操作手冊安全功能操作

安全功能操作目錄目錄第1章ACL配置 1-1ACL安全功能操作目錄目錄第1章ACL配置 1-1ACL介紹 1-1Access-list 1-1Access-group 1-1Access-list動作及全局默認動作 1-1ACL配置 1-2ACL舉例 1-18ACL排錯幫助 1-22第2章802.1x配置 2-12.1802.1x介紹 2-12.1.1802.1x認證體系結構 2-12.1.2802.1x工作機制 2-2EAPOL消息的封裝 2-3EAP屬性的封裝 2-42.1.5802.1x認證方式 2-52.1.6802.1x的擴展和優(yōu)化 2-102.1.7VLAN分配特性 2-112.2802.1x配置 2-122.3802.1x應用舉例 2-14GuestVlan應用舉例 2-14802.1x與IPv4Radius應用舉例 2-17802.1x與IPv6Radius應用舉例 2-182.4802.1x排錯幫助 2-19第3章端口、VLAN中MAC、IP數(shù)量限制功能配置 3-3.4端口、VLAN中MAC、IP數(shù)量限制功能簡介 3-1端口、VLAN中MAC、IP數(shù)量限制功能配置任務序列 3-2端口、VLAN中MAC、IP數(shù)量限制功能典型案例 3-4端口、VLAN中MAC、IP數(shù)量限制功能排錯幫助 3-4第4章AM功能操作配置 4-11安全功能操作目錄AM功能簡介 4-1AM功能配置任務序列 4-1AM功能典型案例 4-3安全功能操作目錄AM功能簡介 4-1AM功能配置任務序列 4-1AM功能典型案例 4-3AM功能排錯幫助 4-3第5章TACACS+配置 5-1TACACS+簡介 5-1TACACS+配置 5-1TACACS+典型案例 5-2TACACS+排錯幫助 5-2第6章RADIUS配置 6-1RADIUS簡介 6-1AAA與RADIUS簡介 6-1RADIUS協(xié)議的報文結構 6-1RADIUS配置 6-3RADIUS典型案例 6-5IPv4Radius應用舉例 6-5IPv6Radius應用舉例 6-5RADIUS排錯幫助 6-6第7章SSL配置 7-1SSL簡介 7-1SSL基本原理 7-1SSL配置任務序列 7-2SSL典型案例 7-3SSL排錯幫助 7-4第8章IPv6安全RA配置 8-1IPv6安全RA簡介 8-1IPv6安全RA配置任務序列 8-1IPv6安全RA典型案例 8-2IPv6安全RA排錯幫助 8-22安全功能操作目錄第9章VLAN-ACL配置 9-1VLAN-ACL功能簡介 9-1VLAN-ACL安全功能操作目錄第9章VLAN-ACL配置 9-1VLAN-ACL功能簡介 9-1VLAN-ACL功能配置任務序列 9-1VLAN-ACL功能配置案例 9-3VLAN-ACL排錯幫助 9-4第10章MAB配置 10-1MAB介紹 10-1MAB基本配置 10-1MAB舉例 10-3MAB排錯幫助 10-611章PPPoE中間配置 11-1PPPoEIntermediateAgent介紹 11-1PPPoE簡介 11-1PPPoEIA介紹 11-1PPPoEIntermediateAgent配置任務序列 11-5PPPoEIntermediateAgent典型應用 11-7PPPoEIntermediateAgent排錯幫助 11-9第12章SAVI配置 12-1SAVI介紹 12-1SAVI配置 12-1SAVI典型應用 12-4SAVI排錯幫助 12-6第13章WebPortal操作配置 13-1WebPortal認證功能簡介 13-1WebPortal認證功能配置任務序列 13-1WebPortal認證功能典型案例 13-3WebPortal認證功能排錯幫助 13-43安全功能操作1章ACL配置第1ACL配置1.1ACL介紹ACLAccessControlLists)是交換機實現(xiàn)的一種數(shù)據(jù)或拒絕特定進行安全功能操作1章ACL配置第1ACL配置1.1ACL介紹ACLAccessControlLists)是交換機實現(xiàn)的一種數(shù)據(jù)或拒絕特定進行所采取的動作： 交換機端口的換機。ACL規(guī)則進入交1.1.1Access-list(rule)rule包括了過濾信息及匹配此rule時應采取的動作。Rule包含的信息可以包括源MAC、目的MAC、源IP、目的IP、IP協(xié)議號、TCP端口、UDP端口等條件的有效組合。根據(jù)不同的標準，access-list可以有如下分類： （二層信息），mac-ipaccess-list（二層以上信息）。 (standard)和擴展(extended)，擴展方式可以指定更加細致過濾信息。 根據(jù)命名方式：數(shù)字(numbered)和命名(named)。ACL的說明應當從這三個方面加以描述。1.1.2Access-groupaccess-list之后，就可以把他們分別應用到不同端口的您建立了一條access-group之后，流經(jīng)此端口此方向的所有數(shù)據(jù)包都會試圖匹配指定的access-list規(guī)則，以決定交換動作是(permit)或拒絕(deny)。另外還可以在端口加上對ACL規(guī)則統(tǒng)計計數(shù)器，以便統(tǒng)計符合ACL規(guī)則數(shù)據(jù)包的數(shù)量。1.1.3Access-list動作及全局默認動作1-1安全功能操作1章ACL配置Access-list動作及默認動作分為兩種或拒絕通過(deny) （rule），其后的規(guī)則（rule）不再進行匹配。全局默認動作只對端口方向的數(shù)據(jù)流量有效。 只有在 濾功能打開且端口上沒有綁定任何的ACL或不匹配任何綁定的ACL時才會匹配的全局的默認動作。1.2ACL配置ACL配置任務序列如下：.(1)(2)(3)IPIPIP列表a)b)c)IP列表deny規(guī)則表項表配置模式)IP安全功能操作1章ACL配置Access-list動作及默認動作分為兩種或拒絕通過(deny) （rule），其后的規(guī)則（rule）不再進行匹配。全局默認動作只對端口方向的數(shù)據(jù)流量有效。 只有在 濾功能打開且端口上沒有綁定任何的ACL或不匹配任何綁定的ACL時才會匹配的全局的默認動作。1.2ACL配置ACL配置任務序列如下：.(1)(2)(3)IPIPIP列表a)b)c)IP列表deny規(guī)則表項表配置模式)IP列表a)b)c)IP列表deny規(guī)則表項表配置模式(5)(6)(7)配置數(shù)字標準MAC配置數(shù)字擴展MAC配置命名擴展MAC列表a)b)c)MAC列表deny規(guī)則表項MAC表配置模式MAC-IPMAC-IP列表列表a)b)c)(10)MAC-IP列表deny規(guī)則表項MAC-IP表配置模式IPv6列表列表列表IPv6IPv6)IPv6)deny規(guī)則表項c)IPv6表配置模式)IPv6列表1-2安全功能操作1章ACL配置a)b)c)2.配置IPv6列表deny規(guī)則表項IPv6濾功能表配置模式（1）全局打開濾功能（2）配置默認動作(defaultaction)創(chuàng)建時間范圍名稱配置周期性時段配置絕對性時段4.5.綁定到特定端口的特定方向濾統(tǒng)計信息1.