11.5. Команды FLEX ACL

Назначение

Команда sequence-num используется для удаления фильтра из FLEX MAC ACL или FLEX IP ACL.

Требования

Синтаксис

no sequence-num SEQUENCE_NUM

Режим ввода

FLEX MAC ACL Configuration

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Пользователь может удалить ACL, который уже привязан к class-map и используется интерфейсом.

Примеры

Удаление фильтра с последовательным номером 10 из FLEX MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# no sequence-num 10

Удаление фильтра с последовательным номером 10 из FLEX IP ACL:

Switch# configure terminal
Switch(config)# ip access-list list_ip_1
Switch(config-ip-acl)# no sequence-num 10

Связанные команды

deny

deny tcp

deny udp

deny icmp

deny igmp

permit

permit tcp

permit udp

permit icmp

permit igmp

Назначение

Команда deny src-mac используется для создания MAC-фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny src-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR) (dest-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (untag-vlan (vlan VLAN_ID| ) (cos COS| ) (inner-vlan INNER_VLAN| ) (inner-cos INNER_COS| ) ) (protocol (arp(arp-op-code) |rarp| ETH_TYPE mask ETH_TYPE_MASK) |packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

FLEX MAC ACL Configuration

Состояние по умолчанию

Нет

Применение

Если параметр SEQUENCE_NUM не задан, порядковый номер будет присвоен автоматически. При этом он увеличивается на 10 относительно максимального существующего номера в FLEX MAC ACL. Например, если максимальный номер существующего фильтра равен 100, то порядковый номер следующего созданного MAC-фильтра будет 110. Данный тип фильтрации не поддерживается в исходящих ACL.

Примеры

Создание фильтра FLEX MAC ACL для отбрасывания пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 1 deny src-mac host 0058.3f2C.A1DF

Создание фильтра FLEX MAC ACL для отбрасывания всех пакетов:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 2 deny src-mac any

Создание фильтра FLEX MAC ACL для отбрасывания пакетов, у которых MAC-адрес источника находится в указанном диапазоне:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 3 deny src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда permit src-mac используется для создания MAC-фильтра, разрешающего доставку пакетов, соответствующих правилу фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) permit src-mac (any| MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR) (dest-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (untag-vlan (vlan VLAN)| ) (cos COS| ) (inner-vlan INNER_VLAN| ) (inner-cos INNER_COS| ) (protocol (arp (arp-op-code)|rarp|ETH_TYPE mask ETH_TYPE_MASK)|packet-length OPERATOR LENGTH| ) (TIME_RANGE_NAME| )

Режим ввода

FLEX MAC ACL Configuration

Состояние по умолчанию

Нет

Применение

Если параметр SEQUENCE_NUM не задан, порядковый номер будет присвоен автоматически. При этом он увеличивается на 10 относительно максимального существующего номера в FLEX MAC ACL. Например, если максимальный номер существующего фильтра равен 105, то порядковый номер следующего созданного MAC-фильтра будет 115. Данный тип фильтрации не поддерживается в исходящих ACL.

Примеры

Создание фильтра в FLEX MAC ACL для разрешения пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 1 permit src-mac host 0058.3f2C.A1DF

Создание фильтра в FLEX MAC ACL для разрешения всех пакетов:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 2 permit src-mac any

Создание фильтра в FLEX MAC ACL для разрешения пакетов с MAC-адресом источника, находящимся в указанном диапазоне:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# 3 permit src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда remark используется для добавления комментариев к FLEX MAC ACL.

Для удаления комментариев из FLEX MAC ACL используйте команду no remark.

Требования

Синтаксис

remark REMARK

no remark

Режим ввода

FLEX MAC ACL Configuration

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Комментарии могут быть длиной до 100 символов. Символы, превышающие допустимое количество, не будут сохранены.

Примеры

Добавление комментария для описания FLEX MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# remark remark of List for mac

Удаление комментария из FLEX MAC ACL:

Switch# configure terminal
Switch(config)# mac access-list list_mac_1
Switch(config-mac-acl)# no remark

Связанные команды

Нет

Назначение

Команда ip access-list используется для создания FLEX IP ACL и затем входа в режим конфигурации FLEX IP ACL.

Для удаления ACL используйте команду no ip access-list.

