網(wǎng)件XCM8800系列ACL基礎(chǔ)知識(shí)

　　網(wǎng)件netgear公司一直致力于網(wǎng)絡(luò)技術(shù)創(chuàng)新，專注于產(chǎn)品的可靠性以及易用性提升，他生產(chǎn)的路由器設(shè)備功能強(qiáng)大，那么你了解網(wǎng)件XCM8800系列ACL基礎(chǔ)知識(shí)嗎?下面是學(xué)習(xí)啦小編整理的一些關(guān)于網(wǎng)件XCM8800系列ACL基礎(chǔ)知識(shí)的相關(guān)資料，供你參考。

　　網(wǎng)件XCM8800系列ACL基礎(chǔ)知識(shí)：

　　一、基于Policy的ACL：

　　建立一個(gè)ACL的策略并將ACL的策略應(yīng)用到一個(gè)端口集中列表，一個(gè)VLAN或者所有的端口。

　　步驟1：

　　步驟2：

　　查看策略是否已寫成功命令：# check policy <policyname>

　　當(dāng)編寫完policy時(shí)，需要檢查policy語法是否已寫正確,當(dāng)屏幕回顯： “Policy file check successful.” 說明策略的語法已通過測(cè)試.

　　要注意的是：上面回顯只代表書寫語法正確，不代表在策略含義上已寫對(duì)并能匹配到正確的流量。

　　步驟3：

　　將ACL的Policy應(yīng)用到端口、VLAN、所有接口：

　　#configure access-list <policyname> {any | ports <portlist> | vlan <vlanname>｝

　　{ingress|egress｝

　　從端口上移除 ACL的Policy：

　　#unconfigure access-list <policyname> {any | ports <portlist> | vlan <vlanname>｝{ingress | egress｝

　　注意：應(yīng)用到VLAN的ACL情況等同于應(yīng)用到所有的接口，而不是只應(yīng)用到VLAN所包括的端口。

　　具體例子：

　　要求：

　　在XCM8800系列的交換機(jī)上建立一個(gè)ACL拒絕流量從源為10.203.134.0/24，端口是:190, 到目的主機(jī)：140.158.18.16/32,端口為：1200到1250的UDP流量。

　　放行其它流量。

　　在1：10端口入站方向(ingress)應(yīng)用。

　　#edit policy udpacl

　　entry comeonA {

　　If {

　　source-address 10.203.134.0/24;

　　destination-address 140.158.18.16/32;

　　protocol udp;

　　source-port 190;

　　destination-port 1200 – 1250;

　　}

　　then {

　　deny;

　　}

　　entry comeonB{

　　if {｝

　　then{permit;｝

　　編寫要點(diǎn)：

　　policy 和entry名字可以不一樣，entry間的名字要求不一樣。

　　上面的示例中使用到的“{｝”只要成對(duì)出現(xiàn)即可，不需要考慮前后是否存在空格。

　　由于默認(rèn)是禁止所有流量通行，需要在comeonB中放行其它流量。

　　將ACL應(yīng)用在入站方向(ingress)上,要match所有流量只需要使用“if {｝”即可，

　　如果應(yīng)用在出站方向(egress)上，match 所有流量需要使用“if {source-address 0.0.0.0/0｝”

　　上面的例子comeonB只應(yīng)用到ingress 方向，所以采用“if {｝”

　　在最后的“｝”的下一行開始，每一行必須要帶有“~”符號(hào)開始，將不需要的空行、空格或文字刪除，這時(shí)才能在check policy udpacl中檢查policy成功。

　　在全局模式下(“#”)對(duì)policy需要使用到的檢查、查看、更名、刪除policy的命令

　　#check policy <policyname> //policyname后面不需要加后綴名

　　例如： #check policy udpacl

　　查看所有或單個(gè)文件，包括policy：

　　#ls 或#ls <policyname. suffix> //后面需要加入后綴名(suffix)

　　例如：#ls udpacl.pol

　　更名一個(gè)文件或一個(gè)policy:

　　#mv <policyname. suffix> <policyname. suffix> //將前一個(gè)文件名改為后一個(gè)文件名 ,且要加后綴名。

　　例 如：#mv udpacl.pol www.pol

　　刪除一個(gè)文件或一個(gè)policy:

