15實(shí)驗(yàn)十五,,擴(kuò)展,ACL,實(shí)驗(yàn)

1、15實(shí)驗(yàn)十五,擴(kuò)展,ACL,實(shí)驗(yàn)實(shí)驗(yàn)十五 擴(kuò)展 ACL 實(shí)驗(yàn) 一、 實(shí)驗(yàn)?zāi)康?1、 了解什么是標(biāo)準(zhǔn)的 ACL； 2、 了解標(biāo)準(zhǔn)和擴(kuò)展 ACL 的區(qū)別； 3、 了解擴(kuò)展 ACL 不同的實(shí)現(xiàn)方法； 二、 應(yīng)用環(huán)境 標(biāo)準(zhǔn) ACL 只能限制源 IP 地址，而擴(kuò)展 ACL 的限制權(quán)限就很廣泛，包括源 IP、目的 IP、服務(wù)類型等。 三、 實(shí)驗(yàn)設(shè)備 1、 DCRS-5650 交換機(jī) 2 臺(tái) 3、 PC 機(jī) 2 臺(tái) 4、 Console 線 2 根 5、 直通網(wǎng)線若干 四、 實(shí)驗(yàn)拓?fù)?五、實(shí) 驗(yàn)要求 目的：禁止 PC2 telnet 交換機(jī) A 。 1、在交換機(jī) A 和交換機(jī) B 上分別劃分兩個(gè)基于端口的

2、VLAN 見(jiàn)表： 2、交換機(jī) A 和 B 通過(guò) 24 口級(jí)聯(lián) 3、配置交換機(jī) A 和 B 各 vlan 虛擬借口的 ip 地址見(jiàn)表： 4、PC1-PC2 的網(wǎng)絡(luò)設(shè)置見(jiàn)表: 設(shè) 備 Ip 地址 Gateway mask PC1 192.168.10.101 192.168.10.1 255.255.255.0 PC2 192.168.20.101 192.168.20.1 255.255.255.0 5、驗(yàn)證 1、配置 ACL 之前，PC1、PC2 都可以 ping 通 vlan30 2、配置 ACL 后，PC1 可以 ping vlan30 而 PC2 的不可以 ping 通 vlan30 若

3、實(shí)驗(yàn)結(jié)果和理論相符，則本實(shí)驗(yàn)完成 交 換 機(jī) Vlan 端口成員 交換機(jī) A 10 1-8 20 9-46 100 24 交換機(jī) B 30 1-8 101 24 Vlan10 Vlan20 Vlan30 Vlan100 Vlan101 192.168.10.1 192.168.20.1 192.168.30.1 192.168.100.1 192.168.100.2 六 、實(shí)驗(yàn)步驟 1.交換機(jī)恢復(fù)出廠 (以交換機(jī) A 為例，交換機(jī) B 配置步驟同 A) DCS-5650-28C>enable DCS-5650-28C#set default Are you sure? Y/N = y ！

4、是否確認(rèn)？ DCS-5650-28C#write DCS-5650-28C#reload Process with reboot? Y/N y 2.配置交換機(jī) VlAN 信息 交換機(jī) A：創(chuàng)建 vlan10 和 vlan20、 vlan100 和并給相應(yīng) vlan 添加端口。 switch-RSA(Config)#vlan 10 switch-RSA(Config-Vlan10)#switchport interface Ethernet 0/0/1-8 switch-RSA(Config-Vlan10)#exit switch-RSA(Config)#vlan 20 switch-RSA(C

5、onfig-Vlan20)#switchport interface ethernet 0/0/9-16 switch-RSA(Config-Vlan20)#exit switch-RSA(Config)#vlan 100 switch-RSA(Config-Vlan100)#switchport interface ethernet 0/0/24 Set the port Ethernet1/24 access vlan 100 successfully switch-RSA(Config-Vlan100)#exit 驗(yàn)證配置： switch-RSA#show vlan 交換機(jī) B：創(chuàng)建 v

