8.6 Настройка списков управления доступом (ACL)¶

access-list ace¶

Синтаксис команды

1	`access-list ace [ { update \| ace_id } { параметры } ]`

ОСНОВНОЙ СИНТАКСИС:
[ action { [ deny | permit ] filter interface port_type filter_port_list } ]
[ dmac-type { any | broadcast | multicast | unicast } ]
[ frame-type { ... } ] ← см. FRAME-TYPE ниже
[ ingress { any | port_type ingress_port_list } ]
[ logging disable ]
[ mirror disable ]
[ next { ace_id_next | last } ]
[ policy { policy-bitmask policy_bitmask } ]
[ rate-limiter { rate_limiter_id | disable } ]
[ redirect { disable | interface port_type redirect_port_list } ]
[ shutdown disable ]
[ tag { any | tagged | untagged } ]
[ tag-priority { 0-1 | 0-3 | 2-3 | 4-5 | 4-7 | 6-7 | tag_priority | any } ]
[ vid { vid | any } ]

FRAME-TYPE (выбрать один):
• any
• arp { arp-flag {...} sip/smac {...} ... } ← см. ARP OPTIONS
• etype { ... dmac { etype_dmac | any } etype_value | any ... }
• ipv4 { dip { dipv4 | any } | sip { sipv4 | any } | ipflag {...} }
• ipv6 { sip { sipv6 | any } | dip { dipv6 | any } | next-header {...} }
• ipv4-icmp { sip {...} | dip {...} | icmp-code {...} | icmp-type {...} | ip-flag }
• ipv4-tcp { sip {...} | dip {...} | sport {...} | dport {...} | tcp-flag {...} } ← см. TCP-FLAG
• ipv4-udp { sip {...} | dip {...} | sport {...} | dport {...} }
• ipv6-tcp { ... }
• ipv6-udp { ... }

ARP OPTIONS:
arp-flag { arp-ether { arp_flag_ether | any } | arp-ip {...} | arp-len {...} | arp-opcode {...} | ... }
sip { sipv4 | any { smac {...} } } | smac { etype_smac | any }

TCP-FLAG (все опционально):
[ tcp-ack { tcpv4_flag_ack | any } ]
[ tcp-fin { tcpv4_flag_fin | any } ]
[ tcp-psh { tcpv4_flag_psh | any } ]
[ tcp-rst { tcpv4_flag_rst | any } ]
[ tcp-syn { tcpv4_flag_syn | any } ]
[ tcp-urg { tcpv4_flag_urg | any } ]

