高级应用-QACL之绑定(2)

　　3. ip、端口捆绑：端口ethetnet 0/1仅仅允许ip地址为（ip：1.0.0.2）的主机接入

　　4. ip、mac捆绑：vlan 1下的主机pc1（mac：0.0.1）必须使用ip地址（ip：1.0.0.2）才可以通过交换机。

　　5. mac、ip、端口捆绑：端口ethetnet 0/1仅仅允许mac地址为（mac：0.0.1）而且ip地址为（ip：1.0.0.2）的主机接入。

　　2 数据配置步骤

　　『各种接入控制流程』

　　本例以3526E为例

　　【静态mac、端口捆绑】

　　这里必须严格rule规则的顺序，否则不生效。

　　1. 创建ACL

　　[SwitchA]acl num 200

　　2. 定义规则禁止E0/1去往任意端口的数据包

　　[SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any

　　3. 定义规则允许0.0.1的MAC地址从E0/1发住任意端口

　　[SwitchA-acl-link-200]rule 1 permit ingress 0.0.1 interface e0/1 egress any

　　4. 下发访问控制列表

　　[SwitchA]packet-filter link-group 200

　　【动态mac、端口捆绑】

　　1. 定义端口最大MAC地址学习数为1

　　[SwitchA-Ethernet0/2]mac-address max-mac-count 1

　　【ip、端口捆绑】

　　注：这是用QACL命令实现的，该功能在S3526系列交换机上可以使用用静态dhcp和am命令分别实现，具体情况请参考上面的内容。

　　1. 创建ACL

　　[SwitchA]acl num 1

　　2. 定义规则禁止所有的IP报文

　　[SwitchA-acl-basic-1]rule 0 deny source any

　　3. 定义规则允许源地址1.0.0.2主机

　　[SwitchA-acl-basic-1]rule 1 permit source 1.0.0.2 0

　　4. 创建ACL

　　[SwitchA]acl num 200

　　5. 定义规则

　　[SwitchA-acl-link-200]rule 0 deny ingress interface e0/1 egress any

　　[SwitchA-acl-link-200]rule 1 permit ingress interface e0/1 egress any

　　6. 下发访问控制列表，禁止E0/1的所有的IP报文

　　[SwitchA]packet-filter ip-group 1 rule 0 link-group 200 rule 0

　　7. 下发访问控制列表，允许主机1.0.0.2报文通过E0/1

　　[SwitchA]packet-filter ip-group 1 rule 1 link-group 200 rule 1进入讨论组讨论。

　　1. 创建ACL

　　[SwitchA]acl number 1

　　2. 定义规则允许特定IP

　　[SwitchA-acl-basic-1]rule 0 permit source 1.0.0.2 0

　　[SwitchA]acl number 200

　　3. 定义规则禁止特定MAC

　　[SwitchA-acl-link-200]rule 0 deny ingress 1 0000-0000-0001 0000-0000-0000 egress any

　　4. 定义规则允许特定MAC

　　[SwitchA-acl-link-200]rule 1 permit ingress 1 0000-0000-0001 0000-0000-0000 egress any

　　5. 下发访问控制列表，禁止特定mac 0.0.1

　　[SwitchA]packet-filter link-group 200 rule 0

　　6. 下发访问控制列表，允许符合IP的特定mac