CISCO ACL顺序修改.pdf

CISCOACL顺序修改2011-08-1016:17:31
分类：网络与安全
利用序列号修改思科IOS的ACL

在“过去”，你在一个访问控制列表中唯一可以添加一条新条目的位置就是它的底部。在访
问控制列表的指定位置添加条目的是不可能实现的工作。如果你想在一个已经存在的访问控
制列表的指定位置添加条目，就必须将其所有内容复制到记事本中，进行修改，并删除现有
的访问控制列表，将新修改的作为新列表，进行重建和再编译。

通过引入序列号，思科改变了这一切。该功能是从网络操作系统12.2(14)版本开始提供
的。通过使用序列号，你可以在希望的位置添加条目，也可以在需要删除的位置进行删除，
并对列表进行重新排列。这项新功能让访问控制列表的管理变得非常方便。

你们中的很多人应该已经非常熟悉访问控制列表中序列号的编辑了。如果不了解这样的
操作的话，可以看看下面提供的这个例子。

让我们看看这样的操作是多么的简单。在这个例子中，我们将打开一个现有的访问控制
列表，在里面添加一条数据，对列表进行重新排列，接着还要删除一条数据。所做的这一切，
我们都会在同一个使用界面下进行。在这个例子中，我使用的是一个简单的扩展访问控制列
表，但操作也适用于其它类型的访问控制列表。

下面显示的就是showrun命令运行后的结果：

interfaceEthernet0/0

ipaccess-groupMYTESTACLin

ipaccess-listextendedMYTESTACL

permitip10.10.10.00.0.0.255any

permiticmp10.10.10.00.0.0.255any

denyip10.10.20.00.0.0.255any

permittcp10.10.30.00.0.0.255host192.168.87.65eqwww

正如你所看到的，序列号不会显示在路由器运行配置中。只有运行showaccess-list查看
访问列表显示命令才能显示输入的序列号信息。

router#shaccess-list

ExtendedIPaccesslistMYTESTACL
10permitip10.10.10.00.0.0.255any

20permiticmp10.10.10.00.0.0.255any

30denyip10.10.20.00.0.0.255any

40permittcp10.10.30.00.0.0.255host192.168.87.65eqwww

现在在获得了需要的信息后，我们就可以在希望的位置插入一条新数据了，并且不会干
扰现有访问控制列表的运行。在这个例子中，我们将在第二十五个序列号的位置插入一条新
的许可证声明。请务必注意，在语句的第一部分就是新的序列号。

router#conft

router(config)#ipaccess-listextendedMYTESTACL

router(config-ext-nacl)#25permittcphost10.10.20.5host192.168.87.65eqwww

下面显示的就是调整变化后的结果：

router#shaccess-listMYTESTACL

ExtendedIPaccesslistMYTESTACL

10permitip10.10.10.00.0.0.255any

20permiticmp10.10.10.00.0.0.255any

25permittcphost10.10.20.5host192.168.87.65eqwww(**notenewline)

30denyip10.10.20.00.0.0.255any

40permittcp10.10.30.00.0.0.255host192.168.87.65eqwww

现在我们对更改后的访问控制列表进行重新编译。访问控制列表将按照我选择的开始序
列号以及增加标准对整个内容进行操作。

router(config)#ipaccess-listresequenceMYTESTACL10020

下面显示的就是运行showaccess-list显示访问列表命令后的结果：

router#shaccess-listsMYTESTACL

ExtendedIPaccesslistMYTESTACL
100permitip10.10.10.00.0.0.255any

120permiticmp10.10.10.00.0.0.255any

140permittcphost10.10.20.5host192.168.87.65eqwww

160denyip10.10.20.00.0.0.255any

180permittcp10.10