扑图内容）；
第二步：定义扩展访问控制列表，
a 弄清扩展访问控制列表的表号
H3C： 3000--3999
cisco及其它公司：100-199
b 编写acl
H3C:是在管理员用户视图下编写
cisco:全局模式下编写
c 命令如下：
H3C：acl number 3001
rule 0 permit tcp source 202.110.10.0 0.0.0.255 source-port eq www destination 179.100.17.10 0
rule 1 deny ip
（注解：从202.110.10.0/24来的,到179.100.17.10的，使用TCP协议，利用HTTP访问的数据包可以通过）
cisco:ip access-list extended 199
access-list 199 permit tcp 202.110.10.0 0.0.0.255 eq www host 179.100.17.10
access-list 199 deny ip any any
为方便于ACL的管理，如添加、删除ACL里的条目、并方便ACL的识别与记忆，常采用命名的ACL访问控制列表
命令如下：
ip access-list extended denynet12 (全局配置模式)
10 deny ip 10.12.0.0 0.0.0.255 any
（“10”代表ACL的条目，以及执行次序，如考滤策略执行顺序，
可采用调整此条目大小实现，小的先执行，大的数字后执行）
11 deny ip 10.13.0.0 0.0.0.255 any
20 permit ip any any
另注：ACL的条目缺省情况是以10的倍数出现，也可人为调整大小编辑。
第三步：应用（下发编写好的acl列表）
a H3C:交换机
QOS
packet-filter inbound ip-group 3001
路由及防火墙 acl inbound 3001
b cisco: ip access-group 199 in
第四步：诊断及测试
a H3C:dis acl running-packet-filter all
dis acl mode
dis acl config all
b cisco:show access-lists
show ip access-lists
第五步：取消或删除某条策略
a H3C:undo rule 0 (0 指策略编号)
b cisco:ip access-list extended 199
no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 199才可查看)
********************************************************************************************************************
接口访问控制列表编写：
第一步：分析接口，以及访问策略，含拓扑图分析；
第二步：定义接口访问控制列表，
a 弄清接口访问控制列表的表号
H3C： 1000--1999
cisco及其它公司：100-199 （合二为一方式实现接口列表）
b 编写acl
H3C:是在管理员用户视图下编写
cisco:全局模式下编写
c 命令如下：
H3C：acl number 1001
rule 0 permit interface Ethernet0/0 time-range www
#
time-range www from 08:30 May/13/2007 to 12:00 Jun/30/2007
（注解：分成二部分实现，第一实现时间段，第二实现接口列表与时间段关联）
cisco:ip access-list extended 101
access-list 101 permit ip host 10.115.232.203 any time-range allow-http2
access-list 101 permit ip any any time-range allow-http1
access-list 101 deny ip any any
#
time-range allow-http1
periodic weekdays 12:00 to 14:30
（注解：分成二部分实现，第一实现时间段，第二实现扩展访问控制列表与时间段关联）
第三步：应用（下发编写好的acl列表）
a H3C:交换机 packet-filter inbound ip-group 1001
路由及防火墙 acl inbound 1001
b cisco: ip access-group 199 in
第四步：诊断及测试
a H3C:dis acl running-packet-filter all
dis acl mode
dis acl config all
debugging ip packet acl 1001 (1001 指需要诊断的ACL列表号)
b cisco:show access-lists
show ip access-lists
debug access-expression
第五步：取消或删除某条策略
a H3C:undo rule 0 (0 指策略编号)
b cisco:ip access-list extended 199
no 10 (10 指策略编号，该编号不显示，只有在特权模式下通过show ip access-lists 199才可查看)
********************************************************************************************************
基于MAC地址访问控制列表配置过程
第一步：分析MAC地址，以及访问策略，含拓扑图分析；
第二步：定义MAC地址访问控制列表，
a 弄清MAC地址访问控制列表的表号
H3C： 4000--4999
cisco：基本MAC地址列表：700-799 ；扩展MAC地址列表：1100-1199（基本列表控制是源MAC，扩展列表控制源、目等参数）
b 编写acl
H3C:是在管理员用户视图下编写
cisco:全局模式下编写
c 命令如下：
H3C：acl number 4000
rule 0 permit 802.3 ingress 0001-0001-0001 egress 0002-0002-0002
rule 1 deny ingress any egress any
#
cisco:access-list 1100 permit 1.1.1 f.f.f 2.2.2 f.f.f
或access-list 700 permit 1.1.1 f.f.f
#
第三步：应用（下发编写好的acl列表）
a H3C:交换机
qos
packet-filter inbound link-group 4000
路由及防火墙 acl inbound 4000
b cisco: ip access-group 700 in
或ip access-group 1100 in
第四步：诊断及测试
a H3C:dis acl running-packet-filter all
dis acl mode
dis acl config all
debugging ip packet acl 4000 (4000 指需要诊断的ACL列表号)
b cisco:show access-lists
show ip access-lists
debug access-expression
第五步：取消或删除某条策略
a H3C:undo rule 0 (0 指策略编号)
b cisco: no access-list 1100
(直接删除整条策略，如需要，则需重重新编写,然后下发。
页:
[1]