MAC擴展訪問列表的配置

1、MAC擴展ACLs的語句規(guī)則配置標號的MAC擴展ACLs配置命名的MAC擴展ACLs訪問控制列表（ACLs）是一種基于包過濾的防火墻技術(shù)，它可以對接口上的數(shù)據(jù)包進行過濾，允許其通過或丟棄。MAC擴展訪問控制列表可根據(jù)數(shù)據(jù)包的源MAC地址、目的MAC地址、以太網(wǎng)協(xié)議類型設(shè)置過濾，根據(jù)設(shè)定的規(guī)則，允許或拒絕數(shù)據(jù)包通過。MAC擴展訪問控制列表用標號或名字進行標識，可使用的標號是700799。MAC擴展ACLs的語句規(guī)則MAC擴展訪問控制列表由一系列的規(guī)則組成，每條規(guī)則用一個 permit 或 deny 關(guān)鍵字定義，規(guī)則的格式為：permit|deny 源MAC地址 目的MAC地址 以太網(wǎng)協(xié)議類型 1

2、、permit|deny：必需。permit 定義的是允許通過的規(guī)則，deny 定義的是拒絕通過的規(guī)則。2、源MAC地址：必需。指定數(shù)據(jù)包源MAC地址。有兩種格式：any 表示任意地址 host mac-address 表示單一地址 mac-address采用三組十六進制數(shù)書寫，如：0013.8a49.df07。3、目的MAC地址：必需。指定數(shù)據(jù)包目的MAC地址。有兩種格式：any 表示任意地址 host mac-address 表示單一地址 4、以太網(wǎng)協(xié)議類型：可選。指定數(shù)據(jù)包的幀類型。在以太網(wǎng)的幀頭中有兩個字節(jié)長度的幀類型字段，可用來表明幀中封裝的協(xié)議類型，如：類型字段為0x0800，表明

3、幀中封裝的是IP數(shù)據(jù)報，類型字段為0x0806，表明幀中封裝的是ARP報文。舉例：permit host 0013.2049.8272 any允許源MAC地址為0013.2049.8272，目的地址為任意的幀通過。deny any host 0025.2a08.03d1拒絕源MAC地址任意，目的MAC地址為0025.2a08.03d1的幀通過。deny host 0013.2049.8272 any 0x0800拒絕源MAC地址為0013.2049.8272，目的地址為任意，封裝了IP數(shù)據(jù)報的幀通過。說明：在每個MAC擴展ACLs中，最后一條規(guī)則隱含為 deny any any，它表示拒絕任何

4、幀通過。配置標號的MAC擴展ACLs擴展訪問控制列表有兩種配置方法：標號的ACLs和命名的ACLs，以下是標號的MAC擴展ACLs配置。標號的擴展ACLs在全局配置模式中配置；標號的擴展ACLs由一系列 access-list 語句組成；屬于同一個擴展ACLs的 access-list 語句使用相同的標號。1、access-list 語句：Ruijie(config)#access-list list-id 規(guī)則 list-id是MAC擴展ACLs的標號，取值范圍是700799，同一個ACLs中的各語句標號必須相同。規(guī)則就是前面所說的 permit 和 deny 規(guī)則。2、包過濾的配置：定義的

5、ACLs必須應(yīng)用在指定的接口上，才能起到包過濾的作用。Ruijie(config)#interface interface-id Ruijie(config-if)#mac access-group list-id in | out interface命令指定了一個接口。mac access-group命令指定在接口上應(yīng)用的MAC訪問控制列表，list-id是訪問列表的標號，in指定在輸入流中進行過濾，out指定在輸出流中進行過濾，兩者只能指定一個。說明：在每個接口、每個方向上只能應(yīng)用一個訪問列表。在一個接口的入口和出口方向上可應(yīng)用不同的訪問列表。使用入口過濾和出口過濾在效果上和效率上都有所不

6、同，應(yīng)根據(jù)具體的應(yīng)用合適選擇。配置舉例：Ruijie>enableRuijie#configure terminalRuijie(config)#access-list 701 deny host 0013.2049.8272 anyRuijie(config)#access-list 701 permit any anyRuijie(config)#interface f0/1Ruijie(config-if)#mac access-group 701 in本例定義了一個MAC擴展訪問控制列表，它由3條規(guī)則組成：拒絕源MAC地址為0013.2049.8272，目的地址任意的幀通過；允許

7、所有幀通過；拒絕所有幀通過。這句是由隱含的規(guī)則定義的。整個配置可以解釋為，在 f0/1 接口的輸入流中執(zhí)行包過濾，拒絕來自0013.2049.8272的幀通過，其余的都不受限制。配置命名的MAC擴展ACLs擴展訪問控制列表有兩種配置方法：標號的ACLs和命名的ACLs，以下是命名的MAC擴展ACLs配置。命名的擴展ACLs用標號或名字區(qū)分各個訪問列表；命名的擴展ACLs的規(guī)則在訪問列表配置模式中配置。1、進入訪問列表配置模式：Ruijie(config)#mac access-list extended list-id | list-name Ruijie(config-mac-nacl)#

8、本命令用于進入MAC擴展訪問列表的配置模式。list-id是MAC擴展ACLs的標號，取值范圍是700799。list-name是MAC擴展ACLs的名字，用字母、數(shù)字命名。list-id和list-name只能指定一個，如果指定的訪問列表不存在，則創(chuàng)建它并進入訪問列表配置模式。2、配置訪問列表的規(guī)則：Ruijie(config-mac-nacl)#permit 規(guī)則 Ruijie(config-mac-nacl)#deny 規(guī)則 規(guī)則形式參照前面的描述。3、包過濾的配置：把定義的ACLs應(yīng)用在指定的接口上。Ruijie(config)#interface interface-id Ruiji

9、e(config-if)#mac access-group list-id | list-name in | out interface命令指定了一個接口。mac access-group命令指定在接口上應(yīng)用的訪問控制列表，list-id和list-name是訪問列表的標號或名字，in指定在輸入流中進行過濾，out指定在輸出流中進行過濾，兩者只能指定一個。配置舉例：Ruijie>enableRuijie#configure terminalRuijie(config)#mac access-list extended mls1Ruijie(config-mac-nacl)#deny host 0013.2049.8272 anyRuijie(config-mac-na