- 相關(guān)推薦
關(guān)于A(yíng)CL的其它輸寫(xiě)形式與應用注意事項
在前面的幾個(gè)小節中描述了關(guān)于標準與擴展ACL的應用，并演示了具體的配置過(guò)程，在本節小編主要對ACL的應用事項進(jìn)行一下總結，其中包括ACL的輸寫(xiě)形式、ACL的應用位置、ACL條目的增加與刪除，具體如下：
關(guān)于A(yíng)CL語(yǔ)句的輸寫(xiě)形式：
access-list 1permit host 192.168.100.1等于access-list 1 permit 192.168.100.1 0.0.0.0的功能，語(yǔ)句中的host是申明配置的地址是一個(gè)主機地址，它等于反碼的全匹配(0.0.0.0),以全匹配形式出現的反碼，表示匹配的IP地址是一個(gè)主機IP地址。
access-list 102permit tcp 0.0.0.0 255.255.255.255 0.0.0.0255.255.255.255 eq www 等于access-list 102 permit tcp any any eq 80的功能，語(yǔ)句中的源IP地址和目標IP地址都是0，指示源和目標IP地址可以是任意IP地址;源地址和目標地址的反碼都是255，指示不關(guān)心任何位，它就等同于在擴展ACL中源和目標IP地址都以any關(guān)鍵字出現的情況;eqwww就等于eq 80，因為T(mén)CP 80號端口正是眾所周知的www服務(wù)端口，但是這里提出一個(gè)注意事項，如果Web服務(wù)器的端口沒(méi)有使用眾所周知的80號端口，出于某種安全原因或者特殊要求，服務(wù)器管理員自定義了Web的服務(wù)端口號，那么，在輸寫(xiě)ACL時(shí)，就只能在eq關(guān)鍵字之后申明具體的端口號，而不是申明www，否則ACL將無(wú)法完成匹配。
access-list 102permit ip host 192.168.1.2 host 192.168.2.2 等于access-list 102 permit ip 192.168.1.20.0.0.0 192.168.2.2 0.0.0.0;ACL的語(yǔ)句中的源IP和目標IP都是具體的主機IP地址，所以可以在A(yíng)CL語(yǔ)句中使有host關(guān)鍵字申明主機地址，它和反碼的全匹配形式所表示的意義同種。
關(guān)于A(yíng)CL應用位置的設計：
n 標準ACL只關(guān)心源地址，所以必須將其應用到距離控制目標最近的接口位置。
n 擴展ACL既關(guān)心源地址，又關(guān)心目標地址，建議將其應用到距離控制源最近的接口位置，這樣可以?xún)?yōu)化流量，減少主干網(wǎng)上沒(méi)有必要的流量開(kāi)銷(xiāo)。
n 在同一接口、同一協(xié)議、同一方向只能應用一個(gè)訪(fǎng)問(wèn)控制列表。
n 訪(fǎng)問(wèn)控制列表，只能過(guò)濾穿越路由器的流量，對應用訪(fǎng)問(wèn)控制列表的路由器本地產(chǎn)生的流量不生效。
關(guān)于在傳統IOS版本中ACL條目的增加與刪除問(wèn)題
在傳統的IOS版本中，對ACL條目的增加或者刪除是一件非常痛苦的事情，因為當一個(gè)ACL的多條語(yǔ)句被配置在路由器之后，如果想要在A(yíng)CL中增加一條過(guò)濾語(yǔ)句，那么這條增加的語(yǔ)句將出現在已存在的所有ACL語(yǔ)句之后，這樣就會(huì )出現安全漏洞，為網(wǎng)絡(luò )造成風(fēng)險行為，為了更好的理解這一點(diǎn)，現在要舉一個(gè)實(shí)例：
用戶(hù)首次已經(jīng)完成了一條ACL 101的編寫(xiě)：
ACL 101 的第一條語(yǔ)句 ：access-list 101 deny ip host 192.168.1.2 host192.168.2.1
ACL 101 的第二條語(yǔ)句： access-list 101 permit ip any any
現在用戶(hù)希望更改原有的ACL 101，希望在上述的兩條語(yǔ)句之間加入如下所示的ACL語(yǔ)句：
access-list 101 deny ip host192.168.3.1 host 192.168.4.1
但是當你完成加入后，這條被加入的語(yǔ)句將被放到ACL 101的最后，如下圖所示，這樣，它的匹配順序也如圖所示，最后加入的語(yǔ)句被放置到ACL列表的最后，而第二條語(yǔ)句是允許任何流量，所以根本不會(huì )給第三條語(yǔ)句匹配的機會(huì )，那么第三條語(yǔ)句將永遠不生效，即便是您可能希望它于permit any any 之前生效，但事實(shí)上它不會(huì )，這類(lèi)似于微機原理里面的堆棧原理，先進(jìn)入。先調用。
所以在傳統IOS中管理員對ACL的修改變得很頭痛，通常，管理員會(huì )把現在的ACL復制到一個(gè)文本文件中進(jìn)行增加或者刪除語(yǔ)句的操作，然后把原本在路由器上配置的ACL通過(guò)no access-list 101全部清除，再將文本文件中修改完成的ACL復制到路由器上，無(wú)法做到逐條修改ACL語(yǔ)句的效果。
【ACL的其它輸寫(xiě)形式與應用注意事項】相關(guān)文章：
圍棋和其它棋類(lèi)的區別06-12
戶(hù)外廣告形式的形式10-07
圍棋和其它棋類(lèi)有什么不同08-20
美麗的插花形式10-17
插花形式-花籃10-09
項目管理形式08-20
廣告設計的形式10-04
置石的常見(jiàn)形式07-07
家庭插花常用形式08-16