(1)配置數(shù)字標準安全功能操作1章ACL配置a)b)c)2.配置IPv6列表deny規(guī)則表項IPv6濾功能表配置模式（1）全局打開濾功能（2）配置默認動作(defaultaction)創(chuàng)建時間范圍名稱配置周期性時段配置絕對性時段4.5.綁定到特定端口的特定方向濾統(tǒng)計信息1.(1)配置數(shù)字標準IP列表(2)配置數(shù)字擴展IP列表1-3命令解釋全局配置模式access-list<num>{deny|permit}icmp{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[<icmp-type>[<icmp-code>]][precedence<prec>][tos<tos>][time-range<time-range-name>]ICMPIP訪問列表，如果已有此列表，則增加一條規(guī)則（rule）表項。access-list<num>{deny|permit}igmp{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[<igmp-type>][precedence<prec>][tos<tos>][time-range<time-range-name>]IGMPIP訪問列表，如果已有此列表，則增加一條規(guī)則（rule）表項。命令解釋全局配置模式access-list<num>{deny|permit}{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}noaccess-list<num>創(chuàng)建一條數(shù)字標準IP 如果已有此列表，則增加一條規(guī)則（rule）表項；本命令的no操作為刪除一條數(shù)字標準IP 列表。安全功能操作1章ACL配置(3)IP列表a.IP列表b.permitdeny規(guī)則1-4命令解釋命名標準IP 列表配置模式[no]{deny安全功能操作1章ACL配置(3)IP列表a.IP列表b.permitdeny規(guī)則1-4命令解釋命名標準IP 列表配置模式[no]{deny|permit}{{<sIpAddr><sMask >} | any-source |{host-source<sIpAddr>}}創(chuàng)建一條命名標準IP 規(guī)（le本命令的no操作為刪除此命名標準IP 規(guī)則（l命令解釋全局配置模式ipaccess-liststandard<name>no ip access-list standard<name>創(chuàng)建一條命名標準IP 列表；本命令的no作為刪除此命名標準IP 。access-list<num>{deny|permit}tcp{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[d-port{<dPort>|range <dPortMin> [ack+fin+psh+rst+urg+syn][precedence<prec>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條TCP數(shù)字擴展IP列表，如果已有此 增加一條規(guī)則（rule）表項。access-list <num> {deny | permit} udp{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[d-port{<dPort>|range<dPortMin><dPortMax>}][precedence <prec>] <tos>][time-range<time-range-name>]UDP數(shù)字擴展IP列表，如果已有此 增加一條規(guī)則（rule）表項。access-list<num>{deny|permit}{eigrp|gre|igrp|ipinip|ip|ospf|<protocol-num>}{{<sIpAddr><sMask>}|any-source|{host-source<sIpAddr>}}{{<dIpAddr><dMask>}|any-destination|{host-destination<dIpAddr>}}[precedence <prec>] <tos>][time-range<time-range-name>]IP協(xié)議或所有IP協(xié)議的數(shù)字擴展IP訪問列表，如果已有此列表，則增加一條規(guī)則（rule）表項。noaccess-list<num>刪除一條數(shù)字擴展IP 安全功能操作1章ACL配置c.命名標準IP列表配置模式(4)IP列表a.IP列表b.permitdeny規(guī)則1-5命令解釋命名擴展IP 列表配置模式[no] {deny | permit} icmp {{<sIpAddr><sMask>} | any-source | {host-source<sIpAddr>}} {{<dIpAddr> <dMask>} any-destination | 安全功能操作1章ACL配置c.命名標準IP列表配置模式(4)IP列表a.IP列表b.permitdeny規(guī)則1-5命令解釋命名擴展IP 列表配置模式[no] {deny | permit} icmp {{<sIpAddr><sMask>} | any-source | {host-source<sIpAddr>}} {{<dIpAddr> <dMask>} any-destination | <dIpAddr>}} [<icmp-type> [precedence <prec>] <tos>][time-range<time-range-name>]icmpIP則（l本命令的o操作為刪除此命名擴展IP 規(guī)則（l[no] {deny | permit} igmp {{<sIpAddr><sMask>} | any-source | {host-source<sIpAddr>}} {{<dIpAddr> <dMask>} any-destination | <dIpAddr>}} [<igmp-type>] [precedence<prec>] [tos<tos>][time-range<time-range-name>]創(chuàng)建一條igmp命名擴展IP則（l本命令的o操作為刪除此命名擴展IP 規(guī)則（l[no]{deny|permit}tcp{{<sIpAddr><sMask>}| any-source | {host-source [s-port {<sPort> | range <sPortMax>}] {{<dIpAddr> <dMask>} any-destination | {host-destination<dIpAddr>}} [d-port {<dPort> | range<dPortMin> [ack+fin+psh+rst+urg+syn] [precedence<prec>] [tos<tos>][time-range<time-range-name>]規(guī)（lo除此命名擴展IP（l命令解釋全局配置模式ipaccess-listextended<name>no ip access-list extended<name>創(chuàng)建一條命名擴展IP 列表；本命令的no作為刪除此命名擴展IP 。