Описание синтаксиса

Параметр	Описание
`update`	(опционально) обновление существующего ACE
`ace_id`	идентификатор ACE в диапазоне от 1 до 512
`next`	(опционально) поместить редактируемый ACE перед следующим ACE
`ace_id_next`	(опционально) номер в диапазоне от 1 до 512
`last`	(опционально) поместить редактируемый ACE в конец списка контроля доступа. Используется по умолчанию
`ingress`	(опционально) определение источника пакета
`interface`	(опционально) источником пакета является интерфейс
`port_type`	(опционально) тип порта (Giga или 25GigabitEthernet)
`ingress_port_list`	(опционально) список номеров портов. Например: 1/1,2-10
`any`	(опционально) любой входящий интерфейс
`policy`	(опционально) назначение политики с идентификатором в диапазоне от 0 до 255
`policy_bitmask`	(опционально) битовая маска политики в диапазоне от 0 до 255
`tag`	(опционально) тип тега VLAN у пакета
`tagged`	(опционально) пакеты с тегом VLAN
`untagged`	(опционально) пакеты без тега VLAN
`vid`	(опционально) идентификатор VLAN в диапазоне от 1 до 4095
`vid any`	(опционально) любое значение поля VID
`tag-priority`	(опционально) приоритет тега VLAN
`tag_priority`	(опционально) значение приоритета тега в диапазоне от 0 до 7
`0-1`	(опционально) диапазон приоритетов тегов от 0 до 1
`0-3`	(опционально) диапазон приоритетов тегов от 0 до 3
`2-3`	(опционально) диапазон приоритетов тегов от 2 до 3
`4-5`	(опционально) диапазон приоритетов тегов от 4 до 5
`4-7`	(опционально) диапазон приоритетов тегов от 4 до 7
`6-7`	(опционально) диапазон приоритетов тегов от 6 до 7
`dmac-type`	(опционально) тип MAC-адреса назначения
`unicast`	(опционально) одноадресный MAC-адрес назначения
`multicast`	(опционально) многоадресный MAC-адрес назначения
`broadcast`	(опционально) широковещательный MAC-адрес назначения
`frame-type`	(опционально) тип фрейма
`etype`	(опционально) тип фрейма – Ethernet
`etype_value`	(опционально) значение протокола Ethernet в диапазоне: 0x600-0x7ff, 0x801-0x805, 0x807-0x86dc, 0x86de-0xffff
`smac`	(опционально) поле MAC-адреса источника
`etype_smac`	(опционально) значение поля MAC-адреса источника в шестнадцатеричном формате
`dmac`	(опционально) поле MAC-адреса назначения
`etype_dmac`	(опционально) значение поля MAC-адреса назначения в шестнадцатеричном формате
`arp`	(опционально) тип фрейма – ARP
`sip`	(опционально) поле IP-адреса источника
`arp_sip`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`dip`	(опционально) поле IP-адреса назначения
`arp_dip`	(опционально) значение поля IP-адреса назначения. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`arp_smac`	(опционально) значение поля MAC-адреса источника
`arp-opcode`	(опционально) поле кода операции ARP/RARP
`rarp`	(опционально) код операции RARP
`other`	(опционально) код операции, не относящийся к ARP/RARP
`arp-flag`	(опционально) флаг ARP
`arp-request`	(опционально) поле кода операции ARP Request/Reply
`arp_flag_request`	(опционально) значение поля кода операции ARP Request/Reply в диапазоне от 0 до 1
`arp-smac`	(опционально) поле физического адреса отправителя (SHA) ARP
`arp_flag_smac`	(опционально) значение поля физического адреса отправителя (SHA) ARP в диапазоне от 0 до 1
`arp-tmac`	(опционально) поле физического адреса получателя (THA) ARP
`arp_flag_tmac`	(опционально) значение поля физического адреса получателя (THA) ARP в диапазоне от 0 до 1
`arp-len`	(опционально) поле длины физического адреса (HLN) и длины логического адреса (PLN) ARP/RARP
`arp_flag_len`	(опционально) значение поля длины физического адреса (HLN) и длины логического адреса (PLN) ARP/RARP в диапазоне от 0 до 1
`arp-ip`	(опционально) поле диапазона физических адресов (HRD) ARP/RARP
`arp_flag_ip`	(опционально) значение поля диапазона физических адресов (HRD) ARP/RARP от 0 до 1
