11.4. Команды ACL

Назначение

Команда mac access-list используется для создания и перехода в режим настройки MAC ACL.

Команда no mac access-list используется для удаления MAC ACL.

Требования

Синтаксис

mac access-list ACL_NAME

no mac access-list ACL_NAME

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Если в системе уже существует MAC ACL с таким же именем, будет выполнен вход в режим конфигурации MAC ACL. Однако, если имя ACL используется другим типом ACL, будет показано сообщение с подсказкой.

Если имя не используется ни одной ACL, будет создан MAC ACL и затем выполнен вход в режим конфигурации MAC ACL.

Примеры

Создание MAC ACL с именем “list_mac_1” и вход в режим конфигурации MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)#

Удаление MAC ACL с именем list_mac_1:

Switch# configure terminal
Switch(config)# no mac access-list list_mac_1

Связанные команды

match access-group

Назначение

Команда sequence-num используется для удаления фильтра из MAC ACL.

Требования

Синтаксис

no sequence-num SEQUENCE_NUM

Режим ввода

MAC ACL Configuration

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Пользователь может удалить ACL, который уже прикреплен к “class-map” и используется интерфейсом.

Примеры

Удаление фильтра с порядковым номером 10 из MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# no sequence-num 10

Удаление фильтра с порядковым номером 10 из IP ACL:

Switch# configure terminal
Switch(config)# ip access-list list_ip_1
Switch(config-ip-acl)# no sequence-num 10

Связанные команды

deny

deny tcp

deny udp

deny icmp

deny igmp

permit

permit tcp

permit udp

permit icmp

permit igmp

Назначение

Команда deny src-mac используется для создания MAC-фильтра, отбрасывающего пакеты, соответствующие правилу фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny src-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR) (dest-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (untag-vlan| ((vlan VLAN_ID| ) (cos COS| ) (inner-vlan INNER_VLAN| ) (inner-cos INNER_COS| )) (protocol (arp (arp-op-code)|rarp| ETH_TYPE mask ETH_TYPE_MASK)|packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

MAC ACL Configuration

Состояние по умолчанию

Нет

Применение

Если поле “sequence-num” не задано, фильтру будет автоматически присвоен порядковый номер. Автоматически присваиваемый порядковый номер увеличивается на 10 по сравнению с максимальным существующим порядковым номером в MAC ACL. Например, если максимальный существующий порядковый номер - 100, порядковый номер последующего создаваемого MAC-фильтра будет 110. Ether type не поддерживается в исходящем ACL.

Примеры

Создание фильтра MAC ACL для запрета пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 1 deny src-mac host 0058.3f2C.A1DF

Создание фильтра MAC ACL для запрета всех пакетов:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 2 deny src-mac any

Создание фильтра MAC ACL для запрета пакетов, MAC-адрес источника которых находится в заданном диапазоне:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 3 deny src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда permit src-mac используется для создания MAC-фильтра, разрешающего передачу пакетов, соответствующих правилу фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) permit src-mac (any|MAC_ADDR MAC_ADDR_MAS|host MAC_ADDR) (dest-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (untag-vlan| (vlan VLAN| ) (cos COS| ) (inner-vlan INNER_VLAN| ) (inner-cos INNER_COS| )) (protocol (arp (arp-op-code)|rarp|ETH_TYPE mask ETH_TYPE_MASK)|packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

MAC ACL Configuration

Состояние по умолчанию

Нет

Применение

Если поле sequence-num не задано, фильтру будет автоматически присвоен порядковый номер. Автоматически присваиваемый порядковый номер увеличивается на 10 по сравнению с максимальным существующим порядковым номером в MAC ACL. Например, если максимальный существующий порядковый номер - 105, порядковый номер последующего создаваемого MAC-фильтра будет 115. Ether type не поддерживается в исходящем ACL.

Примеры

Создание фильтра в MAC ACL для разрешения пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 1 permit src-mac host 0058.3f2C.A1DF

Создание фильтра в MAC ACL для разрешения всех пакетов:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 2 permit src-mac any

Создание фильтра MAC ACL для разрешения пакетов с MAC-адресом источника в заданном диапазоне:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 3 permit src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда remark используется для добавления примечаний к MAC ACL.

Для удаления примечаний из MAC ACL используйте команду no remark.

Требования

Синтаксис

remark REMARK

no remark

Режим ввода

MAC ACL Configuration

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Примечания могут содержать до 100 символов. Символы, превышающие лимит, не будут сохранены.

Примеры

Добавление примечания для описания MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# remark remark of List for mac

Удаление примечания из MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# no remark

Связанные команды

mac access-list

Назначение

Команда show access-list mac используется для отображения информации о MAC ACL.

Требования

Синтаксис

show access-list mac (ACL_NAME| )

Режим ввода

Privileged EXEC

Состояние по умолчанию

Нет

Применение

Если имя MAC ACL не задано, будут показаны все MAC ACL в системе.

Примеры

Вывод информации о MAC ACL:

Switch# show access-list mac

mac access-list list_mac_1
 10 deny src-mac host 0000.0001.0002
 20 permit src-mac any

Связанные команды

mac access-list

Назначение

Команда ip access-list используется для создания IP ACL и перехода в режим конфигурации IP ACL.

Чтобы удалить IP ACL, используйте команду no ip access-list.

