Users Guide

服务类别 显示在数据包标头中
IPv4/IPv6 和 MAC ACL 分别适用于入站和出站数据包。您可以为多个 ACL 分配接口，每个 ACL 类型的每个数据包方向限制为
一个 ACL。
控制平面 ACL
OS10 提供了控制平面 ACL 以选择性地限制发往 CPU 端口的数据包，从而提供更高的安全性。控制平面 ACL 提供：
● 用于保护 CPU 拒绝服务 (DoS) 攻击的选项。
● 精细控制以允许或阻止进入 CPU 的流量。
控制平面 ACL 适用于前面板和管理端口。控制平面 ACL 是以下类型之一：
● IP ACL
● IPv6 ACL
● MAC ACL
注: MAC ACL 仅应用于通过前面板端口输入的数据包。
没有隐式拒绝规则。如果配置的条件均不匹配，则默认行为将允许。如果您需要拒绝与任何配置的条件不匹配的流量，请明确配
置拒绝语句。
控制平面 ACL 与 VTY ACL（管理 ACL）相互排斥。VTY ACL 为会话连接协议（如 SSH 或 TELNET）提供安全访问权限；但
是，控制平面 ACL 允许或拒绝任何 TCP 或 UDP，包括从特定主机和网络进行 SSH 和 TELNET 会话，同时还会同时筛选 IPv4
和 IPv6 流量。
配置控制平面 ACL
要配置控制平面 ACL，请使用现有的 ACL 模板，并根据需要创建适当的规则以允许或拒绝流量，类似于为 VTY ACL 创建访问列
表。但是，当您应用此控制平面 ACL 时，您必须将其应用于控制平面模式而不是 VTY 模式。例如：
OS10# configure terminal
OS10(config)# control-plane
OS10(config-control-plane)# ip access-group acl_name in
其中 acl_name 是控制平面 ACL 的名称，最多为 140 个字符。
注: 专在入口流量上专用控制平面 ACL。
控制平面 ACL 限定符
本部分列出了支持的控制平面 ACL 规则限定符。
注: OS10 仅支持下面列出的限定符。确保在 ACL 规则中仅使用这些限定符。
● IPv4 限定符：
○ DST_IP — 目标 IP 地址
○ SRC_IP — 源 IP 地址
○ IP_TYPE — IP 类型
○ IP_PROTOCOL — TCP、UDP 等协议
○ L4_DST_PORT — 目标端口号
● IPv6 限定符：
○ DST_IPv6 — 目标地址
○ SRC_IPv6 — 源地址
○ IP_TYPE — IP 类型；例如，IPv4 或 IPv6
○ IP_PROTOCOL — TCP、UDP 等
○ L4_DST_PORT — 目标端口
● MAC 限定符：
○ OUT_PORT — 出口 CPU 端口
○ SRC_MAC — 源 MAC 地址
○ DST_MAC — 目标 MAC 地址
○ ETHER_TYPE — 以太网类型
994
储储控制列表