is2100d操作手册命令-安全功能

第1章ACL配置命 1-absolute- 1-absolute 1-access-listdeny- 1- 1- 1-access-list(mac 1-access-list(mac-ip 1-access-list(mac 1- 1- 1-firewall 1-ipaccess 1-ipaccess 1-ipv6access- 1-ipv6access 1-ipv6access 1-{ip|ipv6|mac|mac-ip}access- 1-{ip|ipv6|mac|mac- access-group（接口模式 1-macaccess 1-mac-ipaccess 1-permit|deny(ip 1-permit|deny(ip 1-permit|deny(ipv6 1-permit|deny(ipv6 1-permit|deny(mac 1-permit|deny(mac-ip 1-showaccess- 1- 1-show 17showipv6access- 17showtime- 18time- 18第2章自定义ACL命 1userdefined-access-liststandard 1userdefined-access-listextended 2userdefined-access-list 3userdefined-access-list 4userdefinedaccess- 4 5第3章802.1x配置命 1debugdot1x 1debugdot1x 1debugdot1x 1debugdot1x 2 2dot1xeapor 3dot1x 3dot1xipv6 3dot1xguest- 4dot1xmacfilter 4 5 5dot1xmax- 6dot1xuserallow- 6dot1xuserfree- 6dot1xmax-user 7dot1xmax-user 7dot1xportbasedmodesingle- 7 8dot1xport- 8 9 9 9 10 10dot1xtimeoutre- 10dot1xtimeouttx- 11dot1xunicast 11dot1xwebauthentication 11dot1xwebauthenticationipv6 11dot1xweb 11dot1xwebredirect 12show 12 13user-controllimit 13第4章端口MAC数量限制命 1debugswitchportmac 1debugvlanmac 1 1showmac-addressdynamic 1 2 2vlanmac-addressdynamic 3第5章AM配置命 1am 1am 1amip- 1ammac-ip- 2noam 2show 2第6章安全特性配置命 1dosattack-checksrcip-equal-dstip 1dosattack-checkipv4-first-fragment 1 1dosattack-checksrcport-equal-dstport 1 2dosattack-checktcp- 2dosattack-checkicmp-attacking 2dosattack-checkicmpV4- 2dosattack-checkicmpv6- 3第7章TACACS+命 1 1 1tacacs-servernas- 2 2 2第8章RADIUS配置命 1aaa 1aaa-accounting 1aaa-accounting 1debugaaa 2debugaaadetail 2debugaaadetail 2debugaaadetail 3debugaaa 3radiusnas- 3radiusnas- 4 4 5radius-serverdead- 5 6 6 6radius-serveraccounting-interim-update 7 7 8showaaa 8 9 9showradius 10第9章SSL配置命 1iphttpsecure- 1iphttpsecure- 1iphttpsecure- 1showiphttpsecure-server 2debug 2第10章IPv6安全RA命 1ipv6security-ra 1ipv6security-ra 1 1 2第11章MAB配置命 1 1clearmac-authentication-bypass 1debugmac-authentication- 1mac-authentication- binding- 2mac-authentication-bypass 2mac-authentication- guest- 2mac-authentication- spoofing-garp- 3mac-authentication-bypasstimeoutlinkup- 3mac-authentication-bypasstimeoutoffline- 11-mac-authentication-bypasstimeoutquiet- 11-mac-authentication-bypasstimeoutreauth- 11-mac-authentication-bypasstimeoutstale- 11-mac-authentication- username- 11-showmac-authentication- 11-第12章PPPoE中间配置命 12-debugpppoeintermediateagentpacket{receive|send} pppoeintermediate- 12- intermediate-agent（端口 12-pppoeintermediate-agentcircuit- 12- 12- 12-pppoeintermediate-agentremote- 12- 12- 12- 12- 12-pppoeintermediate-agenttypetr-101circuit-ididentifier-stringoption 12- 12-showpppoeintermediate-agentidentifier-stringoption 12-第13章WebPortal配置命 13-clearwebportal 13- 13- 13-debugwebportal 13- 2ipdhcpsnoobinding 3show 3 4webportalbinding- 4 5webportalenable(端口 5webportalnas- 6 