命令解釋命名標準IP 列表配置模式exit命名標準IP 配置模式。安全功能操作1章ACL配置c.命名擴展IP列表配置模式(5)配置數(shù)字標準MAC列表(6)配置數(shù)字擴展MAC列表1-6命令解釋全局配置模式命令解釋全局配置模式access-list<num>{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac>安全功能操作1章ACL配置c.命名擴展IP列表配置模式(5)配置數(shù)字標準MAC列表(6)配置數(shù)字擴展MAC列表1-6命令解釋全局配置模式命令解釋全局配置模式access-list<num>{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac><smac-mask>}}noaccess-list<num>mac列表，如果已有此列表，則增加一條規(guī)則（rule）表項；no操作為刪除一條數(shù)字標準mac訪問列表。命令解釋命名擴展IP 列表配置模式exit命名擴展IP 配置模式。[no]{deny|permit}udp{{<sIpAddr><sMask>}| any-source | {host-source [s-port {<sPort> | range <sPortMax>}] {{<dIpAddr> <dMask>} any-destination | {host-destination<dIpAddr>}} [d-port {<dPort> | range<dPortMin> <dPortMax>}] [precedence<prec>] [tos<tos>][time-range<time-range-name>]創(chuàng)建一條udp命名擴展IP規(guī)（lo除此命名擴展IP（l[no]{deny|permit}{eigrp|gre|igrp|ipinip|ip|ospf|<protocol-num>}{{<sIpAddr><sMask>} | any-source | {host-source<sIpAddr>}} {{<dIpAddr> <dMask>} any-destination | <dIpAddr>}} [precedence <prec>] [tos<tos>][time-range<time-range-name>]創(chuàng)建一條匹配其他特定IP協(xié)議或所有IP協(xié)議的數(shù)字擴展IP規(guī)則；如果此編號數(shù)字擴展列表不存在則創(chuàng)建此列表。安全功能操作1章ACL配置(7)MAC列表a.MAC列表b.permitdeny規(guī)則表項1-7命令解釋安全功能操作1章ACL配置(7)MAC列表a.MAC列表b.permitdeny規(guī)則表項1-7命令解釋擴展MAC 列表配置模式命令解釋全局配置模式mac-access-listextended<name>nomac-access-listextended<name>創(chuàng)建一條命名擴展MAC 列表；本命令的操作為刪除此命名擴展MAC 列表。access-list <num> {deny|permit} {any-source-mac|{host-source-mac<host_smac>}|{<smac><smac-mask>}}{any-destination-mac|{host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[{untagged-eth2|tagged-eth2|untagged-802-3|tagged-802-3}[<offset1><length1><value1>[<offset2><length2><value2>[<offset3><length3><value3>[<offset4><length4><value4>]]]]]noaccess-list<num>創(chuàng)建一條數(shù)字擴展mac列表，如果已有此列表，則增加一條令的no操作為刪除一條數(shù)字擴展mac列表。安全功能操作1章ACL配置1-8[no]{deny|安全功能操作1章ACL配置1-8[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[cos<cos-val>[<cos-bitmask>]][vlanId<vid-value>[<vid-mask>]][ethertype<protocol>[<protocol-mask>]][no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>} | {<dmac> <dmac-mask>}} [ethertype<protocol>[<protocol-mask>]][no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac |{host-destination-mac<host_dmac>} |{<dmac><dmac-mask>}}[vlanid<vid-value>[<vid-mask>][ethertype<protocol>[<protocol-mask>]]]創(chuàng)建一條匹配普通MAC幀名擴展MAC規(guī)則(rule)；no操作為刪除此命名擴展MAC規(guī)則（rule）[no]{deny|permit}{any-source-mac|{host-source-mac<hostst-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[untagged-eth2[ethertype<protocol>[protocol-mask]]]創(chuàng)建一條匹配untagged以太網(wǎng)2幀類型 規(guī)則(rule)；no操作為刪除此命名擴展MAC 規(guī)則（rule）[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[untagged-802-3]創(chuàng)建一條匹配untagged802.3幀類型名擴展MAC訪問規(guī)則(rule)；no操作為刪除此命名擴展MAC規(guī)則（rule）[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{<smac><smac-mask>}}{any-destination-mac|{host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[tagged-eth2[cos<cos-val>[<cos-bitmask>]][vlanId<vid-value> [<vid-mask>]] [ethertype<protocol>[<protocol-mask>]]]tagged2幀類型名擴展MAC規(guī)則(rule)；no操作為刪除此命名擴展MAC訪問規(guī)則（rule）安全功能操作1章ACL配置c.MAC表配置模式(8)配置數(shù)字擴展MAC-IP列表1-9命令解釋全局配置模式access-list<num>{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac>安全功能操作1章ACL配置c.MAC表配置模式(8)配置數(shù)字擴展MAC-IP列表1-9命令解釋全局配置模式access-list<num>{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac><smac-mask>}} {any-destination-mac |{host-destination-mac <host_dmac>} |{<dmac><dmac-mask>}} icmp {{<source><source-wildcard>} | any-source | {host-source<source-host-ip>}} {{<destination><destination-wildcard>} | any-destination |{host-destination <destination-host-ip>}} [<icmp-code>]][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條MAC-ICMP數(shù)字擴展mac-ip列表，如果已有此訪問列表，則增加一條規(guī)則（rule）表項。access-list<num>{deny|permit}{any-source-mac|{host-source-mac <host_smac>} | {<smac><smac-mask>}} {any-destination-mac |{host-destination-mac <host_dmac>} | {<dmac><dmac-mask>}}igmp {{<source><source-wildcard>}|any-source | {host-source {{<destination><destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[<igmp-type>][precedence <precedence>] [tos <tos>] <time-range-name>]創(chuàng)建一條MAC-IGMP數(shù)字擴展mac-ip列表，如果已有此訪問列表，則增加一條規(guī)則（rule）表項。命令解釋擴展MAC 列表配置模式exit命名擴展MAC 列表配置模式[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}[tagged-802-3[cos<cos-val>[<cos-bitmask>]][vlanId<vid-value>[<vid-mask>]]]tagged802.3幀類型名擴展MAC規(guī)則此命名擴展MAC安全功能操作1章ACL配置1-10access-list<num>{deny安全功能操作1章ACL配置1-10access-list<num>{deny|permit}{any-source-mac|{host-source-mac <host_smac>} | {<smac><smac-mask>}} {any-destination-mac |{host-destination-mac <host_dmac>} | {<dmac><dmac-mask>}}tcp{{<source><source-wildcard>}|any-source|{host-source<source-host-ip>}}[s-port{<port1> | range <sPortMin> <sPortMax>}]{{<destination><destination-wildcard>}|any-destination| {host-destination <destination-host-ip>}} [d-port{<port3> | range <dPortMin> <dPortMax>}][ack+fin+psh+rst+urg+syn][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條MAC-TCP數(shù)字擴展mac-ip列表，如果已有此訪問列表，則增加一條規(guī)則（rule）表項。access-list<num>{deny|permit}{any-source-mac|{host-source-mac <host_smac>} | {<smac><smac-mask>}} {any-destination-mac |{host-destination-mac <host_dmac>} |{<dmac><dmac-mask>}} udp {{<source><source-wildcard>} | any-source | {host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax>}]{{<destination><destination-wildcard>}|any-destination | {host-destination<destination-host-ip>}} [d-port {<port3> | range<dPortMin><dPortMax>}][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條MAC-UDP數(shù)字擴展mac-ip列表，如果已有此訪問列表，則增加一條規(guī)則（rule）表項。access-list<num>{deny|permit}{any-source-mac|{host-source-mac <host_smac>} | {<smac><smac-mask>}} {any-destination-mac |{host-destination-mac <host_dmac>} |{<dmac><dmac-mask>}}{eigrp|gre|igrp|ip|ipinip|ospf|{<protocol-num>}}{{<source><source-wildcard>}|any-source| {host-source<source-host-ip>}}{{<destination><destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[precedence<precedence>] [tos <tos>] [time-range<time-range-name>]創(chuàng)建一條匹配其他特協(xié)議或所協(xié)議的數(shù)字擴展mac-ip列表，如果已有此列表，則增加一條規(guī)則（rule）表項。noaccess-list<num>刪除一條數(shù)字擴展MAC-IP 列表。