　　#rm <policyname. suffix> //刪除www的policy,且要加后綴名。此處只作命令說明，對(duì)上面所舉例子不作實(shí)際刪除

　　例如：#rm www.pol

　　應(yīng)用ACL到接口

　　#configure access-list udpacl ports 1:10 ingress

　　最后不要忘記保存所有配置，包括ACL列表的應(yīng)用

　　#save

　　二、動(dòng)態(tài)ACL：

　　動(dòng)態(tài)ACL的建立直接使用CLI界面，它的使用相似于policy的ACL的表達(dá)方式，能完成相同的動(dòng)作，簡(jiǎn)單且直觀。多條的動(dòng)態(tài)ACL可以被應(yīng)用到一個(gè)接口上，條目應(yīng)用的優(yōu)先級(jí)別也可以被配置。動(dòng)態(tài)ACL比policy 的ACL應(yīng)用到接口有更高的優(yōu)先級(jí)別，在理解XCM8800系列的交換機(jī)的ACL配置語法的情況下，一般更多會(huì)使用動(dòng)態(tài)ACL。

　　表達(dá)方式：

　　#create access-list <dynamic-rule> <conditions> <actions> [non-permanent]

　　<dynamic-rule> //表示ACL的名字，在動(dòng)態(tài)ACL中必須是唯一的，但它可以和policy的ACL重名。

　　<conditions> //表示的條件，等同于policy中的if{……}，使用“;”分隔條件。

　　<action> //表示的動(dòng)作，等同于policy中的then{……}，使用“;”分隔條件。

　　[non-permanent] //可選項(xiàng)，默認(rèn)為永久保留。使用此命令后，save 保存配置后，動(dòng)態(tài)ACL不被保留

　　應(yīng)用動(dòng)態(tài)ACL到接口：

　　configure access-list add [ [[first | last] {priority } {zone } ] | [[before | after] ] | [ priority {zone } ]] [ any | vlan | ports ] {ingress | egress}

　　first //在寫入多條 ACL 時(shí)，作為第一條需要匹配的 ACL 列表在最前

　　last //在寫入多條ACL時(shí)，作為最后一條需要匹配的ACL列表在最后

　　before //指定該ACL放置在某一條ACL之前，后面參數(shù)需要寫入一條ACL的名字

　　after //指定該ACL放置在另一條ACL之后，后面的參數(shù)需要寫入一條ACL的名字

　　從接口中移除動(dòng)態(tài)ACL

　　configure access-list delete [ any | vlan | ports | all] {ingress | egress}

　　具體例子：

　　要求：對(duì)于ICMP協(xié)議的流量進(jìn)行匹配，并統(tǒng)計(jì)數(shù)包數(shù)量并在管理端口上禁止PING入:

　　#create access-list icmp-echo “protocol icmp;icmp-type echo-request””deny;count echo”

　　以上條目解釋：

　　icmp-echo //給動(dòng)態(tài)ACL起名字，表明本ACL針對(duì)icmp的echo包。

　　“protocol icmp; //條件中的一個(gè)選項(xiàng)，表明需要匹配到的協(xié)議是ICMP，條件最前面用雙引號(hào),條件間用冒號(hào)分隔。

　　icmp-type echo-request; //條件中的另一個(gè)選項(xiàng)，ICMP的類型是 echo-request,條件間用冒號(hào)分隔，條件陳述完使用雙引號(hào)結(jié)束狀態(tài)。

　　“deny” //另一個(gè)雙引號(hào)代表動(dòng)作選項(xiàng)為deny，仍然需要使用雙引號(hào)。默認(rèn)最后為永久保存型。

　　將動(dòng)態(tài)ACL應(yīng)用到管理接口入站方向：

　　#configure access-list add “icmp-echo” vlan “Mgmt” ingress

　　以上條目解釋：

　　add //增加一個(gè)條目

　　“icmp-echo” //表示動(dòng)態(tài)ACL的名字,需要雙引號(hào)

　　vlan //應(yīng)用到的是管理VLAN

　　“Mgmt” //管理VLAN的名字是Mgmt，需要雙引號(hào)

　　查看動(dòng)態(tài)ACL丟棄ICMP包的數(shù)目

　　#show access-list dynamic counter

　　移除動(dòng)態(tài)ACL

　　#configure access-list del “icmp-echo” vlan “Mgmt”

　　#del access-list “icmp-echo”

　　清除ACL中ICMP包的數(shù)目

　　#clear access-list dynamic counter

　　最后不要忘記保存所有配置，包括ACL列表的應(yīng)用

　　#save

　　看過文章“網(wǎng)件XCM8800系列ACL基礎(chǔ)知識(shí)”的人還看了：

　　1.路由器知識(shí)全解

　　2.路由器的配置基礎(chǔ)知識(shí)

　　3.路由器基本知識(shí)全解

　　4.路由器知識(shí)點(diǎn)大全

　　5.路由器安裝

　　6.路由器簡(jiǎn)介知識(shí)大全

　　7.IP路由基礎(chǔ)知識(shí)全解

　　8.路由器協(xié)議知識(shí)大全

　　9.路由器協(xié)議基礎(chǔ)知識(shí)大全

　　10.關(guān)于路由模式的基礎(chǔ)知識(shí)的介紹