6第14章VLAN-ACL配置命 1clearvaclstatistic 1showvacl 1vaclipaccess- 2 3vaclmacaccess- 3 3第15章SAVI配置命 1SAVI配置命 1ipv6cps 1ipv6cpsprefixcheck 1ipv6dhcpsnoo 1ipv6ndsnoo 2savicheck 2savi 2saviipv6binding 3saviipv6checksource 3 4saviipv6{dhcp-only|slaac-only|dhcp-slaac} 4 5savimax-dad- 5 5 5 6SAVI和调试命 615.2.1和调试信 6第1ACL配置命absolute-命令：[no]absolute-periodic{Monday|Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<start_time>to{Monday|Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<end_time>weekdays|weekend}<start_time>to<end_time> Monday(星期一) Saturday(星期六) Sunday(星期日) Thursday（星期四） Tuesday(星期二) Everydayoftheweek（每天） MondaythruFriday（星期一到星期五） SaturdayandSunday（星期六到星期日） 开始时间点，HH:MM:SS(小时：分钟：秒) 结束时间点，HH:MM:SS(小时：分钟：秒)

{[day1+day2+day3+day4+day5+day6+day7]|weekend|weekdays|daily}hh:mm:ssToSwitch(Config-Time-Range-admin_timer)#absolute-periodictuesday9:15:30tosaturdaySwitch(Config-Time-Range-admin_timer)#periodicmondaywednesdayfridaysunday14:30:00to16:45:00absolute><>参数：start_time：开始时间点，HH:MM:SS(小时：分钟：秒)start_data：开始日期，格式是，YYYY.MM.DD（年.月.日） end_data：结access-listdeny-命令：access-list<num>{deny|permiticmp<sIpAddr>sMask>|any-source {host-destination<dIpAddr>}}[<icmp-type>[<icmp-code>]][precedence<prec>][tos<tos>][time-range<time-range-name>]access-list<num>{deny|permit}igmp{{<sIpAddr><sMask>}|any-source access-list<num>{deny|permit}tcp{{<sIpAddr><sMask>}|any-source{host-source<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[d-{<dPort>|range<dPortMin><dPortMax>}][ack+fin+psh+rst+urg+syn][precedence<prec>][tos<tos>][time-range<time-range-name>]access-list<num>{deny|permit}udp{{<sIpAddr><sMask>}|any-source{host-source<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[d-{<dPort>|range<dPortMin><dPortMax>}][precedence<prec>]access-list<num>{deny|permit}{eigrp|gre|igrp|ipinip|ip|ospf<protocol-num>}{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>noaccess-list功能：创建一条匹配特定IP协议或所有IP协议的数字扩展IP列表，如果已有此参数：<num>为表标号，100-299；<protocol>为ip上层协议号，0-255；<sIpAddr><dIpAddr>为目的IP地址，格式为点分十进制；<dMask>为目的IP的反掩码，格式为点0-7；<tos>，tos值，0-15；<sPort>，源端，0-65535；<sPortMin>，源端口范围下边界；<sPortMax>，源端口范围上边界；<dPort>，目的端，0-65535；<dPortMin>，目的端口范围下边界；<dPortMax，目的端口范围上边界<time-range-name>，命令模式：全局配置模缺省情况：没有配置任何的列表使用指南：当用户第一次指定特定<num>时，创建此编号ACLACL中添加表项；标号为200-299列表可以配置非连续IP地址反掩码。<igmp-type>IGMP报文的类型，常用的取值可参照以下的说明17(0x11)：IGMPQUERY报18(0x12)：IGMPV1REPORT报22(0x16)：IGMPV2REPORT报34(0x22)：IGMPV3REPORT报19(0x13)：DVMRP报20(0x14)：PIMV1报IGMP报文是包含有OPTION字段的，这样的设置对这种报文没有作用。如果希望对包含OPTION的报文进行配置，请直接使用配置OFFSET的方式进行。举例：创建编号为110的数字扩展列表。icmp报文通过，允许目的地址32udp包通过Switch(config)#access-list110denyicmpany-sourceany-destinationSwitch(config)#access-list110permitudpany-sourcehost-destinationd-port命令：access-list<num>{deny|permit}{{<sIpAddr><sMask>}|any-source{host-source<sIpAddr>}}功能：创建一条数字标准IP列表，如果已有此列表，则增加一条rule表项；本命令的no操作为删除一条数字标准IP列表。