6、lan 30 和 vlan 40、 vlan101 和并給相應(yīng) vlan 添加端口。（配置命令與交換機(jī) A 配置類似）如圖： 驗(yàn)證配置： switch-RSB#show vlan 3.配置交換機(jī)各 vlan 虛接口的 IP 地址 注意：若要配置多個(gè) IP 時(shí)，必須開(kāi)啟三層轉(zhuǎn)發(fā)功能（默認(rèn)情況下此功能關(guān)閉，需要先開(kāi)啟此功能） switch-RSA(Config)#l3 enable （此命令不能自動(dòng)補(bǔ)全，需手動(dòng)輸入） 分別給交換機(jī) A 的 Vlan 10 、Vlan 20、Vlan 100 配置 IP 地址 switch-RSA(Config)#int vlan 10 switch-RSA(Con

7、fig-If-Vlan10)#ip address 192.168.10.1 255.255.255.0 switch-RSA(Config-If-Vlan10)#no shut switch-RSA(Config-If-Vlan10)#exit switch-RSA(Config)#int vlan 20 switch-RSA(Config-If-Vlan20)#ip address 192.168.20.1 255.255.255.0 switch-RSA(Config-If-Vlan20)#no shut switch-RSA(Config-If-Vlan20)#exit switch-

8、RSA(Config)#int vlan 100 switch-RSA(Config-If-Vlan100)#ip address 192.168.100.1 255.255.255.0 switch-RSA(Config-If-Vlan100)#no shut switch-RSA(Config-If-Vlan100)#exit 給交換機(jī) B 的 Vlan 30 、Vlan 40、Vlan 101 配置 IP 地址(配置方式同交換機(jī) A)如圖： 4.配置靜態(tài)路由 交換機(jī) A： switch-RSA(Config)#ip route 0.0.0.0 0.0.0.0 192.168.100.2

9、驗(yàn)證配置： switch-RSA(Config)#show ip route 交換機(jī) B： Switch-RSB: ip route 0.0.0.0 0.0.0.0 192.168.100.1 驗(yàn)證配置： 5.在交換機(jī) B 的 VLan30 端口上配置端口的回環(huán)測(cè)試功能，保證 vlan30 可以 ping 通 6.驗(yàn)證（本驗(yàn)證是基于在沒(méi)有配置 ACL 之前進(jìn)行的） 7.配置訪問(wèn)控制表(ACL) 方法 1：配置命名標(biāo)準(zhǔn) IP 訪問(wèn)列表 (其中 test2 為指定名稱) switch-RSA(Config)#ip access-list extended test2 switch-RSA(Conf

10、ig-Std-Nacl-test2)#deny icmp 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 switch-RSA(Config-Std-Nacl-test2)#deny host-source PC 端口 Ping 結(jié)果 原因 PC1：192.168.10.101 0/0/1 192.168.100.1 通 PC2：192.168.20.101 0/0/9 192.168.200.1 通 192.168.20.101 switch-RSA(Config-Std-Nacl-test2)#exit switch-RSA(Config)# 驗(yàn)

11、證配置： 8.開(kāi)啟訪問(wèn)控制列表功能，默認(rèn)動(dòng)作為全部開(kāi)啟 switch-RSA(Config)#firewall enable switch-RSA(Config)#firewall default permit (兩種方法任選其一) 9.結(jié)果 七、 注意事項(xiàng)和排錯(cuò) 1.端口可以成功綁定的 ACL 數(shù)目取決于已綁定的 ACL 的內(nèi)容以及硬件資源限制，如果因?yàn)橛布Y源有限無(wú)法配置會(huì)提示用戶相關(guān)信息。 2.可以配置 ACL 拒絕某些 ICMP 報(bào)文通過(guò)以防止沖擊波等病毒攻擊。 八、 共同思考 1.第五步，綁定 access-group 到端口的時(shí)候，in 和 out 參數(shù)各有什么含義？ 2.能否通過(guò)