安全功能操作1章ACL配置(9)MAC-IP列表a.MAC-IP列表b.permitdeny規(guī)則表項命令解釋安全功能操作1章ACL配置(9)MAC-IP列表a.MAC-IP列表b.permitdeny規(guī)則表項命令解釋MAC-IP 列表配置模式[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>}|{<smac><smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}icmp{{<source><source-wildcard>}|any-source|{host-source<source-host-ip>}}{{<destination><destination-wildcard>}|any-destination|{host-destination<destination-host-ip>}}[<icmp-type>[<icmp-code>]][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條mac-icmp命名擴展MAC則（lo操作為刪除此命名擴展MAC-IP 規(guī)則（l[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>} | {<dmac> <dmac-mask>}} igmp{{<source> <source-wildcard>} | any-source |{host-source <source-host-ip>}} {{<destination><destination-wildcard>} | any-destination |{host-destination<destination-host-ip>}}[<igmp-type>][precedence <precedence>] [tos <tos>] <time-range-name>]創(chuàng)建一條mac-igmpMAC-IP訪問規(guī)則（le；no操作為刪除此命名擴規(guī)則（l命令解釋全局配置模式mac-ip-access-listextended<name>nomac-ip-access-listextended<name>列表。安全功能操作1章ACL配置c.MAC-IP表配置模式1-12命令解釋MAC-IP 列表配置模式[no]{deny安全功能操作1章ACL配置c.MAC-IP表配置模式1-12命令解釋MAC-IP 列表配置模式[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}tcp{{<source><source-wildcard>} | any-source | {host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax>}]{{<destination><destination-wildcard>}|any-destination | {host-destination<destination-host-ip>}} [d-port {<port3> | range<dPortMin> <dPortMax>}] [precedence <precedence>] [tos <tos>] <time-range-name>]MAC-IP則（lo操作為刪除此命名擴展MAC-IP 規(guī)則（l[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}udp{{<source><source-wildcard>} | any-source | {host-source<source-host-ip>}}[s-port{<port1>|range<sPortMin><sPortMax>}]{{<destination><destination-wildcard>}|any-destination | {host-destination<destination-host-ip>}} [d-port {<port3> | range<dPortMin><dPortMax>}][precedence<precedence>][tos<tos>][time-range<time-range-name>]創(chuàng)建一條mac-udp命MAC-IP則（lo操作為刪除此命名擴展MAC-IP 規(guī)則（l[no]{deny|permit}{any-source-mac|{host-source-mac<host_smac>} | {<smac> <smac-mask>}}{any-destination-mac | {host-destination-mac<host_dmac>}|{<dmac><dmac-mask>}}{eigrp|gre|igrp|ip|ipinip|ospf|{<protocol-num>}}{{<source><source-wildcard>} | any-source | {host-source<source-host-ip>}} {{<destination><destination-wildcard>} | any-destination |{host-destination <destination-host-ip>}} [precedence<precedence>] [tos <tos>] [time-range<time-range-name>]創(chuàng)建一條mac-ip其他協(xié)議類型名擴展MAC-IP 規(guī)則（lo操作為刪除此命名擴展MAC-IP 規(guī)則（l安全功能操作1章ACL配置(10)IPv6列表(11)配置數(shù)字擴展IPv6列表1-13命令解釋全局配置模式命令解釋全局配置模式ipv6access-list<num>安全功能操作1章ACL配置(10)IPv6列表(11)配置數(shù)字擴展IPv6列表1-13命令解釋全局配置模式命令解釋全局配置模式ipv6access-list<num>{deny|permit}{{<sIPv6Addr><sPrefixlen>}|any-source | <sIpv6Addr>}}noipv6access-list<num>有此列表，則增加一條規(guī)則（rule）表IPv6列表。exit擴展MAC-IP 列表配置模式安全功能操作1章ACL配置)IPv6a)IPv6列表列表安全功能操作1章ACL配置)IPv6a)IPv6列表列表1-14命令解釋全局配置模式ipv6access-list<num-ext>{deny|permit}icmp{{<sIPv6Prefix/sPrefixlen>} | any-source |{host-source <sIPv6Addr>}}{<dIPv6Prefix/dPrefixlen> | any-destination |{host-destination <dIPv6Addr>}} [<icmp-code>]] [dscp <dscp>] <fl>][time-range<time-range-name>]ipv6access-list<num-ext>{deny|permit}tcp{{<sIPv6Prefix/sPrefixlen>} | any-source |{host-source<sIPv6Addr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{{<dIPv6Prefix/dPrefixlen>}|any-destination|{host-destination<dIPv6Addr>}}[dPort{<dPort>|range<dPortMin><dPortMax>}][syn|ack|urg|rst|fin|psh][dscp<dscp>][flow-label<flowlabel>][time-range<time-range-name>]ipv6access-list<num-ext>{deny|permit}udp{{<sIPv6Prefix/sPrefixlen>} | any-source |{host-source<sIPv6Addr>}}[s-port{<sPort>|range <sPortMin> {{<dIPv6Prefix/dPrefixlen>} | any-destination |{host-destination<dIPv6Addr>}}[dPort{<dPort>|range<dPortMin><dPortMax>}][dscp<dscp>][flow-label<flowlabel>][time-range<time-range-name>]ipv6 access-list <num-ext> {deny | permit}<next-header> {<sIPv6Prefix/sPrefixlen> any-source | {host-source {<dIPv6Prefix/dPrefixlen> | any-destination |{host-destination<dIPv6Addr>}}[dscp<dscp>][flow-label<fl>][time-range<time-range-name>]noipv6access-list<num>IPV6列表，如果已有此 列表，令的no操作為刪除一條數(shù)字標準IP 列表。安全功能操作1章ACL配置b)permitdeny規(guī)則c)IPV6列表配置模式(13)IPv6a)IPv6列表列表permitdeny規(guī)則1-15命令解釋命名擴展IP 列表配置模式[no] {deny | permit} icmp{{<sIPv6Prefix/sPrefixlen>} | any-source |{host-source <sIPv6Addr>安全功能操作1章ACL配置b)permitdeny規(guī)則c)IPV6列表配置模式(13)IPv6a)IPv6列表列表permitdeny規(guī)則1-15命令解釋命名擴展IP 列表配置模式[no] {deny | permit} icmp{{<sIPv6Prefix/sPrefixlen>} | any-source |{host-source <sIPv6Addr>}}{<dIPv6Prefix/dPrefixlen> | any-destination |{host-destination <dIPv6Addr>}} [<icmp-code>]] [dscp <dscp>] <fl>][time-range<time-range-name>]創(chuàng)建一條icmp命名擴展IPv6規(guī)則（rle；本命令的no操作為刪除此命名擴展IP6規(guī)則（l命令解釋全局配置模式ipv6access-listextended<name>noipv6access-listextended<name>IPv6除此命名擴展IPv6列表。命令解釋名標準IPv6 列表配置模式exit名標準IPv6 配置模式。命令解釋命名標準IPv6 列表配置模式[no]{deny|permit}{{<sIPv6Prefix/sPrefixlen>}|any-source|{host-source<sIPv6Addr>}}IPv6（lo問規(guī)則（leipv6access-liststandard<name>noipv6access-liststandard<name>IPv6除此命名標準IPv6列表。安全功能操作1章ACL配置c)IPv6列表配置模式2.配置濾功能（1）全局打開濾功能1-16命令解釋全局配置模式firewallenable全局打開 濾功能。命令解釋名擴展IPv6 列表配置模式exit名擴展IPv6 安全功能操作1章ACL配置c)IPv6列表配置模式2.配置濾功能（1）全局打開濾功能1-16命令解釋全局配置模式firewallenable全局打開 濾功能。命令解釋名擴展IPv6 列表配置模式exit名擴展IPv6 配置模式。[no]{deny|permit}tcp{<sIPv6Prefix/sPrefixlen>|any-source|{host-source<sIPv6Addr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{<dIPv6Prefix/dPrefixlen>|any-destination|{host-destination<dIPv6Addr>}}[d-port{<dPort>|range<dPortMin><dPortMax>}][syn|ack|urg|rst|fin|psh][dscp<dscp>][flow-label<fl>][time-range<time-range-name>]tcpIPv6規(guī)則（rle；本命令的no操作為刪除此命名擴展IP6規(guī)則（l[no]{deny|permit}udp{<sIPv6Prefix/sPrefixlen>|any-source|{host-source<sIPv6Addr>}}[s-port{<sPort>|range<sPortMin><sPortMax>}]{<dIPv6Prefix/dPrefixlen>|any-destination|{host-destination<dIPv6Addr>}}[d-port{<dPort>|range<dPortMin><dPortMax>}][dscp<dscp>][flow-label<fl>][time-range<time-range-name>]IPv6規(guī)則（rle；本命令的no操作為刪除此命名擴展IP6規(guī)則（l[no] {deny | permit} <proto>{<sIPv6Prefix/sPrefixlen> | any-source |{host-source <sIPv6Addr>}}{<dIPv6Prefix/dPrefixlen> | any-destination |{host-destination<dIPv6Addr>}}[dscp<dscp>][flow-label<fl>][time-range<time-range-name>]創(chuàng)建一條匹配其他特定IPv6列表不存在則創(chuàng)建此列表。[no]{deny|permit}{<sIPv6Prefix/sPrefixlen>|any-source | {host-source {<dIPv6Prefix/dPrefixlen> | any-destination |{host-destination<dIPv6Addr>}}[dscp<dscp>][flow-label<fl>][time-range<time-range-name>]IPv6（lo問規(guī)則（le安全功能操作1章ACL配置3.配置時間范圍功能（1）創(chuàng)建時間范圍名稱（2）配置周期性時段1-17命令解釋時間范圍模式absolute-periodic {Monday Tuesday|Wednesday安全功能操作1章ACL配置3.