交换机acl配置

### Cisco 交换机 ACL 配置方法与示例 #### 基本概念 访问控制列表 (Access Control List, ACL) 是一种用于过滤网络流量的安全机制。它可以通过定义规则来允许或拒绝特定类型的流量，从而增强网络安全性和可控性。Cisco 的 ACL 支持两种主要类型：标准 ACL 和扩展 ACL。 --- #### 标准 ACL 配置 标准 ACL 主要基于源 IP 地址进行匹配。以下是配置命名标准 ACL 的具体步骤： 1. **删除旧的 ACL（如果存在）** 使用 `no` 命令清除现有的 ACL。 ```bash Router(config)# no access-list 1 ``` 2. **创建命名标准 ACL** 定义一个新的命名标准 ACL 并指定规则。 ```bash Router(config)# ip access-list standard NAME_OF_ACL Router(config-std-nacl)# permit SOURCE_IP MASK Router(config-std-nacl)# deny ANY_SOURCE ``` 示例： ```bash Router(config)# ip access-list standard ALLOW_192 Router(config-std-nacl)# permit 192.168.1.0 0.0.0.255 Router(config-std-nacl)# deny any ``` 3. **将 ACL 应用到接口** 进入目标接口并绑定 ACL 到入口或出口方向。 ```bash Router(config-if)# interface INTERFACE_NAME Router(config-if)# ip access-group NAME_OF_ACL {in | out} ``` 示例： ```bash Router(config-if)# interface FastEthernet0/0 Router(config-if)# ip access-group ALLOW_192 out ``` 以上过程展示了如何在 Cisco 路由器上配置一个简单的命名标准 ACL[^2]。 --- #### 扩展 ACL 配置 扩展 ACL 不仅可以根据源地址还可以根据目的地址、协议类型以及端口号等更复杂的条件进行匹配。 1. **创建扩展 ACL** 创建扩展 ACL 并添加规则。 ```bash Router(config)# ip access-list extended NAME_OF_ACL Router(config-ext-nacl)# permit PROTOCOL SOURCE_IP MASK DESTINATION_IP MASK [OPERATOR PORT_NUMBER] Router(config-ext-nacl)# deny PROTOCOL ANY_ANYWHERE ``` 示例： ```bash Router(config)# ip access-list extended SECURE_HTTP Router(config-ext-nacl)# permit tcp host 192.168.1.1 eq www any Router(config-ext-nacl)# deny tcp any any eq telnet Router(config-ext-nacl)# permit ip any any ``` 2. **应用扩展 ACL** 同样需要将其绑定至某个接口的方向。 ```bash Router(config-if)# ip access-group NAME_OF_ACL {in | out} ``` 示例： ```bash Router(config-if)# interface GigabitEthernet0/1 Router(config-if)# ip access-group SECURE_HTTP in ``` 此部分描述了扩展 ACL 的灵活性及其应用场景[^2]。 --- #### 华为对比示例 为了更好地理解不同厂商之间的差异，以下是一个华为设备上的简单 ACL 配置实例： 1. **创建基本 ACL** ```bash [Huawei] acl number 2001 [Huawei-acl-basic-2001] rule permit source 192.168.2.1 0 [Huawei-acl-basic-2001] rule deny source any ``` 2. **应用 ACL 至接口** ```bash [Huawei]interface GigabitEthernet 0/0/1 [Huawei-GigabitEthernet0/0/1] undo traffic-filter inbound [Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 2001 ``` 尽管语法有所不同，但功能逻辑相似[^5]。 --- #### 注意事项 - ACL 的顺序非常重要，默认情况下会按照输入顺序依次执行规则。 - 如果未显式声明最后一条规则，则默认隐含有一条 “deny all” 规则。 - 推荐尽量减少复杂度，在满足业务需求的前提下优化规则数量。 ---