Cisco 300 Serie Administratorhandbuch Seite 424

Zugriffssteuerung
HINWEIS
HINWEIS
Administratorhandbuch für Managed Switches der Serie 300 von Cisco Small Business
Der Switch unterstützt maximal 512 ACLs und maximal 512 ACEs.
Wenn ein Paket mit einem ACE-Filter übereinstimmt, wird die ACE-Aktion
durchgeführt und die Verarbeitung dieser ACL gestoppt. Wenn das Paket nicht mit
dem ACE-Filter übereinstimmt, wird das nächste ACE verarbeitet. Wenn alle ACEs
einer ACL abgearbeitet worden sind, ohne dass eine Übereinstimmung gefunden
wurde, und wenn eine weitere ACL vorhanden ist, wird diese in ähnlicher Weise
abgearbeitet.
Wenn mit keinem der ACEs in keiner der relevanten ACLs eine Übereinstimmung
gefunden wird, erfolgt eine Drop-Aktion für das Paket (als Standardaktion). Wegen
dieser standardmäßigen Drop-Aktion müssen Sie in der ACL ausdrücklich ACEs
hinzufügen, um den gewünschten Datenverkehr zuzulassen, der direkt an den
Switch selbst gerichtet ist, einschließlich Verwaltungsdatenverkehr wie z. B. Telnet,
HTTP oder SNMP. Wenn Sie beispielsweise nicht alle Pakete verwerfen möchten,
die nicht den Bedingungen in einer ACL entsprechen, müssen Sie in der ACL, die
den gesamten Verkehr zulässt, explizit ein ACE mit der niedrigsten Priorität
hinzufügen.
Wenn IGMP-/MLD-Snooping an einem Port mit Bindung an eine ACL aktiviert ist,
fügen Sie der ACL ACE-Filter zum Weiterleiten der IGMP-/MLD-Pakete an den
Switch hinzu. Anderenfalls schlägt das IGMP-/MLD-Snooping am Port fehl.
Die Reihenfolge der ACEs innerhalb der ACL ist von Bedeutung, da jeweils das
erste passende ACE angewendet wird. Die ACEs werden nacheinander
verarbeitet, beginnend mit dem ersten.
ACLs können zu Sicherheitszwecken angewendet werden, z. B. indem
bestimmten Datenverkehrsflüssen Zugang gewährt oder verweigert wird, oder
auch zur Klassifikation und Priorisierung von Datenverkehr im erweiterten QoS-
Modus.
Ein Port kann entweder durch eine ACL gesichert oder mit einer erweiterten QoS-
Richtlinie konfiguriert werden, beides gleichzeitig ist jedoch nicht möglich.
Pro Port kann es nur eine ACL geben, jedoch ist es ausnahmsweise möglich,
einem einzelnen Port sowohl eine IP-basierte als auch eine IPv6-basierte ACL
zuzuordnen.
Um einem Port mehrere ACLs zuzuordnen, müssen Sie eine Richtlinie mit
mindestens einer Klassenzuordnung verwenden (siehe Konfigurieren einer
Richtlinie in Erweiterter QoS-Modus).
Sie können die folgenden Arten von ACLs definieren (abhängig davon, welcher Teil
des Frame-Headers geprüft wird):
23
415