`arp-ether`	(опционально) поле диапазона логических адресов (PRO) ARP/RARP
`arp_flag_ether`	(опционально) значение поля диапазона логических адресов (PRO) ARP/RARP от 0 до 1
`ipv4`	(опционально) тип фрейма IPv4
`sipv4`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`dipv4`	(опционально) значение поля IP-адреса назначения. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`ipv4_protocol`	(опционально) значение поля протокола IPv4 в диапазоне от 0 до 255
`ip-flag`	(опционально) флаг IP
`ip-ttl`	(опционально) поле IPv4 TTL
`ip_flag_ttl`	(опционально) значение поля IPv4 TTL в диапазоне от 0 до 1
`ip-options`	(опционально) поле опций IPv4
`ip_flag_options`	(опционально) значение поля опций IPv4 в диапазоне от 0 до 1
`ip-fragment`	(опционально) поле фрагмента IPv4
`ip_flag_fragment`	(опционально) значение поля фрагмента IPv4 в диапазоне от 0 до 1
`ipv4-icmp`	(опционально) тип фрейма IPv4 ICMP
`sipv4_icmp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`dipv4_icmp`	(опционально) значение поля IP-адреса назначения. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`icmp-type`	(опционально) поле типа ICMP
`icmpv4_type`	значение поля типа ICMP
`icmp-code`	(опционально) поле кода ICMP
`icmpv4_code`	(опционально) значение поля кода ICMP
`ip_flag_icmp_ttl`	(опционально) значение поля IPv4 TTL в диапазоне от 0 до 1
`ip_flag_icmp_options`	(опционально) значение поля опций IPv4 в диапазоне от 0 до 1
`ip_flag_icmp_fragment`	(опционально) значение поля фрагмента IPv4 в диапазоне от 0 до 1
`ipv4-udp`	(опционально) тип фрейма IPv4 UDP
`sipv4_udp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`dipv4_udp`	(опционально) значение поля IP-адреса назначения. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sport`	(опционально) поле UDP-порта источника
`sportv4_udp_start`	(опционально) первое значение UDP-порта источника из диапазона
`to`	(опционально) диапазон портов
`sportv4_udp_end`	(опционально) последнее значение поля UDP-порта источника из диапазона
`dport`	(опционально) поле UDP-порта назначения
`dportv4_udp_start`	(опционально) первое значение поля UDP-порта назначения из диапазона
`dportv4_udp_end`	(опционально) последнее значение поля UDP-порта назначения из диапазона
`ip_flag_udp_ttl`	(опционально) значение поля IPv4 TTL в диапазоне от 0 до 1
`ip_flag_udp_options`	(опционально) значение поля опций IPv4 в диапазоне от 0 до 1
`ip_flag_udp_fragment`	(опционально) значение поля фрагмента IPv4 в диапазоне от 0 до 1
`ipv4-tcp`	(опционально) тип фрейма IPv4 TCP
`sipv4_tcp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`dipv4_tcp`	(опционально) значение поля IP-адреса назначения. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sportv4_tcp_start`	(опционально) первое значение TCP-порта источника из диапазона
`sportv4_tcp_end`	(опционально) последнее значение поля TCP-порта источника из диапазона
`dportv4_tcp_start`	(опционально) первое значение поля TCP-порта назначения из диапазона
`dportv4_tcp_end`	(опционально) последнее значение поля TCP-порта назначения из диапазона
`ip_flag_tcp_ttl`	(опционально) значение поля IPv4 TTL в диапазоне от 0 до 1
`ip_flag_tcp_options`	(опционально) значение поля опций IPv4 в диапазоне от 0 до 1
`ip_flag_tcp_fragment`	(опционально) значение поля фрагмента IPv4 в диапазоне от 0 до 1
`tcp-flag`	(опционально) флаг TCP
`tcp-fin`	(опционально) поле TCP FIN
`tcpv4_flag_fin`	(опционально) значение поля TCP FIN
`tcp-syn`	(опционально) поле TCP SYN
`tcpv4_flag_syn`	(опционально) значение поля TCP SYN
`tcp-rst`	(опционально) поле TCP RST
`tcpv4_flag_rst`	(опционально) значение поля TCP RST
`tcp-psh`	(опционально) поле TCP PSH
`tcpv4_flag_psh`	(опционально) значение поля TCP PSH
