三层交换机访问控制列表ACL的配置.ppt

单击此处编辑母版文本样式,第二级,第三级,第四级,*,企业网综合实战,三层交换机访问列表,ACL,的配置,ACL,是交换机实现的一种数据包过滤机制，通过允许或拒绝特定的数据包进出网络，可以对网络访问进行控制，有效保证网络的安全运行。,ACL,是一个有序的语句集，每一条语句对应一条特定的规则,(rule),。每条,rule,包括了过滤信息及匹配此,rule,时应采取的动作。,Rule,包含的信息可以包括源,MAC,、目的,MAC,、源,IP,、目的,IP,、,IP,协议号、,tcp,端口等条件的有效组合。,根据不同的标准，,ACL,可以有如下分类：,根据过滤信息：,ip,access-list,（三层以上信息），,mac,access-list,（二层信息），,mac-ip,access-list,（二层以上信息）。,根据配置的复杂程度：标准,(standard),和扩展,(extended),，扩展方式可以指定更加细致过滤信息。,根据命名方式：数字,(numbered),和命名,(named),IP ACL,（,1,）配置数字标准,IP,访问列表,（,2,）配置数字扩展,IP,访问列表,（,3,）配置命名标准,IP,访问列表,（,4,）配置命名扩展,IP,访问列表,MAC ACL,（,1,）配置数字标准,MAC,访问列表,（,2,）配置数字扩展,MAC,访问列表,（,3,）配置命名扩展,MAC,访问列表,MAC-IP,（,1,）配置数字扩展,MAC-IP,访问列表,（,2,）配置命名扩展,MAC-IP,访问列表,IP,访问列表类型,命名标准,IP,访问列表,命名扩展,IP,访问列表,数字,标准,IP,访问列表,数字扩展,IP,访问列表,基于时间的访问列表,配置命名标准,IP,访问列表的步骤,创建一个命名标准,IP,访问列表,指定多条,permit,或,deny,规则,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建一个命名标准,IP,访问列表,命令：,ip,access-list standard,说明：,name,为访问列表的名字，字符串长度为,116,个字符，第一个字符不能为数字。,举例：创建一个名为,test,的标准,IP,访问列表,ip,access-list standard,test,指定多条,permit,或,deny,规则,命令：,deny|permit|any-source|host-source ,说明：,sIpAddr,为源,IP,地址，,sMask,为源,IP,的反掩码。,举例：允许源地址为,192.168.10.0/24,的数据包通过，拒绝源地址为,192.168.20.1,的数据包通过。,Permit 192.168.10.0,0.0.0.255,Deny host-source 192.168.20.1,开启交换机的包过滤功能,相关命令：,Firewall enable,作用：开启交换机的包过滤功能（即防火墙功能）,Firewall disable,作用：关闭交换机的包过滤功能,说明,在允许和禁止防火墙时，都可以设置访问规则。但只有在防火墙起作用时才可以将规则应用至特定端口的特定方向上；,使防火墙不起作用后将删除端口上绑定的所有,ACL,。,设置包过滤的默认动作,相关命令：,Firewall default permit,作用：设置其默认动作为允许,Firewall default deny,作用：设置其默认动作为拒绝,说明,此命令只影响端口入口方向的,IP,包，其余情况下数据包均可通过交换机。,将访问列表应用到指定端口,命令：,Interface ,Ip,access-group,in|out,作用：在端口的某个方向上应用一条,access-list,说明,一个端口可以绑定一条入口规则和一条出口规则；,ACL,绑定到出口时只能包含,deny,规则；,如果是堆叠交换机，则只能在入口绑定,ACL,，不能在出口绑定,ACL,。,总结：,对,ACL,中的表项的检查是自上而下的，只要匹配一条表项，对此,ACL,的检查就马上结束。,端口特定方向上没有绑定,ACL,或没有任何,ACL,表项匹配时，才会使用默认规则。,每个端口入口和出口可以各绑定一条,IP ACL,。,当一条,ACL,被绑定到端口出口方向时，只能包含,deny,表项。,可以配置,ACL,拒绝某些,ICMP,报文通过以防止“冲击波”等病毒攻击。,对于堆叠交换机，则只能在入口绑定,ACL,，不能在出口绑定,ACL,。,标准访问列表应用举例,要求：,PC1(192.168.10.1),不能访问服务器,server1(192.168.20.1),和,server2(192.168.20.2),，,PC2(192.168.10.2),可以访问。,PC1,接在端口,1,上，,PC2,接在端口,2,上；,server1,接在端口,23,上，,server2,接在端口,24,上。,switch#conf,Switch(config,)#,ip,access-list standard pc1toserver1,#deny host-source 192.168.10.1,#exit,#,int,e0/0/23,#,ip,access-group pc1toserver1 out,Switch(config,)#,ip,access-list standard pc1toserver2,#deny host-source 192.168.10.1,#exit,#,int,e0/0/24,#,ip,access-group pc1toserver2 out,配置命名扩展,IP,访问列表的步骤,创建一个命名扩展,IP,访问列表,指定多条,permit,或,deny,规则,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建一个命名扩展,IP,访问列表,命令：,ip,access-list extended,说明：,name,为访问列表的名字，字符串长度为,116,个字符，第一个字符不能为数字。