请教ACL 问题！

yahoo

总共请教三个问题！！\r\n\r\n1。标准的 IP ACL (1－99)和扩展的IP ACL (100~199) 之间的区别是什么？\r\n\r\n\r\n2。还有最后的access-list 111 permit ip any any 这句必须要有吗？\r\n\r\n\r\n目前的控制列表\r\n\r\naccess-list 111 deny   udp any any eq 1434（禁止访问任何主机的1434端口的意思吗？） 3\r\naccess-list 111 deny   udp any any eq 4444\r\naccess-list 111 deny   udp any any eq 445\r\naccess-list 111 deny   udp any any eq netbi\r\naccess-list 111 deny   udp any any eq netbi\r\naccess-list 111 deny   udp any any eq netbi\r\naccess-list 111 deny   udp any any eq tftp\r\naccess-list 111 deny   udp any any eq 593\r\naccess-list 111 deny   tcp any any eq 4444\r\naccess-list 111 deny   tcp any any eq 445\r\naccess-list 111 deny   tcp any any eq 135\r\naccess-list 111 deny   tcp any any eq 137\r\naccess-list 111 deny   tcp any any eq 138\r\naccess-list 111 deny   tcp any any eq 139\r\naccess-list 111 deny   tcp any any eq 593\r\naccess-list 111 deny   tcp any any eq 3076\r\naccess-list 111 deny   tcp any any eq 3077\r\naccess-list 111 deny   tcp any any eq 7777\r\naccess-list 111 deny   tcp any any eq 7778\r\naccess-list 111 deny   tcp any any eq 11300\r\naccess-list 111 deny   tcp any any eq 4661\r\naccess-list 111 deny   tcp any any eq 4662\r\naccess-list 111 deny   tcp any any eq 4242\r\naccess-list 111 deny   tcp any any eq 3318\r\naccess-list 111 deny   tcp any any eq 16881\r\naccess-list 111 deny   tcp any any eq 6346\r\naccess-list 111 deny   tcp any any eq 50007\r\naccess-list 111 deny   tcp any any eq 4371\r\naccess-list 111 deny   udp any any eq 8094\r\naccess-list 111 deny   udp any any eq 2881\r\naccess-list 111 deny   udp any any eq 5354\r\naccess-list 111 deny   tcp any any eq 3751\r\naccess-list 111 deny   tcp any any eq 3753\r\naccess-list 111 deny   tcp any any eq 4772\r\naccess-list 111 deny   tcp any any eq 4774\r\naccess-list 111 deny   tcp any any eq 3468\r\naccess-list 111 deny   tcp any any eq 6801\r\naccess-list 111 deny   tcp any any eq 6800\r\naccess-list 111 deny   tcp any any eq 11000\r\naccess-list 111 deny   tcp any any eq 9000\r\naccess-list 111 deny   tcp any any eq 5467\r\naccess-list 111 deny   tcp any any eq 2500\r\naccess-list 111 deny   tcp any any eq 4173\r\naccess-list 111 deny   tcp any any eq 10002\r\naccess-list 111 deny   tcp any any eq 10003\r\naccess-list 111 deny   tcp any any eq 8008\r\naccess-list 111 deny   udp any any eq 4004\r\naccess-list 111 permit ip any any

nanheyu

标准的ACL不能指定对哪些端口进行开放，而只能限制到地址\r\nACL缺省的是DENY，所以对你的访问列表，最后一句是必须的

yahoo

谢谢 楼上的！！\r\n\r\n1。配置ACL的时候访问列表的执行顺序的时候应遵循什么规则？\r\n2。为什么执行 no access-list 111 permit ip any any 上面的ACL全部会删除掉？

wonderliang

Csico删除ACL，不能一条一条珊\r\n如果你用名字ACL可以一条一条删除\r\n\r\nACL配置的原则是，路由器先执行前面的条目，如果某一条匹配了，路由器将不再向下继续执行匹配，

yahoo

比如 这样的话access-list 111 permit ip any any  下面的语句就不会执行是吗？\r\n\r\n某一条匹配了是什么意思？ \r\n\r\naccess-list 111 deny   tcp any any eq 4173\r\naccess-list 111 deny   tcp any any eq 10002\r\naccess-list 111 deny   tcp any any eq 10003\r\naccess-list 111 deny   tcp any any eq 8008\r\naccess-list 111 deny   udp any any eq 4004\r\naccess-list 111 permit ip any any \r\naccess-list 111 deny   tcp any any eq 11000\r\naccess-list 111 deny   tcp any any eq 9000\r\naccess-list 111 deny   tcp any any eq 5467\r\naccess-list 111 deny   tcp any any eq 2500

zhaoyuvchun

如果你把access-list 111 permit ip any any  放在最前面那么下面的就不会再匹配了