Users Guide

● 如果数据包的 FO = 0，则下一个 ACL 行进程
允许来自主机的所有数据包
OS10(config)# ip access-list ABC
OS10(conf-ipv4-acl)# permit tcp host 10.1.1.1 any eq 24
OS10(conf-ipv4-acl)# deny ip any any fragment
仅允许来自主机的第一个片段和非零碎数据包
OS10(config)# ip access-list ABC
OS10(conf-ipv4-acl)# permit tcp host 10.1.1.1 any eq 24
OS10(conf-ipv4-acl)# permit tcp host 10.1.1.1 any fragment
OS10(conf-ipv4-acl)# deny ip any any fragment
要记录拒绝的所有数据包并覆盖隐式拒绝规则和 TCP/UDP 片段的隐式允许规则，请使用类似的配置。当 ACL 筛选数据包时，
它会查看 FO 以确定它是否是一个片段：
● FO = 0 表示它是第一个片段，否则该数据包是非片段
● FO > 0 表示它是原始数据包的片段
为筛选器分配序列号
IP ACL 可筛选源和目标 IP 地址、IP 主机地址、TCP 地址、TCP 主机地址、UDP 地址以及 UDP 主机地址。流量按筛选顺序通过
筛选器传递。通过首先输入 IP ACCESS-LIST 模式，然后为筛选器分配序列号来配置 IP ACL。
用户提供的序列号
● 通过在 CONFIGURATION 模式下创建 IP ACL 来输入 IP ACCESS LIST 模式。
ip access-list access-list-name
● 在 IPV4-ACL 模式下配置丢弃或转发筛选器。
seq sequence-number {deny | permit | remark} {ip-protocol-number | icmp | ip |
protocol | tcp | udp} {source prefix | source mask | any | host} {destination mask |
any | host ip-address} [count [byte]] [fragments]
自动生成的序列号
如果您创建的 ACL 仅包含一个或两个筛选器，您可以让系统根据您配置筛选器的顺序分配序列号。系统使用 10 个值的倍数为筛
选器分配序列号。
● 配置拒绝或允许筛选器可检查 IPV4 ACL 模式下的 IP 数据包。
{deny | permit} {source mask | any | host ip-address} [count [byte]] [fragments]
● 配置拒绝或允许筛选器可检查 IPV4 ACL 模式下的 TCP 数据包。
{deny | permit} tcp {source mask] | any | host ip-address}} [count [byte]] [fragments]
● 配置拒绝或允许筛选器可检查 IPV4 ACL 模式下的 UDP 数据包。
{deny | permit} udp {source mask | any | host ip-address}} [count [byte]] [fragments]
996
储储控制列表