12、 ACL 實(shí)現(xiàn) A 可以訪問(wèn) B，但是 B 不可以訪問(wèn) A？ PC 端口 Ping 結(jié)果 原因 PC1：192.168.10.101 0/0/1 192.168.30.1 通 PC2：192.168.20.101 0/0/9 192.168.30.1 不通 九、 課后練習(xí) 配置數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表完成同樣的功能。 十、 相關(guān)配置命令詳解 ACL 配置任務(wù)序列 1. 配置 access-list （1） 配置數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表 （2） 配置數(shù)字?jǐn)U展 IP 訪問(wèn)列表 （3） 配置命名標(biāo)準(zhǔn) IP 訪問(wèn)列表 a) 創(chuàng)建一個(gè)命名標(biāo)準(zhǔn) IP 訪問(wèn)列表 b) 指定多條 permit 或 deny

13、規(guī)則表項(xiàng) （4）配置命名擴(kuò)展 IP 訪問(wèn)列表 a) 創(chuàng)建一個(gè)命名擴(kuò)展 IP 訪問(wèn)列表 b) 指定多條 permit 或 deny 規(guī)則表項(xiàng) c) 退出訪問(wèn)表配置模式 2 配置包過(guò)濾功能 （1）全局打開(kāi)包過(guò)濾功能 （2）配置默認(rèn)動(dòng)作（default action） 3. 將 accessl-list 綁定到特定端口的特定方向 配置 access-list （1）配置數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表 （2）配置數(shù)字?jǐn)U展 IP 訪問(wèn)列表 命令 解釋 全局配置模式 access-list <num> deny | permit <sIpAddr> <sMask> | any

14、-source | host-source <sIpAddr> no access-list <num> 創(chuàng)建一條數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表，如果已有此訪問(wèn)列表，則增加一條規(guī)則（rule）表項(xiàng)；本命令的 no 操作為刪除一條數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表。 （3）配置命名標(biāo)準(zhǔn) IP 訪問(wèn)列表 命令 解釋 全局配置模式 access-list <num> deny | permit icmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr>

15、<dMask> | any-destination | host-destination <dIpAddr> <icmp-type> <icmp-code> precedence <prec> tos <tos> 創(chuàng)建一條 icmp 數(shù)字?jǐn)U展 IP 訪問(wèn)規(guī)則；如果此編號(hào)數(shù)字?jǐn)U展訪問(wèn)列表不存在則創(chuàng)建此訪問(wèn)列表。 access-list <num> deny | permit igmp <sIpAddr> <sMask> | any-source | host-source <sIpA

16、ddr> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> <igmp-type> precedence <prec> tos <tos> 創(chuàng)建一條 igmp 數(shù)字?jǐn)U展 IP 訪問(wèn)規(guī)則；如果此編號(hào)數(shù)字?jǐn)U展訪問(wèn)列表不存在則創(chuàng)建此訪問(wèn)列表。 access-list <num> deny | permit tcp <sIpAddr> <sMask> | any-source | host-source <

17、;sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dPort <dPort> ack | fin | psh | rst | syn | urg precedence <prec> tos <tos> 創(chuàng)建一條 tcp 數(shù)字?jǐn)U展 IP 訪問(wèn)規(guī)則；如果此編號(hào)數(shù)字?jǐn)U展訪問(wèn)列表不存在則創(chuàng)建此訪問(wèn)列表。 access-list <num> deny | permit udp

18、<sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dPort <dPort> precedence <prec> tos <tos> 創(chuàng)建一條 udp 數(shù)字?jǐn)U展 IP 訪問(wèn)規(guī)則；如果此編號(hào)數(shù)字?jǐn)U展訪問(wèn)列表不存在則創(chuàng)建此訪問(wèn)列表。 a. 創(chuàng)建一個(gè)命名標(biāo)準(zhǔn) IP 訪

19、問(wèn)列表 b. 指定多條 permit 或 deny 規(guī)則 c. 退出命名標(biāo)準(zhǔn) IP 訪問(wèn)列表配置模式 （4）配置命名擴(kuò)展 IP 訪問(wèn)列表 a. 創(chuàng)建一個(gè)命名擴(kuò)展 IP 訪問(wèn)列表 b. 指定多條 permit 或 deny 規(guī)則 命令 解釋 全局配置模式 ip access standard <name> no ip access standard <name> 創(chuàng)建一條命名標(biāo)準(zhǔn) IP 訪問(wèn)列表；本命令的 no 操作為刪除此命名標(biāo)準(zhǔn) IP 訪問(wèn)列表。 命令 解釋 命名標(biāo)準(zhǔn) IP 訪問(wèn)列表配置模式 no deny | permit <sIpAddr> <s