命令模式：全局配置模缺省情况：没有配置任何的列表使用指南：当用户第一次指定特定<num>时，创建此编号ACLACL中添加表举例：创建一条编号为20的数字标准IP列表，允许源地址为/24的数据包通过，其余源地址为/16的数据包通过。access-list(macaccess-list<num>{deny|permit}{any-source-mac|{host-source- {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[untagged-eth2|tagged-eth2|untagged-802-3|tagged-802-3]noaccess-list；permit如果规则匹配，允许；<any-source-mac>任何源地址；<any-destination-mac>任何目的地址；<host_smac<smacMAC<smac-mask>MAC地址的掩码(反掩码)<host_dmac>，<dmac>MAC包格式tagged-802-3标记ethernet802.3包格式。命令模式：全局配置模缺省配置：没有配置任何的列使用指南：当用户第一次指定特定<num>时，创建此编号ACLACL中添加表举例：允许任意MAC地址任MAC地址tagged-eth2包通过access-list(mac-ip{host-destination<destination-host-ip>}}[<igmp-type>][precedence<precedence>][tos<tos>][time-range<time-range-name>] {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}tcp{{<source-wildcard>}|any-source|{host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax>}]{{<destination><destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[d-port{<port3>|range<dPortMin><dPortMax>}][ack+fin+psh+rst+urg+syn] {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}udp{{<source-wildcard>}|any-source|{host-source<source-host-ip>}}[s-port{<port1>| <destination-host-ip>}}[d-port{<port3>|range<dPortMin><dPortMax>}][precedence<precedence>][tos<tos>][time-range<time-range-name>] <dmac-mask>}}{eigrp|gre|igrp|ip|ipinip|ospf|{<protocol-num>}}{{<source-wildcard>}|any-source|{host-source<source-host-ip>}}{{<destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[precedence<precedence>][tos<tos>][time-range<time-range-name>]参数：num表号。这是一个从3100－3299的十进制号；deny如果规则匹配，；permit如果规则匹配，允许；any-source-mac任何源MAC地址；smacMAC地址的掩码(反掩码)；host_dmac，dmacMAC地址；dmac-mask目的MAC地址的掩码(反掩码)protocol名字或IPeigrpgreicmp,igmpigrpipipinipospftcporudp,IP0255的一个整数。为了包发送的源网络或源主机号。32位二进制数，点分十进制表示；host-source表示地址是IPIP地址；source-wildcardIP的掩码。用四个点隔开的十32位二进制数，反掩码；destination-host-ip，destination包发送时要去往的目的网络或主机号。32位二进制数，点分十进制表示；host-source表示地址是目的IP地址，否则是网络IP地址；destination-wildcardIP的掩码。用四个点隔开32位二进制数，反掩码；s-port(可选TCP/UDP源端口；port1(可选)TCP/UDP源端值，端是一个0到65535的数字；<sPortMin>，源端口范围下边界<sPortMax>，源端口范围上边界；d-port(可选)表示要TCP/UDP目的端口；port3(可选)TCP/UDP目的端值，端是一个0到65535的数字；<dPortMin><dPortMax>[ack][fin][psh][rst][urg][syn]，(可选)TCPTCP数据报[ack][fin][psh][rst][urg][syn]的相应位设置时即初始化TCP数据报以形成接时出现匹配；precedence(可选)07的数字；tos(可选)包可由服务级类型过滤，为015的数字；icmp-type(可选)ICMPICMP报文类型过滤。类型是igmp-type(可选)IGMP包可由IGMP报文类型或报文名过滤。类型是数字0到15；<time-range-name时间范围名称。项；标号为3200-3299列表可以配置非连续IP地址反掩码。55，任意目的IP地址，且源端口是100TCP报文通过 access-list(macaccess-list<num>{deny|permit}{any-source-mac|{host-source-<host_smac>}|{<smac><smac-mask>}}noaccess-list<num>功能：定义一条标准数字MACACL规则，No命令删除一个标准数字MAC表规则参数：<num>表号，这是一个从700到799的十进制号；deny如果规则匹配， 源MAC地址 举例：允许源MAC地址为00-00-XX-XX-00-01的数据包通过，源地址Switch(config)#access-list700permit00-00-00-00-00-0100-00-FF-FF-00-00 [<命令：firewallenable|缺省情况：缺省为不起作用。将规则应用至特定端口。