防火墙技术的应用研究(10)

防火墙技术的应用研究

27

输入规则语句的顺序：加入的每条规则都被追加到访问列表的最后，语句被创建以后，就无法单独删除它，而只能删除整个访问列表。所以访问列表语句的次序非常重要。设备在决定转发还是阻断分组时，设备按语句创建的次序将分组与语句进行比较，找到匹配的语句后，便不再检查其他规则语句。 （2）配置IP访问列表

基本访问列表的配置包括以下两步：

(a)定义基本访问列表

(b)将基本访问列表应用于特定接口 要配置基本访问列表，方式如下：

表5-2 IP访问列表配置 命令 作用 进入配置访问列表模式 Step 1 FW(config)# ip access-list { standard | extended } { id | name } FW (config-xxx-nacl)# [sn] { permit | deny } 为 ACL 添加表项 Step 2 {src src-wildcard | host src | any } Step 3 [ time-range tm-rng-name] FW(config-if)# ip access-group id { in | out } 将访问列表应用特定接口 5.2.2 MAC 扩展访问列表的配置 （1）MAC 扩展访问列表配置指导

创建MAC访问列表时，定义的规则将可以应用于所有的分组报文，通过判断分组是否与规则匹配来决定是否转发或阻断分组报文。

MAC访问列表中定义的典型规则主要有以下：源MAC地址、目标MAC地址、以太网协议类型、时间区。

MAC 扩展访问列表（编号700-799）主要是根据源和目的MAC地址来进行转发或阻断分组的,也可以对以太网协议类型匹配。

对于单一的MAC访问列表来说，可以使用多条独立的访问列表语句来定义多种规则，其中所有的语句需引用同一个编号或名字，以便将这些语句绑定到同一个访问列表。 （2）配置MAC扩展访问列表

MAC访问列表的配置包括以下两步：

(a)定义MAC访问列表 (b)应用列表于特定接口

要配置MAC访问列表，方式如下：

陕西科技大学毕业论文（设计说明书）

28

表5-3 MAC访问列表配置 命令 作用 进入配置访问列表模式 Step 1 FW(config)# mac access-list extended {id | name} FW (config-mac-nacl)# [sn] { permit | 为 ACL 添加表项 Step 2 deny }{any | host src-mac-addr} {any | host Step 3 dst-mac-addr} [ethernet-type] [cos cos] FW(config-if)# mac access-group {id | name} { in | out} 将访问列表应用特定接口 5.2.3 配置基于时间区的ACL

可以使 ACL 基于时间运行，比如让ACL 在一个星期的某些时间段内生效等。为了

达到这个要求，您必须首先配置一个Time-Range。

Time-Range的实现依赖于系统时钟，如果您要使用这个功能，必须保证系统有一个可靠的时钟。

从特权模式开始，您可以通过以下步骤来设置一个Time-Range：