20、Mask > | any-source | host-source <sIpAddr> 創(chuàng) 建 一 條 命 名 標(biāo) 準(zhǔn) IP 訪 問(wèn) 規(guī) 則（rule）；本命令的 no 操 作為 刪除 此命 名標(biāo) 準(zhǔn) IP 訪 問(wèn)規(guī) 則（rule）。 命令 解釋 命名標(biāo)準(zhǔn) IP 訪問(wèn)列表配置模式 Exit 退出命名標(biāo)準(zhǔn) IP 訪問(wèn)列表配置模式。 命令 解釋 全局配置模式 ip access extended <name> no ip access extended <name> 創(chuàng)建一條命名擴(kuò)展 IP 訪問(wèn)列表；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)列表。

21、命令 解釋 命名擴(kuò)展 IP 訪問(wèn)列表配置模式 no deny | permit icmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> <icmp-type> <icmp-code> precedence <prec> tos <tos> 創(chuàng)建一條 icmp 命名擴(kuò)展 IP 訪問(wèn)規(guī)則（

22、rule）；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）。 no deny | permit igmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> <igmp-type> precedence <prec> tos <tos> 創(chuàng)建一條 igmp 命名擴(kuò)展 IP 訪問(wèn)規(guī)則（r

23、ule）；本命令的 no 操作為刪 除 此 命 名 擴(kuò) 展 IP 訪 問(wèn) 規(guī) 則（rule）。 no deny | permit tcp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dPort <dPort> ack | fin | psh | rst | syn | urg p

24、recedence <prec> tos <tos> 創(chuàng)建一條 tcp 命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）。 no deny | permit udp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dP

25、ort <dPort> precedence <prec> tos <tos> 創(chuàng)建一條 udp 命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）。 （c）退出命名擴(kuò)展 IP 訪問(wèn)列表配置模式 、 配置包過(guò)濾功能 （1）全局打開(kāi)包過(guò)濾功能 （2）配置默認(rèn)動(dòng)作(default action) （3）將 accessl-list 綁定到特定端口的特定方向 no deny | permit eigrp | gre | igrp | ipinip | ip | <int> <sIpAddr>

26、; <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> precedence <prec> tos <tos> 創(chuàng)建一條其他 IP 協(xié)議的命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)規(guī)則（rule）。 命令 解釋 命 Exit 退出命名擴(kuò)展 IP 訪問(wèn)列表配置模式。 命令 解釋 全局配置模式 firewa

27、ll enable 全局打開(kāi)包過(guò)濾功能。 firewall disable 全局關(guān)閉包過(guò)濾功能。 命令 解釋 全局配置模式 firewall default permit 設(shè)置默認(rèn)動(dòng)作為 permit。 firewall default deny 設(shè)置默認(rèn)動(dòng)作為 deny。 命令 解釋 物理接口配置模式 access-list(extended) 命 令 ： access-list <num> deny | permit icmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <

28、;dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> <icmp-type> <icmp-code> precedence <prec> tos <tos> access-list <num> deny | permit igmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask>

29、; | any-destination | host-destination <dIpAddr> <igmp-type> precedence <prec> tos <tos> access-list <num> deny | permit tcp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | ho

30、st-destination <dIpAddr> dPort <dPort> ack | fin | psh | rst | syn | urg precedence <prec> tos <tos> access-list <num> deny | permit udp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-dest

31、ination | ip access-group <name> in|out no ip access-group <name> in|out 在 端 口 的 某 個(gè) 方 向 上 應(yīng) 用 一 條 access-list；本命令的 no 操作為刪除綁定在端口上的 access-list。 host-destination <dIpAddr> dPort <dPort> precedence <prec> tos <tos> access-list <num> deny | permit eigrp | gre

32、| igrp | ipinip | ip | <int> <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> precedence <prec> tos <tos> no access-list <num> 功能：創(chuàng)建一條匹配特定 IP 協(xié)議或所有 IP 協(xié)議的數(shù)字?jǐn)U展 IP 訪問(wèn)規(guī)則；如果