使不起作用后将删除端口上绑定的所有ACL。firewallipaccess命令：ipaccessextendednoipaccessextended举例：创建一条名为tcpFlow名扩展IP列表。ipaccess命令：ipaccessstandardnoipaccessstandard举例：创建一条名为ipFlow名标准IP列表。命令：ipv6access-list<num-std>{deny|permit}{<sIPv6Prefix/sPrefixlen>|any-source|{host-source<sIPv6Addr>}}功能：创建一条IPv6数字标准列表，如果已有此列表，则增加一条rule表项；本命令的no操作为删除一条数字标准IPv6列表。参数：<num-std>为表标号，取值范围为500～599；<sIPv6Prefix>为源IPv6地<sPrefixlenIPv61～128<sIPv6Addr为源IPv6地址。当用户第一次以特定<num>aclacl中添加表项。段的数据包通过，其余源地址为2003:1:2::1/48网段的数据包通过。Switch(config)#ipv6access-list520permit2003:1:2:3::1/64Switch(config)#ipv6access-list520deny2003:1:2::1/48ipv6accessnoipv6access-liststandard举例：创建一条名为ip6Flow名标准IPv6列表。ipv6access{ip|ipv6|mac|mac- access-命令：{ip|ipv6|mac|mac-ipaccess-group<name{in}[traffic-statistic]no{ip|ipv6|mac|mac-ip}access-group<name>{in}上统计计数器；本命令的no操作为删除绑定在端口上的access-list。参数：<name>，命名表的名字，字符串长度 1-32缺省情况：端口没有绑定ACL某种情况下，当一个数据包匹配四条ACL中的多条时，ACL的过滤动作（permit，deny）会发生。基于结果确定性的考虑，为每一种ACL指定了严格的优先级。当过滤动作发当同时绑定四条ACL且数据包同时匹配其中多条ACL时，优先关系从高到低如下，IPV6ACLMAC-IPACLMACACLIPACL{ip|ipv6|mac|mac- access-group（接口模式macaccess功能：定义一个命名方式的MACACL表或进入表配置模式，no命令删除命名方式例：创建一个名字为mac_acl的MACACL。Switch(config)#mac-access-listextendedmac_aclmac-ipaccess功能：定义一个命名方式的MAC-IPACL表或进入表配置模式，no命令删除命名方式的ACL表。参数：name表的名字，不包括空格或引号，必须用字母字符开头。长度最大为32举例：创建一个名字为macip_acl的MAC-IPACL。Switch(config)#mac-ip-access-listextendedmacip_aclpermit|deny(ip命令：[nodeny|permit}icmp{{<sIpAddr><sMask>}|any-source|host-<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}} [no]{deny|permit}igmp{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[<igmp-type>][precedence<prec>][tos<tos>][time-range<time-range-name>][no]{deny|permit}tcp{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dMask>}|any-destination|{host-destination<dIpAddr>}}[d-port{<dPort>|range<dPortMin><dPortMax>}][ack+fin+psh+rst+urg+syn][precedence<prec>][tos<tos>][time-range<time-range-name>][no]{deny|permit}udp{{<sIpAddr><sMask>}|any-source|{host-<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dMask>}|any-destination|{host-destination<dIpAddr>}}[d-port{<dPort> [no]{deny|permit}{eigrp|gre|igrp|ipinip|ip|ospf|<protocol-{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}{{<dMask>}|any-destination|{host-destination<dIpAddr>}}[precedence<prec>][tos<tos>][time-range<time-range-name>]参数：<sIpAddr>为源IP地址，格式为点分十进制；<sMask>为源IP的反掩码，格式为点分十进制；<dIpAddr>为目的IP地址，格式为点分十进制；<dMask>为目的IP的反掩码，格式为点分十进制，关心的位0，忽略1；<igmp-type>，igmp的类型，0－<pec>IP0－7<tos>tos15<sPor>源端口范围下边界；<sPortMax>，源端口范围上边界；<dPort>，目的端，0-65535；<dPortMin>，目的端口范围下边界；<dPortMax，目的端口范围上边界<time-range-name>，时间范围名称。命令模式：命名扩展IP列表配置模式使用指南：无32udp包通过。Switch(Config-Ext-Nacl-udpFlow)#permitudpany-sourcehost-destinationd-port32permit|deny(ip命令：{deny|permit<sIpAddrsMask>|any-source|host-source<sIpAddr>}}no{deny|permit}{{<sIpAddr><sMask>}|any-source|{host-rule（ruleSwitch(config)#ipaccess-liststandardipFlowpermit|deny(ipv6permit|deny(ipv6命令：[no]{deny|permit}{{<sIPv6Prefix/sPrefixlen>}|any-source|{host-（rule（rule围为1～128。