ACL — ACL (Access Control List – список контроля доступа) — таблица, которая определяет правила фильтрации входящего и исходящего трафика на основании передаваемых в пакетах протоколов, TCP/UDP-портов, IP-адресов или МАС-адресов.

Ниже приведен пример настройки ACL на коммутаторе MES:

Схема стенда


 1. MAC ACL

MES2300-24
mac access-list extended Test_MAC
 deny f0:09:0d:bc:31:52 ff:ff:ff:ff:ff:00 ec:b1:e0:b4:72:c0 ff:ff:ff:ff:ff:00 vlan 10 ace-priority 20
 permit f0:09:0d:bc:31:52 00:00:00:00:00:ff 68:13:e2:d9:10:80 00:00:00:00:00:ff ace-priority 40
exit
interface GigabitEthernet1/0/1
 service-acl output Test_MAC
exit

  

Пояснение
Создаем extended (расширенный) MAC-ACL
Запрещаем устройству с MAC f0:09:0d:bc:31:52 и маской ff:ff:ff:ff:ff:00 подключение к устройству с МАС ec:b1:e0:b4:72:c0 ff:ff:ff:ff:ff:00 во vlan 10 (маска определяет биты МАС-адреса, которые необходимо игнорировать, в данном случае игнорируется проверка всех бит, кроме последних)
Разрешаем устройству с МАС f0:09:0d:bc:31:52 и маской 00:00:00:00:00:ff подключение к устройству с МАС 68:13:e2:d9:10:80 00:00:00:00:00:ff (в данном случае игнорируется проверка только последних 8 бит)

Переходим в режим конфигурации интерфейса
Назначаем созданный MAC-ACL на интерфейс.


 2. IP ACL

MES2300-24
ip access-list extended Test_IP
 permit ip 192.168.1.1 0.0.0.255 192.168.1.2 0.0.0.255 ace-priority 60
 permit tcp 192.168.1.1 0.0.0.255 10000 192.168.1.2 0.0.0.255 50000 ace-priority 80
 deny icmp 192.168.1.1 0.0.0.255 192.168.1.2 0.0.0.255 any any ace-priority 100
exit
interface GigabitEthernet1/0/2
 service-acl output Test_IP
exit



Пояснение
Создаем extended (расширенный) IP-ACL
Разрешаем устройству с ip 192.168.1.1 подключение к устройству 192.168.1.2
Разрешаем устройству с ip 192.168.1.1 по протоколу TCP подключаться к устройству 192.168.1.2, используя порт источник 10000 и порт назначения 50000
Запрещаем устройству с ip 192.168.1.1 отправлять ICMP-запросы устройству 192.168.1.2, используя любой тип ICMP-запроса и номер ICMP-кода

Переходим в режим конфигурации интерфейса
Назначаем созданный IP-ACL на интерфейс.
  • Нет меток