`tcp-ack`	(опционально) поле TCP ACK
`tcpv4_flag_ack`	(опционально) значение поля TCP ACK
`tcp-urg`	(опционально) поле TCP URG
`tcpv4_flag_urg`	(опционально) значение поля TCP URG
`ipv6`	(опционально) тип фрейма IPv6
`next-header`	(опционально) поле IPv6 Hop Limit
`next_header`	(опционально) значение поля IPv6 Hop Limit. Диапазоны: от 0 до 5, от 7 до 16, от 18 до 57, от 59 до 255
`sipv6`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sip-bitmask`	(опционально) битовая маска для IPv6-адреса источника
`sipv6_bitmask`	(опционально) значение битовой маски IPv6-адреса источника
`hop-limit`	(опционально) поле IPv6 Hop Limit. Значение: 0 или 1
`hop_limit`	(опционально) значение поля IPv6 Hop Limit
`ipv6-icmp`	(опционально) тип фрейма IPv6 ICMP
`sipv6_icmp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sipv6_bitmask_icmp`	(опционально) значение битовой маски IPv6-адреса источника
`icmpv6_type`	(опционально) значение поля типа ICMP
`icmpv6_code`	(опционально) значение поля кода ICMP
`hop_limit_icmp`	(опционально) значение поля IPv6 Hop Limit
`ipv6-udp`	(опционально) тип фрейма IPv6 UDP
`sipv6_udp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sipv6_bitmask_udp`	(опционально) значение битовой маски IPv6-адреса источника
`sportv6_udp_start`	(опционально) первое значение поля UDP-порта источника из диапазона
`sportv6_udp_end`	(опционально) последнее значение поля UDP-порта источника из диапазона
`dportv6_udp_start`	(опционально) первое значение поля UDP-порта назначения из диапазона
`dportv6_udp_end`	(опционально) последнее значение поля UDP-порта назначения из диапазона
`hop_limit_udp`	(опционально) значение поля IPv6 Hop Limit
`ipv6-tcp`	(опционально) тип фрейма IPv6 TCP
`sipv6_tcp`	(опционально) значение поля IP-адреса источника. Примечание – Недействительный IP-адрес (например, 0.0.0.0) также будет принят
`sipv6_bitmask_tcp`	(опционально) значение битовой маски IPv6-адреса источника
`sportv6_tcp_start`	(опционально) первое значение поля TCP-порта источника из диапазона
`sportv6_tcp_end`	(опционально) последнее значение поля TCP-порта источника из диапазона
`dportv6_tcp_start`	(опционально) первое значение поля TCP-порта назначения из диапазона
`dportv6_tcp_end`	(опционально) последнее значение поля TCP-порта назначения из диапазона
`hop_limit_tcp`	(опционально) значение поля IPv6 Hop Limit
`tcpv6_flag_fin`	(опционально) значение поля TCP FIN
`tcpv6_flag_syn`	(опционально) значение поля TCP SYN
`tcpv6_flag_rst`	(опционально) значение поля TCP RST
`tcpv6_flag_psh`	(опционально) значение поля TCP PSH
`tcpv6_flag_ack`	(опционально) значение поля TCP ACK
`tcpv6_flag_urg`	(опционально) значение поля TCP URG
`action`	(опционально) действие ACL
`permit`	(опционально) разрешение прохождения пакета через устройство
`deny`	(опционально) запрет прохождения пакета через устройство
`filter interface`	(опционально) фильтрация на интерфейсе
`fliter_port_list`	(опционально) список номеров портов, например: 1/1,2-8
`rate-limiter`	(опционально) ограничитель скорости
`rate_limiter_id`	(опционально) идентификатор ограничителя скорости
`disable`	(опционально) отключение ограничителя скорости
`mirror`	(опционально) зеркалирование пакета в порт назначения
`logging`	(опционально) журналирование информации о пакетах при срабатывании правила. Примечание – Функция журналирования работает только при длине пакета меньше 1518 (без тегов VLAN)
`shutdown`	(опционально) отключение входящего порта при срабатывании правила. Функция отключения работает только при длине пакета меньше 1518 (без тегов VLAN)
`redirect interface`	(опционально) перенаправление пакета в указанный порт
`redirect_port_list`	(опционально) список номеров портов, например: 1/1,2-8

