實驗六訪問控制權(quán)限-資料下載頁
2025-05-12 08:35本頁面
【正文】 被拒絕的數(shù)據(jù)包丟棄 ? 允許的數(shù)據(jù)包進入路由選擇狀態(tài) ?數(shù)據(jù)包一旦與 ACL出現(xiàn)匹配，就執(zhí)行相應(yīng)的操作，而此時對此數(shù)據(jù)包的檢測就到此為止了，后面不管出現(xiàn)多少不匹配的情況將不作檢測。 S3600交換機由于是硬件 ACL，所以其執(zhí)行順序是： 后配置的先匹配，先配置的后匹配 四川大學(xué)錦城學(xué)院 ACL包含多條規(guī)則的匹配 ? ACL可能會包含多個規(guī)則，而每個規(guī)則都指定不同的報文范圍。這樣，在匹配報文時就會出現(xiàn)匹配順序的問題。 ? ACL支持兩種匹配順序： ?配置順序：根據(jù)配置順序匹配 ACL規(guī)則。 ?自動排序：根據(jù)“深度優(yōu)先”規(guī)則匹配 ACL規(guī)則。 ?“深度優(yōu)先”順序的判斷原則如下： ? 先比較規(guī)則的協(xié)議范圍。 IP協(xié)議的范圍為 1～ 255，其他協(xié)議的范圍就是自己的協(xié)議號；協(xié)議范圍小的優(yōu)先； ? 再比較源 IP地址范圍。源 IP地址范圍小 (掩碼長 )的優(yōu)先； ? 然后比較目的 IP地址范圍。目的 IP地址范圍小 (掩碼長 )的優(yōu)先； ? 最后比較四層端口號（ TCP/UDP端口號）范圍。四層端口號范圍小的優(yōu)先； 四川大學(xué)錦城學(xué)院 ?如果規(guī)則 A與規(guī)則 B按照原有匹配順序進行配置時，協(xié)議范圍、源 IP地址范圍、目的 IP地址范圍、四層端口號范圍完全相同，并且其它的元素個數(shù)相同，將按照加權(quán)規(guī)則進行排序。加權(quán)規(guī)則如下： ? 設(shè)備為每個元素設(shè)定一個固定的權(quán)值，最終的匹配順序由各個元素的權(quán)值和元素取值來決定。各個元素自身的權(quán)值從大到小排列： DSCP、 ToS、 ICMP、established、 precedence、 fragment。 ? 設(shè)備以一個固定權(quán)值依次減去規(guī)則各個元素自身的權(quán)值，剩余權(quán)值越小的規(guī)則越優(yōu)先。 ? 如果各個規(guī)則中元素個數(shù)、元素種類完全相同，則這些元素取值的累加和越小越優(yōu)先。 四川大學(xué)錦城學(xué)院 配置 ACL注意事項 ?同一 ACL中多條規(guī)則的匹配順序默認為config： 先配置的先匹配，后配置的后匹配 ?S3600交換機由于是硬件 ACL，所以其執(zhí)行順序是： 后配置的先匹配，先配置的后匹配 ?在同一個名字下可以配置多個時間段，這些 時間段是“或”關(guān)系 。 ?若在路由器上應(yīng)用 ACL規(guī)則需先 啟動防火墻 四川大學(xué)錦城學(xué)院 實驗三 配置高級 ACL ?實驗內(nèi)容 ： ? 配置交換機的遠程登錄用戶功能 (tel) ? 配置高級 ACL ?實驗要求 ： ? 使小組內(nèi)任意一臺主機在今天早 9點到晚上 6點半之間，不能使用 TELNET服務(wù)登錄交換機。 使用路由器配置 ACL需先啟動防火墻 [H3Cacladv3000] rule permit tcp source destination destinationport eq 23
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1