ACL 的功能、匹配原则、端口号类别

功能

1）限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定这种类型的数据包具有更高的优先级，同等情况下可预先被网络设备处理。

2）提供对通信流量的控制手段。

3）提供网络访问的基本安全手段。

4）在网络设备接口处，决定哪种类型的通信流量被转发、哪种类型的通信流量被阻塞。【排查故障抓包】

端口号的分类

编号范围【1-99】 源地址

扩展IP访问列表

编号访问【100-199】 源地址 目的地址 源端口 目的端口 协议号

命名IP访问列表

用命列表名来代替列表编号，同样包括标准和扩展两种协议

标准IPX访问

编号范围【800-899】 检查源网络号和目的网络号，同样可以检查源地址和目的地址的节点号部分。

扩展IPX访问

编号范围【900-999】 在标准IPX的基础上，增加了对IPX报文头中以下几个字段的检查，它们是协议类型，源Socket,目标Socket。

命名的IPX访问

用命列表名来代替列表编号，同样包括标准和扩展两种协议

ACL的匹配规则

支持两种匹配顺序

1：配置顺序（config）:按照配置的先后顺序

2：自动排序（auto）："深度优化"系统优先考虑地址访问地址小的。

基本的 ACL‘深度优先’顺序原则如下

•先比较源IP地址范围，源Ip地址范围小的优先，

•如果源IP地址范围相同，则先配置的规则优先

高级ACL的深度优先，顺序判断原则如下

•先比较协议范围，制定了ip承载的协议类型的规则优先

•如果协议范围相同，则比较源IP地址范围，源IP地址小的优先

•如果源IP地址范围地址相同则比较目的IP地址范围，目的IP地址范围小的优先

•如果目的IP地址范围相同则比较计较第四层端口号（TCP/UDP）范围，端口号小的优先

•如果上述范围都相同，则先配置的规则优先

二层ACL的’深度优先‘顺序判断规则优先如下

•先比较源MAC地址范围，源MAC地址范围小的优先

•如果源Mac地址范围相同，则比较目的MAC地址范围，目的MAC地址范围小的优先