路由人生 网络技术 ACL配置指南

ACL配置指南

昨天说了ACL的一些标准ACL和扩展ACL的配置语句,当路由器里的ACL规则增加了时,必须按照一定的规则来,否则有些ACL语句将不会作用的。

(1)、ACL的列表号指出了是那种协议的ACL。各种协议有自己的ACL,而每个协议的ACL又分为标准ACL和扩展ACL。这些ACL是通过ACL列表号区别的。如果在使用一种访问ACL时用错了列表号,那么就会出错误。

(2)、一个ACL的配置是每协议、每接口、每方向的。路由器的一个接口上每一种协议可以配置进方向和出方向两个ACL。也就是说,如果路由器上启用了IP和IPX两种协议栈,那么路由器的一个接口上可以配置IP、IPX两种协议,每种协议进出两个方向,共四个ACL。

(3)、ACL的语句顺序决定了对数据包的控制顺序。在ACL中各描述语句的放置顺序是很重要的。当路由器决定某一数据包是被转发还是被阻塞时,会按照各项描述语句在ACL中的顺序,根据各描述语句的判断条件,对数据报进行检查,一旦找到了某一匹配条件就结束比较过程,不再检查以后的其他条件判断语句。

(4)、最有限制性的语句应该放在ACL所有语句的上面。把最有限制性的语句放在ACL语句的首行或者语句中靠近前面的位置上,把“全部允许”或者“全部拒绝”这样的语句放在末行或接近末行,可以防止出现诸如本该拒绝(放过)、的数据包被放过(拒绝)、的情况。

(5)、新的表项只能被添加到ACL的末尾,这意味着不可能改变已有访问控制列表的功能。如果必须改变,只有先删除已存在的ACL,然后创建一个新ACL,将新ACL应用到相应的接口上。

(6)、在将ACL应用到接口之前,一定要先建立ACL。首先在全局模式下建立ACL,然后把它应用在接口的出方向或进方向上。在接口上应用一个不存在的ACL是不可能的。

(7)、ACL语句不能被逐条的删除,只能一次性删除整个ACL

(8)、在ACL的最后,有一条隐含的“全部拒绝”的命令,所以在 ACL里一定至少有一条“允许”的语句

(9)、ACL只能过滤穿过路由器的数据流量,不能过滤由本路由器上发出的数据包

(10)、在路由器选择进行以前,应用在接口进入方向的ACL起作用

(11)、在路由器选择决定以后,应用在接口离开方向的ACL起作用。

本文来自路由人生,转载请注明出处。

作者:

发表评论

联系我们

联系我们

在线咨询: QQ交谈

邮箱: yufe@yufe.me

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

关注微博
返回顶部