Требования

Синтаксис

ip access-list ACL_NAME

no ip access-list ACL_NAME

Режим ввода

Global Config

Состояние по умолчанию

Нет

Применение

Если FLEX IP ACL с таким же именем уже существует, будет выпонен вход в режим конфигурации FLEX IP ACL. Однако, если имя ACL используется другим типом ACL, будет выведено информационное сообщение.

Если имя не используется ни одним ACL, будет создан FLEX IP ACL, после чего выполнен вход в режим его конфигурации.

Примеры

Создание FLEX IP ACL с именем “list_ipv4_1” и вход в режим его конфигурации:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1
Switch(config-ip-acl)#

Удаление FLEX IP ACL с именем list_ipv4_1:

Switch# configure terminal
Switch(config)# no ip access-list list_ipv4_1

Связанные команды

match access-group

Назначение

Команда sequence-num используется для удаления фильтра из расширенного FLEX IP ACL.

Требования

Синтаксис

no sequence-num SEQUENCE_NUM

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Нет

Примеры

Удаление IP или MAC-фильтра с номером 10 из расширенного FLEX IP ACL:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# no sequence-num 10

Связанные команды

deny

deny udp

deny icmp

deny igmp

permit

permit tcp

permit udp

permit icmp

permit igmp

deny src-mac

permit src-mac

Назначение

Команда deny src-mac используется для создания фильтра, который отбрасывает текущие пакеты, соответствующие правилу фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny src-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR) (dest-mac (any| MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (vlan VLAN_ID| ) (cos COS| ) (inner-vlan INNER_VLAN_ID| ) (inner-cos INNER_COS| ) (arp-packet ((arp-op-code) (sender-ip (IP_ADDR IP_ADDR_MASK|any|host IP_ADDR) | ) (target-ip (IP_ADDR IP_ADDR_MASK|any|host IP_ADDR)| ))|packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Если параметр SEQUENCE_NUM не задан, порядковый номер будет присвоен автоматически. При этом он увеличивается на 10 относительно максимального существующего номера в FLEX IP ACL. Например, если максимальный текущий порядковый номер равен 100, порядковый номер для следующего созданного фильтра будет равен 110.

Примеры

Создание фильтра в расширенном FLEX IP ACL для отбрасывания пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 1 deny src-mac host 0058.3f2C.A1DF

Создание фильтра в расширенном FLEX IP ACL для отбрасывания всех пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 2 deny src-mac any

Создание фильтра в расширенном FLEX IP ACL для отбрасывания пакетов с MAC-адресом источника в указанных диапазонах:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 3 deny src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда permit src-mac используется для создания фильтра, который разрешает доставку пакетов, соответствующих правилу фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) permit src-mac (any| MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR) (dest-mac (any|MAC_ADDR MAC_ADDR_MASK|host MAC_ADDR)| ) (vlan VLAN_ID| ) (cos VALUE| ) (inner-vlan INNER_VLAN_ID| ) (inner-cos INNER_COS| ) (arp-packet ((arp-op-code) (sender-ip (IP_ADDR IP_ADDR_MASK|any|host IP_ADDR)| ) (target-ip (IP_ADDR IP_ADDR_MASK|any|host IP_ADDR)| ))|packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Если параметр SEQUENCE_NUM не задан, порядковый номер будет присвоен автоматически. При этом он увеличивается на 10 относительно максимального существующего номера в FLEX IP ACL. Например, если максимальный текущий Порядковый номер равен 105, Порядковый номер для следующего созданного фильтра будет 115.

Примеры

Создание фильтра в расширенном FLEX IP ACL для разрешения пакетов с MAC-адресом источника 0058.3f2C.A1DF:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-ac)# 1 permit src-mac host 0058.3f2C.A1DF

Создание фильтра в расширенном FLEX IP ACL для разрешения всех пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-ac)# 2 permit src-mac any

Создание фильтра в FLEX MAC ACL для разрешения пакетов с MAC-адресом источника в указанных диапазонах:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 3 permit src-mac 0058.3f2C.A1DF 0058.3f2C.0000

Связанные команды

no sequence-num

Назначение

Команда deny используется для отбрасывания идущих IP-пакетов, соответствующих правилу IP-фильтра.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny (PROTO_NUM| any ) (SRC_IP SRC_IP_MASK|any|host SRC_IP) (DST_IP DST_IP_MASK|any|host DST_IP) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Если указана маска IP-адреса, производится логическое “И” IP-адреса и маски. Например, 10.10.10.0 0.0.0.255 означает совпадение адресов от 10.10.10.0 до 10.10.10.255.