Режим команды: Режим глобальной настройки.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list ace» для добавления правила контроля доступа (ACE). Используйте команду «no access-list ace» для удаления правила контроля доступа (ACE). Команда без ключевого слова «update» создает или заменяет существующий ACE. Если какойлибо параметр не задан, то будет установлено его значение по умолчанию. Ключевое слово «update» используется для обновления существующего ACE, и при применении данного ключевого слова будет изменен только заданный параметр. ACE должны распологаться в определенном порядке; к полученному пакету будет применяться только первый соответствующий ACE. Ключевые слова «next» и «last» позволяют указать порядок расположения новой ACE. Примечание – Функции журналирования и отключения входящего порта работают только при длине пакета меньше 1518 (без тегов VLAN).

Примеры

Пример показывает, как создать правило фильтрации для пакетов с MAC-адресом источника 00:1a:4d:2d:c2:6a и назначить его на интерфейс gigabitethernet 1/1:

1
2
3

# configure terminal
(config)# access-list ace 1 ingress interface GigabitEthernet 1/1 frame-type etype smac 00-1a-4d-2d-c2-6a
(config)#

access-list action¶

Синтаксис команды

1	`access-list action { permit \| deny }`

Описание синтаксиса

Параметр	Описание
`permit`	разрешение прохождения пакета через устройство.
`deny`	запрет прохождения пакета через устройство.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list action» для установки действия, применяемого к пакетам, которым не соответствует ни одно правило. По умолчанию установлено разрешение прохождения пакета через устройство.

Примеры

Пример показывает, как установить запрет прохождения пакетов, которым не соответствует ни одно правило, на интерфейсе gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list action deny
(config-if)#

access-list logging¶

Синтаксис команды

1 2	`access-list logging no access-list logging`

Описание синтаксиса

Команда не имеет аргументов.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list logging» для включения журналирования событий получения пакетов, которым не соответствует ни одно правило. Используйте команду «no access-list logging» для отключения журналирования. По умолчанию журналирование отключено. Примечание – Функция журналирования работает только при длине пакета меньше 1518 (без тегов VLAN). Объем памяти системного журнала и скорость журналирования ограничены.

Примеры

Пример показывает, как включить журналирование событий получения пакетов, которым не соответствует ни одно правило, на интерфейсе gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list logging
(config-if)#

access-list mirror¶

Синтаксис команды

1 2	`access-list mirror no access-list mirror`

Описание синтаксиса

Команда не имеет аргументов.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list mirror» для включения зеркалирования (создания копии) пакетов, которым не соответствует ни одно правило. Используйте команду «no access-list mirror» для отключения зеркалирования. По умолчанию зеркалирование отключено.

Примеры

Пример показывает, как включить зеркалирование пакетов, которым не соответствует ни одно правило, на интерфейсе gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list mirror
(config-if)#

access-list policy¶

Синтаксис команды

1 2	`access-list policypolicy_id no access-list policy`

Описание синтаксиса

Параметр	Описание
`policy_id`	идентификатор политики в диапазоне от 0 до 255.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list policy» для установки политики, применяемой к пакетам, которым не соответствует ни одно правило. Используйте команду «no access-list policy» для удаления политики. По умолчанию политика не задана.

Примеры

Пример показывает, как установить номер политики №5 для пакетов, которым не соответствует ни одно правило, на интерфейсе gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list policy 5
(config-if)#

access-list port-state¶

Синтаксис команды

1 2	`access-list port-state no access-list port-state`

Описание синтаксиса

Команда не имеет аргументов.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list port-state» для включения интерфейса, который был отключен при срабатывании правила (ACE). Используйте команду «no access-list port-state» для отключения интерфейса. По умолчанию интерфейс включен.

Примеры

Пример показывает, как включить интерфейс gigabitethernet 1/1, который был отключен при срабатывании правила (ACE):

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list port-state
(config-if)#

access-list rate-limiter (interface)¶

Синтаксис команды

1 2	`access-list rate-limiter rate_limiter_id no access-list rate-limiter`

Описание синтаксиса

Параметр	Описание
`rate_limiter_id`	идентификатор ограничителя скорости в диапазоне от 1 до 16.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list rate-limiter» для установки ограничителя скорости, применяемого к пакетам, которым не соответствует ни одно правило. Используйте команду «no accesslist rate-limiter» для отключения ограничителя скорости. По умолчанию ограничитель скорости отключен.