配置時間范圍功能（1）創(chuàng)建時間范圍名稱（2）配置周期性時段1-17命令解釋時間范圍模式absolute-periodic {Monday Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<start_time> to {Monday Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<endtime>配置一周內(nèi)的各種不同要求的時間范圍，每周都循環(huán)這個時間periodic{{Monday+Tuesday+Wednesday+Thursday+Friday+Saturday+Sunday}|daily|weekdays|weekend} <start_time> <end_time>[no]absolute-periodic{Monday|Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<start_time> to {Monday Tuesday|Wednesday|Thursday|Friday|Saturday|Sunday}<endtime>停止一周內(nèi)的時間范圍配置命令解釋全局配置模式time-range<time_range_name>time_range_name的時間范圍名no time-range<time_range_name>的時間范圍功能firewalldisable全局關閉 濾功能。安全功能操作1章ACL配置（3）配置絕對性時段4.將accessl-list綁定到特定端口的特定方向5.清空指定接口的濾統(tǒng)計信息1.3ACL舉例1：1-18命令解釋用戶模式clear access-group (in | statistic { <interface-name> | ethernet<interface-name>}在指定端口清除出口或 方向 濾統(tǒng)計信息。命令安全功能操作1章ACL配置（3）配置絕對性時段4.將accessl-list綁定到特定端口的特定方向5.清空指定接口的濾統(tǒng)計信息1.3ACL舉例1：1-18命令解釋用戶模式clear access-group (in | statistic { <interface-name> | ethernet<interface-name>}在指定端口清除出口或 方向 濾統(tǒng)計信息。命令解釋物理接口配置模式/Vlan接口模式{ip|ipv6|mac|mac-ip}access-group<acl-name>{in|out}[traffic-statistic]no {ip|ipv6|mac|mac-ip}access-group<acl-name>{in|out}物理接口模式：在端口的或出口方向上應no操作為刪除綁定在端口。命令解釋全局配置模式absolute start <start_time><start_data> [end <end_time><end_data>]創(chuàng)建一個絕對時間范圍[no]absolutestart<start_time><start_data> [end <end_time><enddata>]停止一個絕對時間范圍功能[no] periodic{{Monday+Tuesday+Wednesday+Thursday+Friday+Saturday+Sunday}|daily|weekdays|weekend} <start_time> <end_time>安全功能操作1章ACL配置ftp。配置更改：1.2.3.ACL配置濾功能ACL安全功能操作1章ACL配置ftp。配置更改：1.2.3.ACL配置濾功能ACL到端口配置步驟如下：Switch(config)#access-list110denytcp55any-destinationd-port21Switch(config)#firewallenableSwitch(config)#interfaceethernet1/0/10Switch(Config-If-Ethernet1/0/10)#ipaccess-group110inSwitch(Config-If-Ethernet1/0/10)#exitSwitch(config)#exit配置結果：Switch#showfirewallFirewallStatus:Enable.FirewallDefaultRule:Permit.Switch#showaccess-listsaccess-list110(used1time(s))1rule(s)access-list110denytcp55any-destinationd-port21Switch#showaccess-groupinterfaceethernet1/0/10interfacename:Ethernet1/0/10IPIngressaccess-listusedis110,traffic-statisticsDisable.2：10不配置更改：MACACL轉發(fā)源MAC00-12-11-23-X2濾功能配置步驟如下：Switch(config)#access-list1100 deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-macuntagged-802-3Switch(config)# access-list 1100 deny 00-12-11-23-00-00 00-00-00-00-ff-ff tagged-802Switch(config)#firewallenable1-19安全功能操作1章ACL配置Switch(config)#interfaceethernet1/0/10Switch(Config-If-Ethernet1/0/10)#macaccess-group1100inSwitch(Config-If-Ethernet1/0/10)#exitSwitch(config)#exit配置結果：Switch#showfirewallFirewallStatus:安全功能操作1章ACL配置Switch(config)#interfaceethernet1/0/10Switch(Config-If-Ethernet1/0/10)#macaccess-group1100inSwitch(Config-If-Ethernet1/0/10)#exitSwitch(config)#exit配置結果：Switch#showfirewallFirewallStatus:Enable.Switch#showaccess-listsaccess-list1100(used1time(s))access-list1100deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-macuntagged-802-3access-list1100deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-macSwitch#showaccess-groupinterfaceethernet1/0/10interfacename:Ethernet1/0/10MACIngressaccess-listusedis1100,traffic-statisticsDisable.3：10連接的網(wǎng)段的MAC地址是00-12-11-23-X，一臺主機。