,举例：创建一个名为,test,的扩展,IP,访问列表,ip,access-list extended,test,指定多条,permit,或,deny,规则,命令（过滤,ICMP,数据包）：,deny|permit,icmp,|any-source|host-source|any-destination|host-destination precedence ,tos,time range ,说明,，,icmp,的类型，,0,255,；,，,icmp,的协议编号，,0,255,；,，,IP,优先级，,0,7,；,，,tos,值，,0-15,time-range-name,，时间范围名称。,指定多条,permit,或,deny,规则,命令（过滤,IGMP,数据包）：,deny|permit,igmp,|any-source|host-source|any-destination|host-destination precedence ,tos,time-range,说明,，,igmp,的类型，0,-,255,指定多条,permit,或,deny,规则,命令（过滤,TCP,数据包）：,deny|permit,tcp,|any-source|host-source ,sPort,|any-destination|host-destination ,dPort,ack+fin+psh+rst+urg+syn,precedence ,tos,time-range ,说明,，源端口号，0-65535；,，目的端口号，0-65535,。,指定多条,permit,或,deny,规则,命令（过滤,UDP,数据包）：,deny|permit,udp,|any-source|host-source ,sPort,|any-destination|host-destination ,dPort,precedence ,tos,time-range ,指定多条,permit,或,deny,规则,命令（过滤,IP,等数据包）：,deny|permit,eigrp,|,gre,|,igrp,|,ipinip,|,ip,|any-source|host-source|any-destination|host-destination precedence ,tos,time range,举例：创建名为,udpFlow,的扩展访问列表。拒绝,igmp,报文通过，允许目的地址为,192.168.0.1,、目的端口为,32,的,udp,包通过。,#,ip,access-list extended,udpFlow,#deny,igmp,any-source any-destination,#permit,udp,any-source host-destination 192.168.0.1,dPort,32,命名扩展,IP,访问列表应用举例,要求：,允许,PC1,访问,server,的,Telnet,服务，但不能,ping,通它；,拒绝,PC2,访问,server,的,Telnet,服务，但能,ping,通它。,在,5526,交换机上进行配置,Ip,access-list extended pc1toserver,Permit,tcp,192.168.100.0,0.0.0.255,host-destination 192.168.10.254,dport,23,Deny,icmp,host-source 192.168.100.1 host-destination 192.168.10.254,Ip,access-list extended pc2toserver,deny,icmp,host-source 192.168.200.1 host-destination 192.168.10.254,Permit,tcp,host-source 192.168.100.1 host-destination 192.168.10.254,Firewall enable,Firewall default permit,Interface e0/0/1,Ip,access-group pc1toserver in,Interface e0/0/2,Ip,access-group pc2toserver in,配置数字标准,IP,访问列表的步骤,创建一个数字标准,IP,访问列表，并指定,permit,或,deny,规则,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建一个数字标准,IP,访问列表,命令：,access-list deny|permit|any-source|host-source ,说明：,num,为访问列表的数字编号，取值,199,。,sIpAddr,为源,IP,地址，,sMask,为源,IP,的反掩码。,如果已有此访问列表，则增加一条规则。,举例：创建一个编号为,1,的标准,IP,访问列表，允许,192.168.1.0,网段的数据通过。,access-list 1 permit 192.168.1.0 0.0.0.255,数字标准访问列表应用举例,要求：,PC1(192.168.10.1),不能访问服务器,server1(192.168.20.1),和,server2(192.168.20.2),，,PC2(192.168.10.2),可以访问。,PC1,接在端口,1,上，,PC2,接在端口,2,上；,server1,接在端口,23,上，,server2,接在端口,24,上。,switch#conf,Switch(config,)#access-list 1 deny host-source 192.168.10.1,#exit,#,int,e0/0/23,#,ip,access-group 1 out,Switch(config)#access,-list 2 deny host-source 192.168.10.1,#exit,#,int,e0/0/24,#,ip,access-group 2 out,配置数字扩展,IP,访问列表的步骤,创建一个数字扩展,IP,访问列表，并指定,permit,或,deny,规则,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建一个数字标准,IP,访问列表,命令：,access-list deny|permit ,说明：,num,为访问列表的数字编号，取值,100199,。,sIpAddr,为源,IP,地址，,sMask,为源,IP,的反掩码。,如果已有此访问列表，则增加一条规则。,举例：创建一个编号为,101,的扩展,IP,访问列表，允许,192.168.1.0,网段的主机访问,ftp,服务器,202.10.1.2,。,access-list 101 permit,tcp,192.168.1.0 0.0.0.255,host-destination 202.10.1.2,dport,21,数字扩展,IP,访问列表应用举例,要求：,允许,PC1,访问,server,的,Telnet,服务，但不能,ping,通它；,拒绝,PC2,访问,server,的,Telnet,服务，但能,ping,通它。,在,5526,交换机上进行配置,access-list 101 permit,tcp,192.168.100.0,0.0.0.255,host-destination 192.168.10.254,dport,23,access-list 101 deny,icmp,host-source 192.168.100.1 host-destination 192.168.10.254,access-list 102 deny,icmp,host-source 192.168.200.1 host-destination 192.168.10.254,access-list 102 permit,tcp,host-source 192.168.100.1 host-destination 192.168.10.254,Firewall enable,Firewall default permit,Interface e0/0/1,Ip,access-group 101 in,Interface e0/0/2,Ip,access-group 102 in,基于时间的访问控制列表,概述,可以根据一天中的不同时间，或者根据一个星期中的不同日期，或者二者相结合，来控制对网络数据包的转发。,实现基于时间的访问列表的操作步骤,定义一个时间范围,在访问列表中引用时间范围,基于时间的访问控制列表的配置,第一步：时间范围命名,time-range ,第二步：定义具体的时间范围,定义绝对时间范围,absolute,Absolute-periodic,定义周期、重复使用的时间范围,periodic,第三步,在访问列表中引用时间范围,说明,absolute-periodic,Monday|Tuesday|Wednesday,|,Thursday|Friday,|,Saturday|Sunday,to,Monday.|Tuesday.|Wednesday,.|Thursday.|,Friday.|Saturday.|Sunday,.,Periodic,Monday+Tuesday+Wednesday+Thursday+Friday,+Saturday+Sunday|daily|weekdays|weekend to,absolute,Monday|Tuesday|Wednesday,|,Thursday|Friday,|,Saturday|Sunday,to,Monday.|Tuesday,.|Wednesday.|Thursday.|,Friday.|Saturday.|Sunday,.,或,absolute start end ,说明,periodic,命令中参数,参数,描述,Monday,Tuesday,Wednesday,Thursday,Friday,Saturday,sunday,某一天或某几天的结合,daily,每天,weekdays,从星期一到星期五,weekend,星期六和星期日,确保交换机时钟设置准确,开始时间必须小于结束时间,举例：,使,Tuesday,的,9:15:30,到,Saturday,的,12:30:00,时间段内配置生效,Switch(Config)#time,-range,dc_timer,Switch(Config-Time-Range)#absolute-periodic,Tuesday 9:15:30 to Saturday.12:30:00,使,Monday,、,Wednesday,、,Friday,和,Sunday,四天内的,14:30:00,到,16:45:00,时间段配置生效,Switch(,Config,-Time-Range)#periodic Monday Wednesday Friday,Sunday 14:30:00 to 16:45:00,基于时间访问列表应用举例,要求：,限制,192.168.1.0,网段的主机只能在,2007,年,6,月,1,日至,2008,年,12,月,31,日内的星期六的早上,7:00,到星期日的下午,5:00,进行,WWW,访问。,Route-,config#,time,-range allow-www,Route-,config-time-range#,absolute,start 7:00:00 2007.6.1 end 17:00:00 2008.12.31,Route-,config-time-range#,periodic,weekend 7:00:00 to 17:00:00,Route-,config#,ip,access-list extended,timeacl,Route-,config-ext-nacl#,permit,tcp,192.168.1.0 0.0.0.255 any-destination,dport,80 time-range allow-www,Route-,config#,firewall,enable,Route-,config#,firewall,default permit,Route-,config,#,int,E0/0/1,Route-config-f0/1#,ip access-group,timeacl,in,第五次实验,ACL,配置（一）,实验目的,理解,ACL,的作用,掌握交换机的命名标准,ACL,和命名扩展,ACL,的配置方法,掌握交换机的数字标准,ACL,和数字扩展,ACL,的配置方法,实验内容,见,交换机实验,中的实验三十一、三十二。,实验三十一,标准,ACL,配置,PC1,和,PC2,通过交换机,A,连到,Server,（假设为,telnet,服务器）。,要求：,不配置,ACL,时，,PC1,和,PC2,都可访问,server,；,配置,ACL,后，,PC1,和,PC2,都不能访问,server,。只有更改了,IP,地址后才可访问；,Ip,access-list standard test,Deny 192.168.100.11 0.0.0.255,Deny 192.168.200.22 0.0.0.0,为什么会有下列结果？,PC,端口,Ping,结果,Pc1:192.168.100.11,0/0/1,10.1.1.1,不通,Pc1:192.168.100.12,0/0/1,10.1.1.1,不通,Pc2:192.168.200.22,0/0/9,10.1.1.1,不通,Pc2:192.168.200.12,0/0/9,10.1.1.1,通,实验三十二,扩展,ACL,配置,PC1,和,PC2,通过交换机,A,连到,Server,（假设为,telnet,服务器）。,要求：,不配置,ACL,时，,PC1,和,PC2,都可访问,server,；,配置,ACL,后，,PC2,不能访问,server,。只有更改了,IP,地址后才可访问；,Ip,access-list extended test,Deny,tcp,host-source 192.168.200.22 host-destination 10.1.1.1,dport,23,为什么会有下列结果？,PC,端口,telnet,结果,Pc1:192.168.100.11,0/0/1,10.1.1.1,通,Pc2:192.168.200.22,0/0/9,10.1.1.1,不通,Pc2:192.168.200.12,0/0/9,10.1.1.1,通,第六次实验,ACL,配置（二）,实验目的,进一步熟悉和掌握交换机的,ACL,配置。,实验内容,见,交换实验指导,实验三十三、三十四,实验三十三,单向访问控制的实现,PC1,和,PC2,通过交换机,A,相连。,要求：,不配置,ACL,时，,PC1,和,PC2,可以互访；,配置,ACL,后，,PC1,可以访问,PC2,，但,PC2,不能访问,PC1,（如,ping,）。,Ip,access-list extended test,Deny,icmp,host-source 192.168.200.22 host-destination 192.168.100.11 8,Int,e0/0/1,Ip,access-group test in,实验三十四,配置访问列表过滤病毒,目的,了解病毒的工作原理，掌握常见病毒的特征；,掌握过滤病毒的方法,要求,通过配置，使交换机能隔离病毒。,病毒运行时会不停地利用,IP,扫描技术寻找网络上系统的漏洞进行攻击，一旦攻击成功，病毒体将会被传送到对方计算机中进行感染，使系统操作异常、文件丢失或被破坏、不停重启、甚至导致系统崩溃等。,病毒常会利用,135,、,139,、,69,、,4444,、,445,等端口。,第一步：创建,acl,ip,access-list extended antivirus,第二步：制定过滤规则,/,禁,ping,deny,icmp,any-source any-destination,/,用于控制,Blaster,蠕虫的传播,deny,udp,any-source any-destination d-port 69,deny,tcp,any-source any-destination d-port 4444,/,用于控制冲击波病毒的扫描和攻击,deny,tcp,any-source any-destination d-port 135,deny,udp,any-source any-destination d-port 135,deny,udp,any-source any-destination d-port 137,deny,udp,any-source any-destination d-port,eq,138,deny,tcp,any-source any-destination d-port 139,deny,udp,any-source any-destination d-port 139,deny,tcp,any-source any-destination d-port 445,deny,udp,any-source any-destination d-port 445,deny,udp,any-source any-destination d-port 593,deny,tcp,any-source any-destination d-port 593,deny,tcp,any-source any-destination d-port 5554,deny,tcp,any-source any-destination d-port 9995,deny,tcp,any-source any-destination d-port 9996,启用防火墙功能，并配置默认规则,Firewall enable,Firewall default permit,将,ACL,应用于端口,Ip,access-group antivirus in,MAC,访问列表类型,数字标准,MAC,访问列表,数字扩展,MAC,访问列表,命名扩展,MAC,访问列表,配置数字标准,MAC,访问列表的步骤,创建数字标准,MAC,访问列表,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建数字标准,MAC,访问列表,命令：,access-list ,deny|permit,any-source-,mac,|host-source-,mac,|,功能：定义一条标准数字,MAC ACL,规则,参数：,访问表号，取值,700,到,799,；,，,源,MAC,地址；,源,MAC,地址的掩码（反掩码）,说明：当用户第一次指定特定,时，创建此编号的,ACL,，之后在此,ACL,中添加表项。,举例：允许源,MAC,地址为,00-00-XX-XX-00-01,的数据包通过，拒绝源地址为,00-00-00-XX-00-ab,的数据包通过。,Switch(Config,)#access-list 700 permit 00-00-,00-00,-00-01 00-00-,FF-FF,-00-01,Switch(Config,)#access-list 700 deny 00-00-00-,00,-00-ab 00-00-00-,FF,-00-ab,配置数字扩展,MAC,访问列表的步骤,创建数字扩展,MAC,访问列表,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建数字扩展,MAC,访问列表,命令：,access-list ,deny|permit,any-source-,mac,|host-source-,mac,|any-destination-,mac,|host-destination-,mac,|untagged-eth2|tagged-eth2|untagged-802.3|tagged-802.3 ,参数：,访问表号，取值,11001199,；,untagged-eth2,未标记的ethernet,II 包格式；tagged-eth2,标记的ethernet,II 包格式；untagged-802.3,未标记的ethernet,802.3 包格式；tagged-802.3,标记的ethernet,802.3,包格式,；,Offset(x,)从包头开始起的偏移量，范围为（12-79）；Length(x)长度为1-4；,Value(x,)16,进制数表示，取值范围：当Length(x,)=1 为0-ff,当Length(x,)=2为0-ffff,当Length(x,)=3 为0-ffffff,当Length(x,)=4 为0-ffffffff；,对于Offset(x)，对不同的数据帧类型，它的取值范围不同：对untagged-eth2,类型帧,：,，,对untagged-802.3,类型帧,：,，,对tagged-eth2,类型帧,：,，,对tagged-802.3,类型帧,：,举例：允许任意源,MAC,地址任意目的,MAC,地址的,tagged-eth2,，且其第,15 16,个字节分别为,0 x08,，,0 x0,的包通过,Switch(Config)#access,-list 1100 permit any-source-,mac,any-destination-,mac,tagged-eth2 14 2 0800,配置命名扩展,MAC,访问列表的步骤,创建一个命名扩展,MAC,访问列表,指定多条,permit,或,deny,规则,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建一个命名扩展,IP,访问列表,命令：,Mac-access-list extended,说明：,name,为访问列表的名字，字符串长度为,116,个字符，第一个字符不能为数字。,举例：创建一个名为,test,的扩展,mac,访问列表,Mac-access-list extended,test,指定多条,permit,或,deny,规则,命令：,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac|host-destination-mac,|untagged-eth2,ethertype,protocol-mask,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac|host-destination-mac,|tagged-eth2,cos,vlanId,指定多条,permit,或,deny,规则,命令：,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac|host-destination-mac,|untagged-802.3,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac|host-destination-mac,|tagged-802.3,cos,vlanId,指定多条,permit,或,deny,规则,命令：,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac|host-destination-mac,|,cos,vlanId,ethertype,说明：,cos-val,:,cos,值，,0-7,；,cos-bitmask,:,cos,掩码，,0-7,反掩码且掩码比特连续；,vid,-value:,vlan,号，,1-4094,；,vid-bitmask:vlan,掩码，,0-4095,，反掩码且掩码比特连续；,protocol:,特定的以太网协议号，,1536,65535,；,protocol-,bitmask,:,协议掩码，,0,65535,，反掩码且掩码比特连续,注意：掩码比特连续是指，掩码有效位必须从左第一位开始连续有效，不允许中间插入无效位，例如：一个字节的反掩码形式为：,00001111b,；正掩码形式为：,1110000,；不允许,00010011,。,例,1,管理员不希望交换机,10,号端口的网段中,00-12-11-23-xx-xx,的,802.3,数据报文的发出。,配置如下：,switch(Config)#,access,-list 1110 deny 00-12-11-23-11-24 00-00-00-00-ff-ff any-destination-,mac,tagged-802.3,switch(Config)#,access,-list 1110 deny 00-12-11-23-11-24 00-00-00-00-ff-ff any-destination-,mac,untagged-802.3,switch(Config)#,firewall,enable,switch(Config)#,firewall,default permit,switch(Config)#,interface,ethernet,0/0/10,switch(Config-Ethernet0/0/10)#,mac access-group 1110 in,MAC-IP,访问列表类型,数字扩展,MAC-IP,访问列表,命名扩展,MAC-IP,访问列表,配置数字扩展,MAC-IP,访问列表的步骤,创建数字扩展,MAC-IP,访问列表,开启交换机的包过滤功能，并设置其默认动作,将访问列表应用到指定端口,创建数字扩展,MAC-IP,访问列表,命令：,access-list ,deny|permit,any-source-,mac,|host-source-,mac,|any-destination-,mac|host-destination-mac,|,icmp,|any-source|host-source|any-destination|host-destination precedence ,tos,time-range ,access-list ,deny|permit,any-source-,mac,|host-source-,mac,|any-destination-,mac|host-destination-mac,|,igmp,|any-,source|host,-source|any-destination|host-destination precedence ,tos,time-range,access-list ,deny|permit,any-source-,mac|host-source-mac,|any-destination-,mac,|host-destination-,mac,|,tcp,|any-source|host-source s-port|any-,destination|host,-destination d-port ,ack+fin+psh+rst+urg+syn,precedence ,tos,time-range,access-list ,deny|permitany,-source-,mac,|host-source-,mac,|any-destination-,mac,|host-destination-,mac,|,udp,|any-source|host-source s-port|any-destination|host-destination d-port precedence ,tos,time-range,access-list ,deny|permit,any-source-,mac,|host-source-,mac,|any-destination-,mac|host-destination-mac,|,eigrp|gre|igrp|ip|ipinip|ospf,|,|any-,source|host,-source|any-destination|host-destination precedence ,tos,time-range,参数：,access-list-number,访问表号，取值,3100,3199,；,protocol,名字或,IP,协议的号。它可以是关键字,eigrp,gre,icmp,igmp,igrp,ip,ipinip,ospf,tcp,or,udp,也可以是表示,IP,协议号的,0,到,255,的一个整数。为了匹配任何,Internet,协议（包括,ICMP,，,TCP,和,UDP,）使用关键字,ip,。,例：允许源,MAC,为,00-12-34-45-XX-XX,，任意目的,MAC,地址，源,IP,地址为：,100.1.1.0,，,0.255.255.255,，任意目的,IP,地址，且源端口是,100,，目的端口是,40000,的,TCP,报文通过。,Switch(Config,)#,access-list 3199 permit 00-12-34-45-67-00 00-00-00-00-FF-FF any-destination-,mac,tcp,100.1.1.0 0.255.255.255 s-port 100 any-destination d-port 40000,举例：拒绝任意源,MAC,地址及目的,MAC,地址，任意源,IP,地址及目的,IP,地址，且源端口是,100,，目的端口是,4000