使用訪問控制列表管理數(shù)據(jù)流配置排除故障

AccessControlListsACL配置與故障排除用標(biāo)準(zhǔn)編號IPv4ACL測試數(shù)據(jù)包激活接口上的列表設(shè)置入站或出站測試.noipaccess-groupaccess-list-number{in|out}

命令可從接口刪除ACL.ipaccess-groupaccess-list-number{in|out}使用1到99或1300到1999作為access-list-number。第一個條目分配的序列號是10，后續(xù)條目以10為增量遞增。默認通配符掩碼是（僅針對標(biāo)準(zhǔn)ACL）.noaccess-listaccess-list-number

命令可刪除整個ACL.remark

用于向ACL添加說明.access-listaccess-list-number

{permit|deny|remark}source[mask]RouterX(config)#RouterX(config-if)#標(biāo)準(zhǔn)編號IPv4ACL的配置僅允許我的網(wǎng)絡(luò)標(biāo)準(zhǔn)編號IPv4ACL示例1RouterX(config)#access-list1permit55(implicitdenyall-notvisibleinthelist)(access-list1deny55)RouterX(config)#interfaceethernet0RouterX(config-if)#ipaccess-group1outRouterX(config)#interfaceethernet1RouterX(config-if)#ipaccess-group1out拒絕特定主機標(biāo)準(zhǔn)編號IPv4ACL示例2RouterX(config)#access-list1deny3RouterX(config)#access-list1permit55(implicitdenyall)(access-list1deny55)RouterX(config)#interfaceethernet0RouterX(config-if)#ipaccess-group1out拒絕特定子網(wǎng)標(biāo)準(zhǔn)編號IPv4ACL示例3RouterX(config)#access-list1deny55RouterX(config)#access-list1permitany(implicitdenyall)

(access-list1deny55)RouterX(config)#interfaceethernet0RouterX(config-if)#ipaccess-group1out僅允許網(wǎng)絡(luò)55中的主機連接到路由器的vty線路。access-list12permit55(implicitdenyany)

!linevty04access-class12in示例:access-classaccess-list-number{in|out}限制特定vty與ACL地址之間的入站或出站連接RouterX(config-line)#用標(biāo)準(zhǔn)ACL控制vty訪問用擴展編號IPv4ACL測試數(shù)據(jù)包ipaccess-groupaccess-list-number{in|out}激活接口上的擴展列表設(shè)置此列表條目的參數(shù)access-listaccess-list-number{permit|deny}

protocolsourcesource-wildcard[operatorport]

destinationdestination-wildcard[operatorport]

[established][log]RouterX(config)#RouterX(config-if)#配置編號的IPv4擴展ACL擴展編號IPv4ACL示例1RouterX(config)#access-list101denytcp5555eq21RouterX(config)#access-list101denytcp5555eq20RouterX(config)#access-list101permitipanyany(implicitdenyall)(access-list101denyip5555)RouterX(config)#interfaceethernet0RouterX(config-if)#ipaccess-group101out拒絕從子網(wǎng)

到子網(wǎng)

經(jīng)E0流出的FTP流量允許所有其他流量擴展編號IPv4ACL示例2RouterX(config)#access-list101denytcp55anyeq23RouterX(config)#access-list101permitipanyany(implicitdenyall)RouterX(config)#interfaceethernet0RouterX(config-if)#ipaccess-group101out僅拒絕來自子網(wǎng)

經(jīng)E0流出的Telnet流量允許所有其他流量ipaccess-list{standard|extended}name[sequence-number]{permit|deny}{ipaccesslisttestconditions}{permit|deny}{ipaccesslisttestconditions}ipaccess-groupname{in|out}命名IPACL的配置字母數(shù)字命名的字符串必須是唯一的如果未配置，則從10開始自動生成序列號，并以10為增量遞增。no序列號命令可從命名ACL中刪除指定測試激活接口上的命名IPACLRouterX(config{std-|ext-}nacl)#RouterX(config-if)#RouterX(config)#拒絕特定的主機標(biāo)準(zhǔn)命名IPv4ACL示例RouterX(config)#ipaccess-liststandardtroublemaker

RouterX(config-std-nacl)#denyhost3

RouterX(config-std-nacl)#permit55

RouterX(config-std-nacl)#interfacee0

RouterX(config-if)#ipaccess-grouptroublemakerout

拒絕來自特定子網(wǎng)的Telnet流量擴展命名IPv4ACL示例RouterX(config)#ipaccess-listextendedbadgroup

RouterX(config-ext-nacl)#denytcp55anyeq23

RouterX(config-ext-nacl)#permitipanyany

RouterX(config-ext-nacl)#interfacee0

RouterX(config-if)#ipaccess-groupbadgroupoutACL添加注釋access-listaccess-list-numberremarkremark

ipaccess-list

{standard|extended}

name

創(chuàng)建命名ACL注釋創(chuàng)建被編號的ACL注釋RouterX(config{std-|ext-}nacl)#RouterX(config)#remarkremark

RouterX(config)#創(chuàng)建命名ACLOr監(jiān)控ACL語句RouterX#showaccess-lists{access-listnumber|name}RouterX#showaccess-lists

StandardIPaccesslistSALES10deny,wildcardbits5520permit30permit40permitExtendedIPaccesslistENG10permittcphostanyeqtelnet(25matches)20permittcphostanyeqftp30permittcphostanyeqftp-data顯示所有訪問列表檢驗ACLRouterX#showipinterfacese0Ethernet0isup,lineprotocolisupInternetaddressis1/24Broadcastaddressis55AddressdeterminedbysetupcommandMTUis1500bytesHelperaddressisnotsetDirectedbroadcastforwardingisdisabled

OutgoingaccesslistisnotsetInboundaccesslistis1ProxyARPisenabledSecuritylevelisdefaultSplithorizonisenabledICMPredirectsarealwayssentICMPunreachablesarealwayssentICMPmaskrepliesareneversentIPfastswitchingisenabledIPfastswitchingonthesameinterfaceisdisabledIPFeatureFastswitchingturbovectorIPmulticastfastswitchingisenabledIPmulticastdistributedfastswitchingisdisabled<textommitted>排除ACL的常見錯誤錯誤1：主機

與

沒有連接.錯誤2：

網(wǎng)絡(luò)無法用TFTP連接.排除ACL的常見錯誤（續(xù)）錯誤3:網(wǎng)絡(luò)可使用Telnet連接，但是不允許進行此項連接.排除ACL的常見錯誤（續(xù)）錯誤4：主機

可使用Telnet連接

，但是不允許進行此項連接.排除ACL的常見錯誤（續(xù)）錯誤5：主機

可使用Telnet連接

，但是不允許進行此項連接.AB排除ACL的常見錯誤（續(xù)）錯誤6：主機

可使用Telnet連接路由器B，但是不允許進行此項連接.BA排除ACL的常見錯誤（續(xù)）VisualObjective6-1:Implementing

andTroubleshootingACLsW