配置更改：ping此網(wǎng)段的任何1.2.3.ACL配置濾功能ACL到端口配置步驟如下：Switch(config)#access-list3110deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-mactcp55any-destinationd-port21Switch(config)#access-list3110denyany-source-mac00-12-11-23-00-0000-00-00-00-ff-fficmpany-source55Switch(config)#firewallenableSwitch(config)#interfaceethernet1/0/10Switch(Config-If-Ethernet1/0/10)#mac-ipaccess-group3110inSwitch(Config-Ethernet1/0/10)#exitSwitch(config)#exit1-20安全功能操作1章ACL配置配置結果：Switch#showfirewallFirewallStatus:Enable.Switch#showaccess-lists安全功能操作1章ACL配置配置結果：Switch#showfirewallFirewallStatus:Enable.Switch#showaccess-listsaccess-list3110(used1time(s))access-list3110deny00-12-11-23-00-0000-00-00-00-ff-ffany-destination-mactcp55any-destinationd-port21access-list3110denyany-source-mac00-12-11-23-00-0000-00-00-00-ff-fficmpany-source55Switch#showaccess-groupinterfaceethernet1/0/10interfacename:Ethernet1/0/10MAC-IPIngressaccess-listusedis3110,traffic-statisticsDisable.4：00端口連接的網(wǎng)段是IPV2003：/46/0網(wǎng)段用戶配置更改：ACL。2濾功能配置步驟如下：Switch(config)#ipv6access-list600permit2003:1:1:1:66::0/80any-destinationSwitch(config)#ipv6access-list600deny2003:1:1:1::0/64any-destinationSwitch(config)#firewallenableSwitch(config)#interfaceethernet1/0/10Switch(Config-If-Ethernet1/0/10)#ipv6access-group600inSwitch(Config-If-Ethernet1/0/10)#exitSwitch(config)#exit配置結果：Switch#showfirewallFirewallStatus:Enable.1-21安全功能操作1章ACL配置Switch#showipv6access-listsIpv6access-list600(used安全功能操作1章ACL配置Switch#showipv6access-listsIpv6access-list600(used1time(s))ipv6access-list600deny2003:1:1:1::0/64any-sourceipv6access-list600permit2003:1:1:1:66::0/80any-sourceSwitch#showaccess-groupinterfaceethernet1/0/10interfacename:Ethernet1/0/10IPv6Ingressaccess-listusedis600,traffic-statisticsDisable.5：的設備接入到這幾個端口。配置更改：ACL濾功能配置步驟如下：Switch(config)#firewallenableSwitch(config)#vlan100Switch(Config-Vlan100)#switchportinterfaceethernet1/0/1;2;5;7Switch(Config-Vlan100)#exitSwitch(config)#access-list1denyhost-sourceSwitch(config)#interfaceethernet1/0/1;2;5;7Switch(config-if-port-range)#ipaccess-group1inSwitch(Config-if-Vlan100)#exit配置結果：Switch(config)#showaccess-groupinterfacevlan100InterfaceVLAN100:Ethernet1/0/7:IPIngressaccess-listusedis1,traffic-statisticsDisable.IPIngressaccess-listusedis1,traffic-statisticsDisable.IPIngressaccess-listusedis1,traffic-statisticsDisable.IPIngressaccess-listusedis1,traffic-statisticsDisable.1.4ACL排錯幫助 束。 每個端口ACLIPACLMACACLIPV61-22安全功能操作1章ACL配置Vlan接口配置模式。果優(yōu)先級相同，則先配置的優(yōu)先級高：安全功能操作1章ACL配置Vlan接口配置模式。果優(yōu)先級相同，則先配置的優(yōu)先級高：端口可以IPv6ACLACLMACACLACLACL的內(nèi)容以及硬件限制。access-list中包括過濾信息相同但動作的規(guī)則，則其無法綁定到端口并將有permittcpany-sourceany-destination及denytcpany-sourceany-destination。ICMP報文通過以防止“沖擊波”等。1-23安全功能操作2章802.1x配置第2802.1x配置2.1802.1x介紹802.lx協(xié)議是為了解決無線局域網(wǎng)用戶的接入認證問題。IEEE802LAN協(xié)議定義的局域網(wǎng)并不提供接入認證，只要用戶能接入局域網(wǎng)設備（如LANSwitch），就可以 局域網(wǎng)中的設備或 。這在早期企業(yè)網(wǎng)有線LAN應用環(huán)境下并不存在明顯的安全隱患。制和配置。尤其是WLAN的應用和LAN接入在電信網(wǎng)上大規(guī)模開展，有必要對端口加以以實現(xiàn)用戶級的接入，802.lx安全功能操作2章802.1x配置第2802.1x配置2.1802.1x介紹802.lx協(xié)議是為了解決無線局域網(wǎng)用戶的接入認證問題。IEEE802LAN協(xié)議定義的局域網(wǎng)并不提供接入認證，只要用戶能接入局域網(wǎng)設備（如LANSwitch），就可以 局域網(wǎng)中的設備或 。這在早期企業(yè)網(wǎng)有線L