<sIPv6Addr>为源IPv6地址。Switch(config)#ipv6access-liststandardipv6FlowSwitch(Config-Std-Nacl-ipv6Flow)#permit2001:1:2:3::1/64Switch(Config-Std-Nacl-ipv6Flow)#deny2001:1:2:3::1/48permit|deny(mac[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ <host_dmac>}|{<dmac><dmac-mask>}}[cos<cos-val>[<cos-bitmask>]][vlanId<vid-value>[<vid-mask>]][ethertype<protocol>[<protocol-mask>]][no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ [no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ [no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ <host_dmac>}|{<dmac><dmac-mask>}}[tagged-eth2[cos<cos-val>[<cos-bitmask>]][vlanId<vid-value>[<vid-mask>]][ethertype<protocol>[<protocol-mask>]]][no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ <host_dmac>}|{<dmac><dmac-mask>}}[tagged-802-3[cos<cos-[<cos-bitmask>]][vlanId<vid-value>[<vid-mask>功能：定义一条扩展命名MACACL规则，No命令删除一个扩展命名MACACL表规参数：any-source-mac：任何MAC地址；any-destination-macMAC地址；host_smacsmacMAC地址smac-maskMAC地址的掩码反掩码；host_dmac，dmac目的MAC地址；dmac-mask目的MAC地址的掩码(反掩码)；untagged-eth2:ethernetII包格式；tagged-eth2:标记ethernetII包格式；::包格式；cos-val:cos值，0-7；cos-bitmask:cos掩码0-7反掩码且掩码比特连续；vid-value:vlan号，1-4094；vid-bitmask:vlan掩码，0-4095，反掩码且掩码比特连续；protocol:特定的以太网协议号，1536－65535；protocol-bitmask:协议掩码，0－65535，位，例如：一个字节的反掩码形式为 b；正掩码形式为 。Switch(Config-Mac-Ext-Nacl-macExt)#deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-macuntagged-802-3Switch(Config-Mac-Ext-Nacl-macExt)#deny00-12-11-23-00-0000-00-00-00-ff-ffanytagged-802permit|deny(mac-ip[no]<destination-host-ip>}}[<icmp-type>[<icmp-code>]][precedence<precedence>][tos<tos>][time-range<time-range-name>] [no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{ <source-wildcard>}|any-source|{host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax>}]{{<destination><destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[d-port{<port3>|range<dPortMin><dPortMax>}][ack＋fin＋psh＋rst＋urg＋syn] <source><source- {host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax> <destination-host-ip>}}[d-port{<port3>|range<dPortMin><dPortMax>}][precedence<precedence>][tos<tos>][time-range<time-range-name>] 参数：num表号。这是一个从3100－3199的十进制号；deny如果规则匹配，；permit如果规则匹配，允许；any-source-mac：任何源MAC地址；any-destination-mac：任何目的MAC地址；host_smac，smac：源MAC地址；smac-mask：源MAC地址的掩码(反掩码)；host_dmac，dmas目的MAC地址；dmac-maskMAC地址的掩码(反掩码)；protocolIP协议的号。它可以是关键字eigrp,gre,icmp,igmp,igrp,ip,ipinip,ospf,tcporudp,IP0到255的一个整数。为了匹配任何Internet协议（ICMP，TCP和UDP）ip；source-host-ip,source包发送的源网络或源主机号。32位二进制数，点分十进制表示；host-source:IPIP地址；source-wildcard:IP的掩码。用四个点隔开的十进制数表示的32位二进制数，反掩码；destination-host-ip，destination包发送时要去往的目的网络或主机号。