IPv4访问控制列表命令

　　1.1.1 access-list（standard）
　　【功能说明】
　　创建一个IPv4标准访问控制表，并用数字编号命名。
　　no命令删除指定编号的访问控制表。
　　【命令格式】
　　access-list access-list-number { deny | permit } { source-address source-wildcard | host ip-address | any } [ time-range time-range-name ]
　　no access-list access-list-number
　　【缺省情况】
　　系统缺省情况下未配置任何访问表。
　　【命令模式】
　　全局配置模式
　　【使用指南】
　　标准访问控制列表：基于报文的源地址过滤。
　　每个以数字编号的访问控制表，可设置多条规则，按照设置的先后顺序对规则排序。每条规则对应一个序列号，缺省条件下，序列号从10开始编号，且步长是10，即第1个规则的序列号是10，第2个规则的序列号是20，第3个规则的序列号是30，依次类推。规则的序列号决定了规则匹配的先后顺序。
　　ip地址与地址通配符（反向地址掩码）的关系语法规定如下：
　　在通配符中相应位为1的位，在比较中被忽略；
　　ip地址与通配符都是32位的数，语句中用点分十进制表示：
　　pp.pp.pp.pp mm.mm.mm.mm，前者是ip地址，后者是通配符；
　　用ip地址和通配符表示所有地址（any）：ip地址0.0.0.0，通配符255.255.255.255表示；
　　用ip地址和通配符表示主机地址（host）：ip地址pp.pp.pp.pp；或者用ip地址pp.pp.pp.pp，通配符0.0.0.0。
　　如：ip地址是172.26.0.0，通配符是0.0.255.255，则比较时，高16位ip地址需要比较，其它的都被忽略。当ip地址是172.26.1.1时，它与通配符结合在一起表示为172.26.0.0，属于ip地址172.26.0.0，通配符0.0.255.255指定地址范围。
　　【使用举例】
　　例：配置访问控制表10，并添加2条规则，允许来自源地址属于3.3.0.0/16且主机地址不是3.3.3.3的网络数据通过。
　　Switch(config)# access-list 10 deny 3.3.3.3 0.0.0.0
　　Switch(config)# access-list 10 permit 3.3.0.0 .0.0.255.255
　　把访问控制表10的所有规则都删掉
　　Switch(config)# no access-list 101.1.2access-list（extended）
　　【功能说明】
　　创建一个IPv4扩展访问控制表，并用数字编号命名。
　　no命令删除指定编号的访问控制表。
　　【命令格式】
　　access-list access-list-number { deny | permit } ip { source-address source-wildcard | host source-address | any } { destination destination-wildcard | host dest-address | any } [ protocol protocol ] [ precedence precedence ] [ fragments ] [ time-range time-range-name ]
　　access-list access-list-number { deny | permit } icmp { source-address source-wildcard | host source-address | any } { destination destination-wildcard | host dest-address | any } [ icmp-type icmp-type [ icmp-code icmp-code ] ] [ precedence precedence ] [ fragments ] [ time-range time-range-name ]
　　access-list access-list-number { deny |permit } tcp { source-address source-wildcard | host source-address | any } [ operator port ] { destination destination-wildcard | host dest-address | any } [ operator port ] [ syn ] [ precedence precedence ] [ fragments ] [ time-range time-range-name ]
　　access-list access-list-number { deny | permit } udp { source-address source-wildcard | host source-address | any } [ operator port ] { destination destination-wildcard | host dest-address | any } [ operator port ] [ precedence precedence ] [ fragments ] [ time-range time-range-name ]
　　no access-list access-list-number
　　【缺省情况】
　　系统缺省情况下未配置任何访问表。
　　【命令模式】
　　全局配置模式
　　【使用指南】
　　每个数字编号的访问控制表，可以设置多条规则，按照设置的先后顺序排序，最后隐含的规则是deny any。若operator位于source-address和source-wildcard之后，表示对源端口进行比较；若operator位于destination和destination-wildcard之后，表示对目的端口进行比较。
　　【使用举例】
　　例1：配置扩展访问控制表101，添加一个规则以允许来自源地址是2.0.0.0/8，目的地址任意的ip网络数据。
　　Switch(config)# access-list 101 permit ip 2.0.0.0 0.0.0.255 any
　　例2：配置扩展访问控制表102，添加一个规则以允许来自任意源地址，任意目的地址的ICMP数据。
　　Switch(config)# access-list 102 permit icmp any