33、此編號(hào)數(shù)字?jǐn)U展訪問(wèn)列表不存在，則創(chuàng)建此訪問(wèn)列表；本命令的 no 操作為刪除一條數(shù)字?jǐn)U展 IP 訪問(wèn)列表。 參數(shù)： <num>為訪問(wèn)表標(biāo)號(hào)，100-199；<sIpAddr>為源 IP 地址，格式為點(diǎn)分十進(jìn)制；<sMask >為源 IP 的反掩碼，格式為點(diǎn)分十進(jìn)制；<dIpAddr>為目的 IP 地址，格式為點(diǎn)分十進(jìn)制； <dMask>為目的 IP 的反掩碼，格式為點(diǎn)分十進(jìn)制，關(guān)心的位置 0，忽略的位置 1；<igmp-type>， igmp 的類型；<icmp-type>，icmp 的類型；<icmp-c

34、ode>，icmp 的協(xié)議編號(hào)；<prec>，IP 優(yōu) 先級(jí)，0-7；<tos>，tos 值，0-15；<sPort>，源端口號(hào)，0-65535；<dPort>，目的端口號(hào)，0-65535。 命令模式：全局配置模式 缺省情況：沒(méi)有配置任何的訪問(wèn)列表。 使用指南：當(dāng)用戶第一次指定特定<num>時(shí)，創(chuàng)建此編號(hào)的 ACL，之后在此 ACL 中添加表項(xiàng)。 舉例：創(chuàng)建編號(hào)為 110 的數(shù)字?jǐn)U展訪問(wèn)列表。拒絕 icmp 報(bào)文通過(guò)，允許目的地址為 192.168.0.1 目的端口為 32 的 udp 包通過(guò)。 Switch(Config)#a

35、ccess-list 110 deny icmp any-source any-destination Switch(Config)#access-list 110 permit udp any-source host-destination 192.168.0.1 dPort 32 access-list(standard) 命 令 ： access-list <num> deny | permit <sIpAddr> <sMask > | any-source | host-source <sIpAddr> no access-list &l

36、t;num> 功能：創(chuàng)建一條數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表，如果已有此訪問(wèn)列表，則增加一條 rule 表項(xiàng)；本命令的 no 操作為刪除一條數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表 參數(shù)：<num>為訪問(wèn)表標(biāo)號(hào)，1-99；<sIpAddr>為源 IP 地址，格式為點(diǎn)分十進(jìn)制；<sMask >為源 IP 的反掩碼，格式為點(diǎn)分十進(jìn)制。 命令模式：全局配置模式 缺省情況：沒(méi)有配置任何的訪問(wèn)列表。 使用指南：當(dāng)用戶第一次指定特定<num>時(shí)，創(chuàng)建此編號(hào)的 ACL，之后在此 ACL 中添加表項(xiàng)。 舉例：創(chuàng)建一條編號(hào)為 20 的數(shù)字標(biāo)準(zhǔn) IP 訪問(wèn)列表，允許源地址為 10.1

37、.1.0/24 的數(shù)據(jù)包通過(guò)，拒絕其余源地址為 10.1.1.0/16 的數(shù)據(jù)包通過(guò)。 Switch(Config)#access-list 20 permit 10.1.1.0 0.0.0.255 Switch(Config)#access-list 20 deny 10.1.1.0 0.0.255.25 firewall 命令：firewall enable | disable 功能：允許防火墻起作用或禁止防火墻起作用。 參數(shù)：enable 表示允許防火墻起作用；disable 表示禁止防火墻起作用。 缺省情況：缺省為防火墻不起作用。 命令模式：全局配置模式 使用指南：在允許和禁止防火墻時(shí)