Примеры

Пример показывает, как установить ограничитель скорости №8 для пакетов, которым не соответствует ни одно правило, на интерфейсе gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list rate-limiter 8
(config-if)#

access-list rate-limiter (global)¶

Синтаксис команды

1 2	`access-list rate-limiter [ rate_limiter_list ] { 10pps pps10_rate \| 25kbps kpbs25_rate } no access-list rate-limiter [ rate_limiter_list ]`

Описание синтаксиса

Параметр	Описание
`rate_limiter_list`	(oпционально) идентификатор ограничителя скорости в диапазоне от 1 до 16.
`pps10_rate`	множитель для ограничения скорости, равное 10 пакетам в секунду в диапазоне от 0 до 500000.
`kpbs25_rate`	множитель для ограничения скорости, равное 25 килобитам в секунду в диапазоне от 0 до 400000.

Режим команды: Режим глобальной настройки.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list rate-limiter» для установки параметров ограничителя скорости. Для ограничения по пакетам в секунду значение может быть только кратным 10. Для ограничения по килобитам в секунду значение может быть только кратным 25. Используйте команду «no access-list rate-limiter» для установки значения по умолчанию. По умолчанию 10 пакетов в секунду. Если команда введена без аргумента «rate_limiter_list », то значение применяется для всех ограничителей.

Примеры

Пример показывает, как установить ограничитель скорости №8 равным 1 Мбит/с на интерфейсе gigabitethernet 1/1:

1
2
3

# configure terminal
(config)# access-list rate-limiter 8 25kbps 40
(config)#

access-list shutdown¶

Синтаксис команды

1 2	`access-list shutdown no access-list shutdown`

Описание синтаксиса

Команда не имеет аргументов.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list shutdown» для установки отключения интерфейса при получении пакетов, которым не соответствует ни одно правило. Используйте команду «no access-list shutdown» для отключения функции. По умолчанию отключение порта не производится. Примечание – Функция отключения интерфейса работает только при длине пакета меньше 1518 (без тегов VLAN).

Примеры

Пример показывает, как установить отключение интерфейса при получении пакетов, которым не соответствует ни одно правило, для интерфейса gigabitethernet 1/1:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list shutdown
(config-if)#

access-list redirect¶

Синтаксис команды

1 2	`access-list redirect interface port_type [port_type_list ] no access-list redirect`

Описание синтаксиса

Параметр	Описание
`port_type_id`	(oпционально) тип порта ( Giga или 25GigabitEthernet).
`port_type_list`	(oпционально) список номеров портов, например: 1/1,2-10.

Режим команды: Режим настройки интерфейса.
Уровень доступа: 15

Указания по применению

Используйте команду «access-list redirect» для установки перенаправления пакетов, которым не соответствует ни одно правило. Используйте команду «no access-list redirect» для отключения функции. По умолчанию перенаправление отключено.

Примеры

Пример показывает, как установить перенаправление пакетов, которым не соответствует ни одно правило, с интерфейса gigabitethernet 1/1 на интерфейс gigabitethernet 1/2:

# configure terminal
(config)# interface GigabitEthernet 1/1
(config-if)# access-list redirect interface GigabitEthernet 1/2
(config-if)#

clear access-list ace statistics¶

Синтаксис команды

1	`clear access-list ace statistics`

Описание синтаксиса

Команда не имеет аргументов.

Режим команды: Фундаментальный режим.
Уровень доступа: 15

Указания по применению

Используйте команду «clear access-list ace statistics» для очистки статистики правил контроля доступа (ACE).

Примеры

Пример показывает, как очистить статистику правил контроля доступа:

1 2	`# clear access-list ace statistics #`

show access-list¶

Синтаксис команды

1	`show access-list [ interface [ port_type [v_port_type_list ] ] ] [ rate-limiter [rate_limiter_list ] ] [ ace statistics [ace_list ]]`

Описание синтаксиса

Параметр	Описание
`port_type`	(oпционально) тип порта ( Giga или 25GigabitEthernet).
`v_port_type_list`	(oпционально) список номеров портов, например: 1/1,2-10.
`rate_limiter_list`	(oпционально) идентификатор ограничителя скорости в диапазоне от 1 до 16.
`ace_list`	(oпционально) идентификатор ACE в диапазоне от 1 до 512.