Если параметр SEQUENCE_NUM не задан, порядковый номер будет присвоен автоматически. При этом он увеличивается на 10 относительно максимального существующего номера в FLEX IP ACL. Например, если максимальный текущий Порядковый номер равен 100, Порядковый номер для следующего созданного фильтра будет 110.

Примеры

Создание фильтра в расширенном FLEX IP ACL для отбрасывания всех IP-пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acll)# 1 deny any any any

Создание фильтра в расширенном FLEX IP ACL для отбрасывания фрагментированных пакетов с исходным IP-адресом 1.1.1.1:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acll)# 2 deny any host 1.1.1.1 any

Создание фильтра в расширенном FLEX IP ACL для отбрасывания всех маршрутизированных пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acll)# 3 deny any any any routed-packet

Связанные команды

no sequence-num

Назначение

Команда deny tcp используется для блокирования TCP-пакетов, соответствующих фильтру IP.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny tcp (SRC_IP SRC_IP_MASK|any|host SRC_IP) (src-port OPERATOR SRC_PORT| ) (DST_IP DST_IP_MASK|any|host DST_IP) (dst-port OPERATOR DST_PORT| ) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (established| (match-any|match-all FLAG-NAME| )| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Фрагменты будут недействительными, если указана информация уровня L4 (например, src-port).

Примеры

Создание фильтра в расширенном FLEX IP ACL для блокирования любых TCP-пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 1 deny tcp any any

Создание фильтра в расширенном FLEX IP ACL для блокирования TCP-пакетов с исходным IP-адресом 1.1.1.1 и исходным портом 0 - 100:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 2 deny tcp host 1.1.1.1 src-port range 0 100 any

Создание фильтра в расширенном FLEX IP ACL для блокирования любых TCP-пакетов в установленных TCP-сессиях:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 3 deny tcp any any established

Создание фильтра в расширенном FLEX IP ACL для блокирования TCP-пакетов с флагом ACK и исходным IP-адресом 10.10.10.10:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 4 deny tcp 10.10.10.0 0.0.0.0 any match-all ack

Связанные команды

no sequence-num

Назначение

Данная команда используется для блокирования UDP-пакетов, соответствующих фильтру IP.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny udp (SRC_IP SRC_IP_MASK|any|host SRC_IP) (src-port OPERATOR SRC_PORT| ) (DST_IP DST_IP_MASK|any|host DST_IP) (dst-port OPERATOR DST_PORT| ) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )

Режим ввода

FLEX IP ACL Configuration

Состояние по умолчанию

Нет

Применение

Фрагменты пакетов будут недействительны при указании информации уровня L4 (например, src-port).

Примеры

Создание фильтра в FLEX IP ACL для блокирования любых UDP-пакетов:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 1 deny udp any any

Создание фильтра в FLEX IP ACL для блокирования UDP-пакетов с исходным IP-адресом 1.1.1.1, исходным портом 10 и портом назначения меньше 2000:

Switch# configure terminal
Switch(config)# ip access-list list_ipv4_1 extend
Switch(config-ex-ip-acl)# 2 deny udp host 1.1.1.1 src-port eq 10 any dst-port lt 2000

Связанные команды

no sequence-num

Назначение

Команда deny icmp используется для блокирования ICMP-пакетов, соответствующих фильтру IP.

Требования

Синтаксис

(SEQUENCE_NUM| ) deny icmp (SRC_IP SRC_IP_MASK|any|host SRC_IP) (DST_IP DST_IP_MASK|any|host DST_IP) (icmp-type TYPE-NUM (icmp-code CODE-NUM| )| ) (ip-precedence PRECEDENCE|dscp DSCP| ) (ECN| ) (non-fragment|first-fragment|non-or-first-fragment|small-fragment|non-first-fragment) (routed-packet| ) (options| ) (packet-length OPERATOR LENGTH| ) (time-range TIME-RANGE-NAME| )