32位二进制数，点分十进制表示；host-source:IPIP地址；destination-wildcard：IP32位二进制数，反掩码；s-port(可选)：表示要匹配TCP/UDP源端口；port1(可选):TCP/UDP源端值，端是一个0到65535<sPortMin><sPortMax>d-port(可选)：表示要匹配TCP/UDP目的端口；port3(可选)：TCP/UDP目的端值，端是一个0到65535的数字；<dPortMin>，目的端口范围下边界；<dPortMax>，目的端口范围上边界；[ack][fin][psh][rst][urg][syn](可选)TCP协议，可选多个标志位，当TCP数据报[ack][fin][psh][rst][urg][syn]TCP数据报以形成接时出现匹配；precedence(可选)包可由优先级过滤，为0到7的数字；tos(可选)015的数字；icmp-type(可选)ICMP包可ICMP0255；icmp-code(可选ICMPICMP报文0255；igmp-type(可选)IGMPIGMP报文类型或报文名过滤。类型是数字0到15；<time-range-name>，时间范围名称。是100的UDP报文通过Switch(Config-MacIp-Ext-Nacl-macIpExt)#denyany-source-macany-destination-参数：<acl-name>，特定的控制列表命名字符串；<num>，特定的控制列表的缺省情况：无。使用指南：不指定控制列表的名字时，会显示所有的控制列表；usedxtime（s）表明了此ACL被的次数。Switch#showaccess-listsaccess-list10(used0time(s))access-list10denyany-access-list100(used1access-list100denyipany-sourceany-destinationaccess-list100denytcpany-sourceany-destinationaccess-list10(used1数字ACL10，被0access-list100(used1数字ACL100，被1access-list100denyipany-任意源IP地址及目的IP地址的IP过access-list100denytcpany-任意源IP地址及目的IP地址的TCPaccess-list1100permitany-source-macany-destination-mactagged-eth214允许任意源MAC地址任意目的MACtagged-eth215160x08，0x0命令：showaccess-groupininterfaceEthernet|Ethernet功能：显示端口上ACL命令模式：和配置模式使用指南：不指定接口名时，会显示所有端口上绑ACLinterfacename:Ethernet1/1IPIngressaccess-listusedis100,traffic-statisticsDerfacename:Ethernet1/2IPIngressaccess-listusedis1,packet(s)numberisEthernet1/1的绑定情IPIngressaccess-listused端口Ethernet1/1方向绑定了编号100的数packet(s)numberisshowshow功能：显示滤功能配置信息无无命令模式：和配置模式Switch#showfirewallFirewallDefaultRule:FirewallStatus:FirewallDefaultRule:showipv6access-[功能：显示配置的IPv6控制列表参数：<num>为特定的控制列表的编号，取值范围为500～699，其中500～599为数字IPv6ACL编号，600～699为数字扩IPv6ACL编号；<acl-name>为特定的控制列表命名字符串，长1～32使用指南：不指定控制列表的名字时，会显示所有的控制列表；usedxtime（s）表明了此ACL被的次数。Switch#showipv6access-listsipv6access-list500(used1time(s))ipv6access-list500denyany-ipv6access-list510(used1ipv6access-list510denyipany-sourceany-destinationipv6access-list510denytcpany-sourceany-destinationipv6access-list520(used1ipv6access-list520permitipany-sourceany-showtime-showtime-word指定要显示的time-range的名字缺省情况：无。time-range的名字时，显示所有的time-range。time-rangetimer1(inactive,used0absolute-periodicSaturday0:0:0toSunday23:59:59time-rangetimer2(inactive,used0times)time-第2定义ACL命userdefined-access-liststandard<offset>][window2{l2endoftag|l3start|l4start}<offset>][window3{l2endoftag|l3start|l4start}<offset>][window4{l2endoftag|l3start|l4start}<offset>][window5{l2endoftag|l3start|l4start}<offset>][window6{l2endoftag|l3start|l4start}<offset>][window7{l2endoftag|l3start|l4start}<offset>][window8{l2endoftag|l3start|l4start}<offset>][window9{l2endoftag|l3start|l4start|l3start|l4start}nouserdefined-access-liststandardoffset[window1][window2][window3][window4][window5][window6][window7][window8][window9][window10]功能：创建标准自定义列表模板，如果已有此模板则修改模板对应的window；本命令 偏移起始位置为二层tag 