ACL分类与使用.doc

在三层交换机上，支持多种类型的ACL，有支持IP的ACL还有支持MAC的Ethernet ACL。IP ACL只过滤IPv4流量，而Ethernet ACL过滤除IP之外的流量，也就是非IP流量。根据ACL不同的应用，可以分成三种：Port ACL，Router ACL，VLAN ACL（VLAN map）Port ACL是应用在二层接口上的，并没有任何特别之处，将任何ACL应用到二层接口后，就称为Port ACL，但在二层接口只支持in方向，一个接口只能使用一条ACL，IP或MAC的ACL都可以应用到二层接口，但不不能在应用到EtherChannel。Router ACL和路由器接口上应用的ACL没有区别，将任何ACL应用到三层接口后，就称为Router ACL，但只能是IP ACL，不能是MAC ACL。Router ACL在in和out方向上都可以使用，每个接口每个方向只能使用一条ACL。VLAN ACL（VLAN map）是使用在VLAN与VLAN之间的ACL，相同VLAN也是可以过滤的，只要流量是进入或离开指定的VLAN，都会被过滤，可以同时控制二层与三层流量。准确地讲，VLAN ACL并不是一个ACL，只是一个能调用ACL到VLAN的技术，只要被调用的ACL支持什么功能，那么VLAN ACL就支持什么功能。当需要控制IPv4流量时，VLAN ACL需要调用IP ACL，而其它流量则需要靠调用MAC ACL。当应用VLAN ACL后，进入或离开VLAN的流量都会被检测，无论是通过二层转发的还是三层转发的。而VLAN ACL是不能定义方向的，所以所有经过指定VLAN的流都都会被过滤到。VLAN ACL根据所调用的ACL匹配到的流量，来做出是转发还是丢弃的动作，当被调用的ACL匹配到流量后，默认动作是转发，可以改为丢弃，而没有被匹配到的流量，默认也全部丢弃。以上三种方式的ACL可以同时使用，但Port ACL优先于任何ACL。说明：Port ACL支持标准，扩展ACL和MAC ACL，也就是支持所有类型ACL。接口上可同时应用IP和MAC ACL，而MAC ACL是不能过滤IP流量的。Router ACL可用在SVI，三层接口，或3层EtherChannel，每个接口每个方向只能使用一个。在配置IP ACL时，可以使用数字，也可以使用名字，而命名ACL的好处是可以删除单条ACL语句，而数字ACL则不可以，只能删除整条ACL。交换机上不支持Dynamic ACL和 Reflexive ACL。VLAN ACL是不能定义方向的，也就相当于会在两个方向上同时生效，所以在配置VLAN ACL时，所以请注意所写的ACL一定要考虑来回两个方向，否则只匹配到单向的流量，另外一方向可能被丢掉。一个VLAN ACL可以用于多个VLAN，但一个VLAN只能使用一个VLAN ACL。被ACL拒绝的ICMP，ACL将向源发送ICMP-unreachable。配置1.配置MAC ACL说明:在VLAN或2层接口上过滤非IP流量，3层接口上不能使用MAC ACL。（1）定义MAC ACL：sw1(config)#mac access-list extended cciesw1(config-ext-macl)#deny host 0001.0001.0001 host 0002.0002.0002 netbiossw1(config-ext-macl)#permit any any说明：拒绝源MAC为0001.0001.0001发送到MAC为 0002.0002.0002的netbios流量，并允许其它所有，MAC ACL匹配的协议为非IP协议，协议可以不指定。（2）应用MAC ACLsw1(config)#int f0/1sw1(config-if)#m