交换机ACL 功能在网络中的应用.docVIP

交换机ACL 功能在网络中的应用 【实验目的】使管理人员了解交换机ACL 的配置方法。【背景描述】 ACL 通过对网络资源进行访问输入和输出控制，确保网络设备不被非法访问或被用作攻击跳板。ACL 是一张规则表，交换机按照顺序执行这些规则，并且处理每一个进入端口的数据包。每条规则根据数据包的属性(如源地址、目的地址和协议)要么允许、要么拒绝数据包通过。 D-Link 交换机支持多种类型的ACL 过滤技术： Switch port MAC/ IP address Ethernet type/ Protocol type VLAN 802.1p/ DSCP TCP/ UDP port  Packet payload 在交换机上配置ACL 主要分为两个部分：一. 配置Access Profile 二. 配置Access Profile 规则下面分别介绍这两个部分。 Access Profile 类型：Ethernet,IP Ethernet Access Profile 和规则 创建Access Profile 创建Access Profile Rule IP Access Profile 和规则 创建Access Profile 各个参数含义如下： Profile ID 为ACL 配置文件设置键入唯一的标识符编号， 或允许通过选择 Auto Assign 选项自动分配ID 。取值范围在在1 至255 之间。 Type 选择基于以太网（MAC 地址） 或IP 地址的ACL 配置文件， 依照 配置文件类型的要求， 将会对菜单进行更改。选择以太网， 通知 交换机检查每个数据包报头的图层2 部分。选择IP ， 通知交换机 检查每个帧报头的IP 地址。 VLAN 选择该选项， 通知交换机检查每个数据报头的VLAN 部分， 并且 以此作为或部分作为转发的标准。 Source MAC/IP 源MAC 掩码— 为MAC 源地址输入MAC 地址掩码。 Mask 源IP 掩码— 为源IP 地址输入IP 地址掩码。 Destination 目的MAC 掩码— 为目的MAC 地址输入MAC 地址掩码。 MAC/IP Mask 目的IP 掩码— 为目的MAC 地址输入IP 地址掩码。 注：0 子网掩码表示忽略，255 子网掩码表示匹配所输入的IP 地 址 00 MAC 掩码表示忽略，FF MAC 掩码表示匹配所输入的MAC 地址 802.1p 选择该选项， 通知交换机检查每个数据包报头的802.1p 优先值， 并以此作为或部分作为转发的标准。 DSCP 选择该选项， 通知交换机检查每个数据包报头的DiffServ 编码部 分， 并以此作为转发的标准或标准的部分。 Ethernet Type 选择该选项， 通知交换机检查每个帧报头的以太网类型值。 （ 仅用于以太 网访问配置文 件） Protocol 选择该选项， 通知交换机检查每个帧报头的协议类型值。您必须 （ 仅用于IP 地 随后根据下列指示指定需要包括哪些协议： 址访问配置文 选择ICMP ， 通知交换机检查每个帧报头的Internet 控制信息协 件） 议（ICMP ） 字段。 选择Type ， 进一步指定访问配置文件应用的ICMP 类型值， 或 是指定Code ， 进一步指定访问配置文件应用的ICMP 编码值。 选择IGMP ， 通知交换机检查每个帧报头的Internet 控制信息协 议（ICMP ） 字段。 选择Type ， 进一步指定访问配置文件应用的IGMP 类型值。 选择TCP ， 使用包含在进入的数据包中的TCP 端口编号作为转 发标准。选择TCP ， 要求您指定源端口掩码和/或目的端口掩码。 Source Port Mask Ox – 在十六进制格式（hex 0x0-0xffff ） 中指 定用于源端口的TCP 端口掩码。 Destination Port Mask Ox – 在十六进制格式（hex 0x0-0xffff） 中指定用于目的端口的TCP 端口掩码。 选择UDP ， 使用包含在进入的数据包UDP 端口编号作为转发标 准。选择UDP ， 要求您指定源端口掩码和/或目的端口掩码。 Source Port Mask Ox – 在十六进制格式（hex 0x0-0xffff ） 中指 定用于源端口的TCP 端口掩码。 Destination Port Mask Ox – 在十六进制格式（hex 0x0-0xffff） 中指定用于目的端口的TCP 端口掩码。 Permit/Deny选择Permit ，指定与访问配置文件匹配的数据包，由交换机根据任何额外添加的规则（见下文）转发。选择Deny ，指定与访问配置文件不匹配的数据包，不经交换机