配置的偏移量<0-31>（单位为2字节）本自定义ACL模板，在配置有使用了某个window的自定义ACL规则时该模板中对应的window无法被修改，当没有规则某个window时可以用本命令修改这个window的配指定任何具体的windowwindow没有被自定义ACL规则使用时才能删Switch(config)#userdefined-access-liststandardoffsetwindow3l20window4l22window5l30window6l31window7l32window8l41window9l42userdefined-access-listextended命令：userdefined-access-listextendedoffsetswindow1l2start|l2endoftag|l3start|l4start}<sOffset>][swindow2{l2start|l2endoftag|l3start|l4start}|l3start|l4start}<lOffset>][lwindow3{l2endoftag|l3start|l4start}<lOffset>][lwindow4{l2endoftag|l3start|l4start}<lOffset>][lwindow5{l2endoftag|l3start|l4start}<lOffset>][lwindow6{l2endoftag|l3start|l4start}<lOffset>][lwindow7nouserdefined-access-listextendedoffset[swindow1][swindow2][lwindow1][lwindow2][lwindow3][lwindow4][lwindow5][lwindow6][lwindow7]功能：创建扩展自定义列表模板，如果已有此模板则修改模板对应的swindow或果未指定任何swindow或lwindow则删除整个扩展自定义列表模板。 偏移起始位置为二层tag <sOffset>swindow的偏移量，取值范围为<0-31>2Bytes0代表0Bytes，12Bytes；{l2endoftag|l3start|l4start}lwindow的偏移起始位置，<lOffset>lwindow的偏移量，取值范围为<0-15>4Bytes，lwindowACLswindowlwindow无法被修改，当没有规则某个swindow或lwindow时可以用本命令修改这个swindow或lwindow的配置。windowSwitch(config)#userdefined-access-listextendedoffsetswindow1l2s0swindow2l2e0lwindow5l33lwindow7l40userdefined-access- {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}{untagged-eth2|tagged-eth2[cos<value>[<mask>]][vlanId<value>[<mask>]]|untagged-802-3|<value><mask>][window11<value><mask>]nouserdefined-access-list<num>表项；本命令的no操作为删除一条标准自定义列表。<dmac-maskMAC地址的掩码(反掩码)untagged-eth2ethernetII包格tagged-eth2ethernetII包格式；untagged-802-3ethernet802.3tagged-802-3情况下可以配置，cos可以仅配置<value>，范围（0-7）匹配单一值，也配合匹vlanId值；各window的<value>和<mask>2字节长16进制数。使用指南：当用户第一次指定特定<num>时，创建此编号的ACL，之后在此ACL中添加表个字节和L4头部第4个字节分别为0x4501，0xFF的包通过。Switch(config)#userdefined-access-liststandardoffsetwindow1l30window2l41Switch(config)#userdefined-access-liststandard1200permitany-source-macany-destination-mactagged-eth2window14501FFFFwindow200FF00FF再在同一个列表中配置一条规则，任意源MAC地址任意目的MAC地址的untagged-eth2，且对应L35、6个字节值为0xFFAA的包通过。Switch(config)#userdefined-access-liststandardoffsetwindow3l32Switch(config)#userdefined-access-liststandard1200denyany-source-macany-destination-macuntagged-eth2window3FFAAFFFFuserdefined-access- 命令：userdefined-access-listextended<num>{deny|permit}{untagged-eth2|tagged-eth2[cos<value>[<mask>]][vlanId<value>[<mask>]]|untagged-802-3|tagged-802-3cosvaluemaskvlanIdvaluemaskswindow1<value><mask>][swindow2<value><mask>][lwindow1<value><mask>]<value><mask>][lwindow3<value><mask>][lwindow4<value><mask>][lwindow5<value><mask>][lwindow6<value><mask>][lwindow7<value><mask>][lwindow8<value><mask>]表项；本命令的no操作为删除一条扩展自定义列表。参数：<num>表号，这是一个从1300－1399的十进制号；deny如果规则匹配， 如果规则匹配，允许；untagged-eth2未标记的ethernetII包格式； 标记的ethernetII包格式untagged-802-3未标记的ethernet802.3包格式；tagged-802-3标记的ethernet802.3包格式；cos和vlanId在配置了tagged-eth2或再配置一个<mask>，范围（0-7），和<value>配合匹配多个cos值，vlanId可以仅配置各个lwindow的<valu