MyPower交换机操作手册安全功能操作.docVIP

目 录 第1章 ACL配置 1-1 1.1 ACL介绍 1-1 1.1.1 Access-list 1-1 1.1.2 Access-group 1-1 1.1.3 Access-list动作及全局默认动作 1-1 1.2 ACL配置 1-2 1.3 ACL举例 1-16 1.4 ACL排错帮助 1-20 第2章 802.1x配置 2-1 2.1 802.1x介绍 2-1 2.2 802.1x配置 2-2 2.3 802.1x应用举例 2-5 2.4 802.1x排错帮助 2-6 ACL配置 DCRS-76002 ACL介绍 ACL (Access Control Lists)是交换机实现的一种数据包过滤机制,通过允许或拒绝特定的数据包进出网络,交换机可以对网络访问进行控制,有效保证网络的安全运行?用户可以基于报文中的特定信息制定一组规则(rule),每条规则都描述了对匹配一定信息的数据包所采取的动作:允许通过(permit)或拒绝通过(deny)?用户可以把这些规则应用到特定交换机端口的入口或出口方向,这样特定端口上特定方向的数据流就必须依照指定的ACL规则进出交换机? Access-list Access-list是一个有序的语句集,每一条语句对应一条特定的规则(rule)?每条rule包括了过滤信息及匹配此rule时应采取的动作?Rule包含的信息可以包括源MAC?目的MAC?源IP?目的IP?IP协议号?tcp端口等条件的有效组合?根据不同的标准,access-list可以有如下分类: 根据过滤信息:ip access-list,ipv6 access-list(三层以上信息),mac access-list(二层信息),mac-ip access-list(二层以上信息)? 根据配置的复杂程度:标准(standard)和扩展(extended),扩展方式可以指定更加细致过滤信息? 根据命名方式:数字(numbered)和命名(named)? 对一条ACL的说明应当从这三个方面加以描述? Access-group 当用户按照实际需要制定了一组access-list之后,就可以把他们分别应用到不同端口的不同方向上?access-group就是对特定的一条access-list与特定端口的特定方向的绑定关系的描述?当您建立了一条access-group之后,流经此端口此方向的所有数据包都会试图匹配指定的access-list规则,以决定交换动作是允许(permit)或拒绝(deny)?另外还可以在端口加上对ACL规则统计计数器,以便统计流经端口的符合ACL规则数据包的数量? Access-list动作及全局默认动作 Access-list动作及默认动作分为两种:允许通过(permit)或拒绝通过(deny)?具体有如下: 在一个access-list内,可以有多条规则(rule)?对数据包的过滤从第一条规则(rule)开始,直到匹配到一条规则(rule),其后的规则(rule)不再进行匹配? 全局默认动作只对端口入口方向的数据流量有效?对出口的所有数据包,其默认转发动作均为允许通过(permit)? 只有在包过滤功能打开且端口上没有绑定任何的ACL或不匹配任何绑定的ACL时才会匹配入口的全局的默认动作? 当一条access-list被绑定到一个端口的出方向时,其规则(rule)的动作只能为拒绝通过(deny)? ACL配置 ACL配置任务序列如下: 配置access-list 配置数字标准IP访问列表 配置数字扩展IP访问列表 配置命名标准IP访问列表 创建一个命名标准IP访问列表 指定多条permit或deny规则表项 退出访问表配置模式 配置命名扩展IP访问列表 创建一个命名扩展IP访问列表 指定多条permit或deny规则表项 退出访问表配置模式 配置数字标准MAC访问列表 配置数字扩展MAC访问列表 配置命名扩展MAC访问列表 创建一个命名扩展MAC访问列表 指定多条permit或deny规则表项 退出MAC访问表配置模式 配置数字扩展MAC-IP访问列表 配置命名扩展MAC-IP访问列表 创建一个命名扩展MAC-IP访问列表 指定多条permit或deny规则表项 退出MAC-IP访问表配置模式 配置数字标准IPV6访问列表 配置命名标准IPV6访问列表 创建一个命名扩展IPV6访问列表 指定多条permit或deny规则表项 退出IPV6访问表配置模式 配置命名扩展IPV6访问列表 创建一个命名扩展IPV6访问列表 指定多条permit或deny规则表项 退出IPV6访问表配置模式 配置包过滤功能 (1)全局打开包过滤功能 (2)配置默认动作(default action) 配置时间范围功能 创建时间范