Режим команды: Фундаментальный режим.
Уровень доступа: 15

Указания по применению

Используйте команду «show access-list» для вывода настроек и статистики правил контроля доступа (ACE). Если команда введена без аргументов, то происходит вывод всех настроек.

Примеры

Пример показывает, как вывести настройки правил контроля доступа для интерфейса gigabitethernet 1/1:

# show access-list interface GigabitEthernet 1/1
GigabitEthernet 1/1 :
---------------------
action is deny
policy ID is 5
rate limiter ID is 8
redirect is disabled
mirror is enabled
logging is enabled
shutdown is disabled
port-state is enabled
counter is 105
#

show access-list ace-status¶

Синтаксис команды

show access-list ace-status [ static ] [ link-oam ] [ loop-protect ] [ dhcp ] [ dhcp6-snooping ] [ arp-inspection ] [ cfm ] [ erps ] [ mrp ] [ ipmc ] [ ip-source-guard ] [ ipv6-source-guard ] [conflicts ]

Описание синтаксиса

Параметр	Описание
`static`	(oпционально) вывод состояния ACE, настроенных пользователями вручную.
`link-oam`	(oпционально) вывод состояния ACE, настроенных модулем Link OAM.
`loop-protect`	(oпционально) вывод состояния ACE, настроенных модулем Loop Protect.
`dhcp`	(oпционально) вывод состояния ACE, настроенных модулем DHCP.
`dhcp6-snooping`	(oпционально) вывод состояния ACE, настроенных модулем DHCP-Snooping.
`arp-inspection`	(oпционально) вывод состояния ACE, настроенных модулем ARP Inspection.
`cfm`	(oпционально) вывод состояния ACE, настроенных модулем CFM.
`erps`	(oпционально) вывод состояния ACE, настроенных модулем ERPS.
`mrp`	(oпционально) вывод состояния ACE, настроенных модулем MRP.
`ipmc`	(oпционально) вывод состояния ACE, настроенных модулем IPMC.
`ip-source-guard`	(oпционально) вывод состояния ACE, настроенных модулем IP Source Guard.
`ipv6-source-guard`	(oпционально) вывод состояния ACE, настроенных модулем IPv6 Source Guard.
`conflicts`	(oпционально) вывод состояния ACE, не примененных к аппаратному обеспечению из-за аппаратных ограничений.

Режим команды: Фундаментальный режим.
Уровень доступа: 15

Указания по применению

Используйте команду «show access-list acestatus» для вывода состояния правил контроля доступа (ACE). Если команда введена без аргументов, то происходит вывод состояния всех правил контроля доступа (ACE).

Примеры

Пример показывает, как вывести настройки правил контроля доступа для интерфейса gigabitethernet 1/1:

# show access-list ace-status
User
----
S   : static
IPSG: ipSourceGuard
IP6SG: ipv6SourceGuard
IP  : IP
IPMC: ipmc
CFM : Connectivity Fault Management
ERPS: Ethernet Ring Protection Switching
MRP: Media Redundancy Protocol
ARPI: arpInspection
DHCP: dhcp
D6SN: dhcp6Snooping
LOOP: loopProtect
LOAM: linkOam
Test: test
User ID Frame  Action Rate L.  Mirror   CPU    Count Conflict
---- -- ------ ------ -------- -------- ------ ----- -------
DHCP 1  UDP    Deny   Disabled Disabled Yes        0 No
DHCP 2  UDP    Deny   Disabled Disabled Yes        9 No
IP   3  IPv4   Permit Disabled Disabled Yes        0 No
IP   1  IPv4   Permit Disabled Disabled Yes        0 No
IPSG 54 IPv4   Permit Disabled Disabled No         0 No
IPSG 1  IPv4   Deny   Disabled Disabled No        75 No
S    1  EType  Permit Disabled Disabled No         0 No
Switch 1 access-list ace number: 7