Требования

Синтаксис

ip access-list ACL_NAME

no ip access-list ACL_NAME

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Если при создании IP ACL в системе уже существует IP ACL с таким же именем, будет выполнен вход в режим конфигурации существующего IP ACL. Однако, если имя ACL используется другим типом ACL, будет показано сообщение с подсказкой.

Если имя не используется ни одним ACL, будет создан IP ACL и затем выволнем вход в режим конфигурации IP ACL.

Примеры

Создание IP ACL с именем “list_ipv4_1” и переход в режим конфигурации IP ACL:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)#

Удаление IP ACL с именем list_ipv4_1:

Switch# configure terminal
Switch(config)# no ip access-list list_ipv4_1

Связанные команды

match access-group

Назначение

Команда deny используется для отбрасывания пакетов, соответствующих IP фильтру.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny (PROTO_NUM| any) (SRC_IP SRC_IP_MASK|any|host SRC_IP) (DST_IP DST_IP_MASK|any|host DST_IP) ( ip-precedence PRECEDENCE| dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) ( options| ) (packet-length OPERATOR LENGTH| )(TIME_RANGE_NAME| )

Режим ввода

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Если указана маска IP-адреса, производится логическое “И” IP-адреса с битами обратной маски. Например, 10.10.10.0 0.0.0.255 обозначает диапазон адресов от 10.10.10.0 до 10.10.10.255.

Если поле sequence-num не задано, фильтру будет присвоен автоматически генерируемый номер. Автоматически генерируемый номер увеличивается на 10 от максимального существующего номера в IP ACL. Например, если максимальный существующий номер 100, номер вновь созданного IP-фильтра будет 110.

Примеры

Создание фильтра в IP ACL для запрета любых IP пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny any any

Создание фильтра в IP ACL для запрета фрагментированных пакетов с IP-адресом источника 1.1.1.1:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny any host 1.1.1.1 any first-fragment

Создание фильтра в IP ACL для запрета любых маршрутизированных пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny any any any routed-packet

Связанные команды

no sequence-num

Назначение

Команда deny tcp используется для отбрасывания TCP пакетов, соответствующих IP фильтру.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny tcp (SRC_IP SRC_IP_MASK|any|host SRC_IP) (src-port OPERATOR SRC_PORT| ) (DST_IP DST_IP_MASK|any|host DST_IP) (dst-port OPERATOR DST_PORT| ) (ip-precedence PRECEDENCE| dscp DSCP| ) (ECN| ) (established| (match-any|match-all FLAG-NAME| ) | ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Фрагменты будут недействительными, если указана информация уровня L4 (например, src-port).

Примеры

Создание фильтра IP ACL для запрета любых TCP пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny tcp any any

Создание фильтра IP ACL для запрета TCP пакетов с IP-адресом источника 1.1.1.1 и портом источника 0 - 100:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny tcp host 1.1.1.1 src-port range 0 100 any

Создание фильтра IP ACL для запрета любых TCP пакетов в установленных TCP соединениях:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny tcp any any established

Создание фильтра IP ACL для запрета TCP пакетов с флагом ACK и IP-адресом источника 1.1.1.1:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# deny tcp 10.10.10.0 0.0.0.0 any match ack

Связанные команды

no sequence-num

Назначение

Команда deny udp используется для отбрасывания UDP пакетов, соответствующих IP-фильтру.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny udp (SRC_IP SRC_IP_MASK| any| host SRC_MAC) (src-port OPERATOR SRC_PORT| ) (DST_IP DST_IP_MASK|any|host DST_MAC) (dst-port OPERATOR DST_PORT| ) (ip-precedence PRECEDENCE| dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Фрагменты будут недействительными, если указана информация уровня L4 (например, src-port).

Примеры

Создание фильтра IP ACL для запрета любых UDP пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# 1 deny udp any any

Создание фильтра IP ACL для запрета UDP пакетов с IP-адресом источника 1.1.1.1, портом-источником 10 и портом назначения меньше 2000:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# 2 deny udp host 1.1.1.1 src-port eq 10 any dst-port lt 2000

Связанные команды

no sequence-num

Назначение

Команда deny icmp используется для отбрасывания ICMP пакетов, соответствующих IP фильтру.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny icmp (SRC_IP SRC_IP_MASK|any|host SRC_MAC) (DST_IP DST_IP_MASK|any|host DST_MAC) (icmp-type TYPE-NUM (icmp-code CODE-NUM| )| ) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Данный тип фильтра в основном используется для отбрасывания ICMP пакетов.

Примеры

Создание фильтра IP ACL для запрета любых ICMP пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# 1 deny icmp any any

Создание фильтра в IP ACL для запрета ICMP пакетов с типом icmp-type 3 и кодом icmp-code 3:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# 2 deny icmp any any icmp-type 3 icmp-code 3

Связанные команды

no sequence-num

Назначение

Команда deny icmp используется для отбрасывания ICMP пакетов, соответствующих IP фильтру.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny igmp (SRC_IP SRC_IP_MASK|any|host SRC_MAC) (DST_IP DST_IP_MASK|any|host DST_MAC) (IGMP-TYPE| ) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Данныйы тип фильтра используется для фильтрации ICMP пакетов.

Примеры

Создание фильтра в IP ACL для запрета любых ICMP пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)# 1 deny igmp any any

Создание фильтра в IP ACL для запрета ICMP пакетов с типом icmp-type 3 и кодом icmp-code 3: