扩展访问控制列表的两个高级选项

1. 概述: 本文讨论以下两个问题： 理解和使用 扩展 访问 控制 列表 的fragment 选项 ； 理解和使用 扩展 访问 控制 列表 的established 选项 。 2.使用fragment 选项 ： (1) 当一个ACL只含有三层信息时，对所有的包都进行 控制 。 (2) 当不使用frament 选项

1. 概述:

本文讨论以下两个问题：

理解和使用 扩展 访问 控制 列表 的fragment 选项 ；

理解和使用 扩展 访问 控制 列表 的established 选项 。

2.使用fragment 选项 ：

(1) 当一个ACL只含有三层信息时，对所有的包都进行 控制 。

(2) 当不使用frament 选项 时,一个包含三层和四层信息的acl条目将对所有的数据包进行以下 控制 :

如果是未分片数据包(nonfragmented)或者分片数据包的第一个分片(initial fragment) ,都将按正常的ACL进行 控制 （permit或deny）。

如果是分片数据包的后续分片（noninitial fragment），则只检查ACL条目中的三层部分（协议号、源、目的）。如果三层匹配而且是permit 控制 ，则允许该分片通过；如果三层匹配而且是deny 控制 ，则继续检查下一个ACL条目（和正常的ACL 控制 顺序不同）。

（3）当使用fragment 选项 时,一个acl条目将只对分片数据包的后续分片（noninitial fragment）进行 控制 ；并且ACL条目中不能包含四层信息。

access-list 101 permit fragment

3．使用established 选项 的ACL条目：

access-list 101 permit tcp established

该 选项 只能用于tcp协议，目的是为了实现基于tcp数据段（四层pdu）中的代码 控制 位的标志进行会话的 控制 ，例如只允许那些已经建立的tcp会话的流量（特征是ACK或者RST标志已置位）。

例如：假定上图中要实现以下 控制 ，只允许Net A的所有主机初始化到Net B的TCP通信，但是不允许NetB的主机初始化到Net A的TCP通信，可以使用以下ACL实现。

hostname R1

interface ethernet0

ip access-group 102 in

access-list 102 permit tcp any any gt 1023 established

4．小结

只有很好地理解tcp/ip协议各层数据单元的格式和内容，才能够正确使用ACL的各种 高级 选项 功能。

查看更多关于扩展访问控制列表的两个高级选项的详细内容...