38、，都可以設(shè)置訪問(wèn)規(guī)則。但只有在防火墻起作用時(shí)才可以將規(guī)則應(yīng)用至特定端口的特定方向上。使防火墻不起作用后將刪除端口上綁定的所有 ACL。 舉例：允許防火墻起作用。 Switch(Config)#firewall enable firewall default 命令：firewall default permit | deny 功能：設(shè)置防火墻默認(rèn)動(dòng)作。 參數(shù)： permit 表示允許數(shù)據(jù)包通過(guò)；deny 表示拒絕數(shù)據(jù)包通過(guò)。 命令模式：全局配置模式 缺省情況：缺省動(dòng)作為 permit。 使用指南：此命令只影響端口入口方向的 IP 包，其余情況下數(shù)據(jù)包均可通過(guò)交換機(jī)。 舉例：設(shè)置防火墻默認(rèn)動(dòng)作為拒

39、絕數(shù)據(jù)包通過(guò)。 Switch(Config)#firewall default den ip access extended 命令：ip access extended <name> no ip access extended <name> 功能：創(chuàng)建一條命名擴(kuò)展 IP 訪問(wèn)列表；本命令的 no 操作為刪除此命名擴(kuò)展 IP 訪問(wèn)列表（包含所有表項(xiàng)）。 參數(shù)：<name>為訪問(wèn)表標(biāo)名，字符串長(zhǎng)度為 1-8, 不允許為純數(shù)字序列。 命令模式：全局配置模式 缺省情況：沒(méi)有配置任何的訪問(wèn)列表。 使用指南：第一次以調(diào)用此命令后，只是創(chuàng)建一個(gè)空的命名訪問(wèn)列表，其中不包含

40、任何表項(xiàng) 舉例：創(chuàng)建一條名為 tcpFlow 的命名擴(kuò)展 IP 訪問(wèn)列表。 Switch(Config)#ip access-list extended tcpFlow ip access standard 命令：ip access standard <name> no ip access standard <name> 功能：創(chuàng)建一條命名標(biāo)準(zhǔn) IP 訪問(wèn)列表；本命令的 no 操作為刪除此命名標(biāo)準(zhǔn) IP 訪問(wèn)列表（包 含所有表項(xiàng)）。 參數(shù)：<name>為訪問(wèn)表標(biāo)名，字符串長(zhǎng)度為 1-8。 命令模式：全局配置模式 缺省情況：沒(méi)有配置任何的訪問(wèn)列表。 使用指南：

41、第一次以調(diào)用此命令后，只是創(chuàng)建一個(gè)空的命名訪問(wèn)列表，其中不包含任何表項(xiàng)。 舉例：創(chuàng)建一條名為 ipFlow 的命名標(biāo)準(zhǔn) IP 訪問(wèn)列表。 Switch(Config)#ip access-list standard ipFlow ip access-group 命令：ip access-group <name> in|out no ip access-group <name> in|out 功能：在端口的入口方向上應(yīng)用一條 access-list；本命令的 no 操作為刪除綁定在端口上的 access-list。 參數(shù)：<name>為命名訪問(wèn)表的名字，字符串

42、長(zhǎng)度為 1-8。 命令模式：物理接口配置模式 缺省情況：沒(méi)有綁定任何 ACL。 使用指南：一個(gè)端口只可以綁定一條入口規(guī)則，目前不支持在出口方向應(yīng)用 Access-list。 舉例：將名為 aaa 的訪問(wèn)列表綁定到端口的入口方向上。 Switch(Config-Ethernet1/1)#ip access-group aaa in permit | deny(extended) 命 令 ： no deny | permit icmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAd

43、dr> <dMask> | any-destination | host-destination <dIpAddr> <icmp-type> <icmp-code> precedence <prec> tos <tos> no deny | permit igmp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> <dIpAddr> <dMask> | any-destination | host-

44、destination <dIpAddr> <igmp-type> precedence <prec> tos <tos> no deny | permit tcp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dPort <dPort&g

45、t; ack | fin | psh | rst | syn | urg precedence <prec> tos <tos> no deny | permit udp <sIpAddr> <sMask> | any-source | host-source <sIpAddr> sPort <sPort> <dIpAddr> <dMask> | any-destination | host-destination <dIpAddr> dPort <dPort> precedence <prec> tos <tos> no deny | permit eigrp | gre | igrp | ipinip | ip | <int> <sIpAddr> <sMask> any-s