Cisco SF 300-08 Administratorhandbuch Seite 267

Zugriffssteuerung
Zugriffssteuerungslisten
HINWEIS
Administratorhandbuch für Managed Switches der Serie 300 von Cisco Small Business
Der Switch unterstützt maximal 512 ACLs und maximal 512 ACEs.
Wenn ein Paket mit einem ACE-Filter übereinstimmt, wird die ACE-Aktion
durchgeführt und die Verarbeitung dieser ACL gestoppt. Wenn das Paket nicht mit
dem ACE-Filter übereinstimmt, wird das nächste ACE verarbeitet. Wenn alle ACEs
einer ACL abgearbeitet worden sind, ohne dass eine Übereinstimmung gefunden
wurde, und wenn eine weitere ACL vorhanden ist, wird diese in ähnlicher Weise
abgearbeitet. Wenn mit keinem der ACEs in keiner der relevanten ACLs eine
Übereinstimmung gefunden wird, erfolgt eine Drop-Aktion für das Paket (als
Standardaktion). Wegen dieser standardmäßigen Drop-Aktion müssen Sie in der
ACL ausdrücklich ACEs hinzufügen, um sämtlichen Datenverkehr zuzulassen, der
direkt an den Switch selbst gerichtet ist, einschließlich Verwaltungsdatenverkehr
wie z. B. Telnet, HTTP oder SNMP.
Wenn IGMP-/MLD-Snooping an einem Port mit Bindung an eine ACL aktiviert ist,
fügen Sie der ACL ACE-Filter zum Weiterleiten der GMP-/MLD-Pakete an den
Switch hinzu. Andernfalls schlägt das IGMP-/MLD-Snooping am Port fehl.
Die Reihenfolge der ACEs innerhalb der ACL ist von Bedeutung, da jeweils das
erste passende ACE angewendet wird. Die ACEs werden nacheinander
verarbeitet, beginnend mit dem ersten.
ACLs können zu Sicherheitszwecken angewendet werden, z. B. indem
bestimmten Datenverkehrsflüssen Zugang gewährt oder verweigert wird, oder
auch zur Klassifikation und Priorisierung von Datenverkehr im erweiterten QoS-
Modus.
Ein Port kann entweder durch eine ACL gesichert oder mit einer erweiterten QoS-
Richtlinie konfiguriert werden, beides gleichzeitig ist jedoch nicht möglich.
Pro Port kann es nur eine ACL geben, jedoch ist es ausnahmsweise möglich,
einem einzelnen Port sowohl eine IP-basierte als auch eine IPv6-basierte ACL
zuzuordnen. Um einem Port mehr als eine ACL zuzuordnen, muss eine Richtlinie
mit einer oder mehreren Klassenzuordnungen verwendet werden (siehe
Konfigurieren einer Richtlinie im erweiterten QoS-Modus). Es können die
folgenden Arten von ACLs definiert werden (abhängig davon, welcher Teil des
Frame-Headers geprüft wird):
• MAC-ACL: Nur Felder der Schicht 2 werden geprüft, wie in Definieren MAC-
basierter ACLs beschrieben.
• IPC-ACL: Felder der Schicht L3 von IP-Frames werden geprüft, wie in IPv4-
basierte ACLs beschrieben.
• IPv6-ACL: Felder der Schicht L3 von IPv4-Frames werden geprüft, wie in
Definieren einer IPv6-basierten ACL
beschrieben.
17
257