第四章 防火墙访问控制列表v1
网络综合实训课件-访问控制列表
Wildcard mask(通配符掩码)
• 通配符掩码是一个32位比特的数字字符串。在通配符掩码中，0表示“相应的地 址位必须被测试”；1表示“相应的地址位可以被忽略，不用检查”。
特殊的通配符掩码
合通配符掩码写法：172.30.16.0 0.0.15是一组允许或拒绝的判断语句的集合；它可以根据数据报的三层 或四层协议信息进行流量的过滤。ACL可以对通过路由器或到达路由器的 流量进行过滤，但对路由器自身产生的流量不能起到过滤作用。
• Inbound(入站)访问列表是先对数据报实施允许还是拒绝的操作，如果允 许的话再路由到路由器的相应出口。而outbound(出站)访问列表是先路 由数据包，再根据出口的访问规则实行数据包的允许还是拒绝的操作。
– 只使用源地址信息来做过滤决定。
• 扩展访问列表（extended access lists)
– 可以根据源和目的IP地址、协议类型、源和目的端口等信息综合作出过滤决定。
• 命名的IP访问控制列表
– 以列表名代替列表编号来定义IP访问控制列表，同样包括标准和扩展两种列表，定义过滤的语句与 编号方式相似。
• 检查所有地址位，即某个具体的IP主机地址， • 如：172.30.16.29 0.0.0.0，在ACL中可以简写为：host 172.30.16.29
• 忽略所有地址为，即任意IP地址， • 如：0.0.0.0 255.255.255.255，在ACL中可以简写为：any
通配符掩码应用
• 可以使用ACL结合路由通告命令对需要通过的子网路由进行过滤。 • 例如你想让下列路由信息通过：172.30.16.0/24 to 172.30.31.0/24，在ACL中结
简述访问控制列表应用的一般规则
简述访问控制列表应用的一般规则
访问控制列表（AccessControlList，简称ACL）的应用已经被广泛使用于计算机网络安全中。
它可以帮助管理员控制网络资源的访问权限，以确保数据安全。
本文将介绍一般的访问控制列表应用规则，以及它们如何保护网络中的机密性和完整性。
一般来说，访问控制列表是由管理员根据对资源的需要设定的。
它由一些条目组成，每个条目表示一种访问权限。
管理员通常可以指定每个用户或组织的访问权限，并且允许新的用户或组织访问。
一般的访问控制列表应用规则包括：
1.读取：允许用户查看和下载文件内容，但不能修改文件内容。
2.写入：允许用户修改和添加文件内容。
3.执行：允许用户执行文件或程序，但不能修改文件内容。
4.删除：允许用户从系统中删除文件。
这些规则可以根据特定系统、用户或组织的需要而进行定制，以提供更加安全的环境。
此外，访问控制列表也可以用于防止未经授权的外部访问。
它可以帮助管理员设定一个特定的IP地址范围，只有地址范围内的用户才能访问相关的网络服务。
这可以有效地保护系统不受非法用户的攻击和流量。
访问控制列表的应用还可以帮助管理员确保网络数据的安全性，从而避免数据被他人窃取。
访问控制列表可以帮助管理员控制用户对数据的访问权限，同时禁止用户复制、移动或修改原始数据，从而有
效地保护数据的保密性和完整性。
总之，访问控制列表是一种有用的安全策略，它可以有效地控制用户访问网络资源的权限，从而帮助管理员确保系统的安全性和网络数据的完整性。
而这些应用规则，能够有效的为网络资源提供有效的保护。
访问控制列表(ACL)总结配置与应用
三、 命名访问控制列表
命名访问控制列表允许在标准和扩展访问控制列表中使用名称代替表号。 1、 命名访问控制列表的配置 Router(config)#ip access-list {standard | extended} access-list-name
扩展 ACL 配置实例
如图：配置允许主机 PC 访问 WEB 服务的 WWW 服务，而禁止主机 PC 访问 WEB 的其他 服务。
1、 分析哪个接口应用标准 ACL
应用在入站还是出站接口。 与标准 ACL 一样，应该尽量把 ACl 应用到入站方向
应用在哪台路由器上。 由于扩展 ACL 可以根据源 IP 地址。目的 IP 地址、指定协议、端口等过滤数据包，
3、 将 ACL 应用于接口
创建 ACL 后，只有将 ACL 应用于接口，ACL 才会生效。 Router(config)#ip access-group access-list-number {in | out }
参数 in|out 用来指示该 ACL 是应用到入站接口（in），还是初战接口（out）。 在接口上取消 ACL 的应用 Router（config）#no ip access-group acess-list-number (in | out)
access-llist-number：访问控制列表表号，对于扩展 ACL 来书是 100-199； permit | deny：如果满足条件，则允许|拒绝该流量； protocol：用于指定协议类型，如 IP、TCP、UDP、ICMP 等； source、destination：源和目的，分别用来表示源地址和目的地址； source-wildcard、destination-wildcard：反码。源地址和目标地址的反码； operator operan：lt（小于）、gt（大于）、eq（等于）、neq（不等于）和一个 端口。
访问控制列表
• 设备从某接口向外发送数据时进行安全规则过滤
• 一个接口在一个方向只能应用一组访问控制列表
IN F1/0
OUT F1/1
访问列表的入栈应用
查找路由表 进行选路转发 是否应用 访问列表 ?
Y N
是否送方
平顶山学院
平顶山学院
软件学院
反掩码（通配符） 反掩码（通配符）
128 64 32 16 8 4 2 1
0 0 0 1
0 0 0 1
0 1 0 1
0 1 0 1
0 1 1 1
0 1 1 1
0 1 1 1
0 1 1 1
0表示检查相应的地址比特 表示检查相应的地址比特 1表示不检查相应的地址比特 表示不检查相应的地址比特
• 规则匹配原则
– 从头到尾，自顶向下的匹配方式 – 匹配成功马上停止 – 立刻使用该规则的“允许/拒绝……”
9.3.5访问列表规则的定义
• 标准访问列表
– 根据数据包源IP地址进行规则定义
• 扩展访问列表
– 根据数据包中源IP、目的IP、源端口、目的端 口、协议进行规则定义
IP标准访问列表 标准访问列表
平顶山学院 软件学院
标准访问列表配置实例(二)
• 需求：
– 你是某校园网络管理员，领导要你对网络的数据 流量进行控制,要求校长可以访问财务的主机，但 教师机不可以访问。
• 配置：
– ip access-list standard abc – permit host 192.168.2.8 – deny 192.168.2.0 0.0.0.255 F0/2 – ip access-group abc in
F0/1 财务 192.168.1.0 F0/6 F0/8 F0/10 教师 192.168.2.0
华为防火墙操作手册-系统管理
目录第1章系统维护管理 ............................................................................................................... 1-11.1 系统维护管理介绍 ............................................................................................................. 1-11.2 配置文件管理..................................................................................................................... 1-11.2.1 配置文件内容及格式............................................................................................... 1-11.2.2 查看防火墙的当前配置和起始配置 ......................................................................... 1-11.2.3 修改和保存当前配置............................................................................................... 1-21.2.4 擦除配置文件.......................................................................................................... 1-21.2.5 配置文件使用.......................................................................................................... 1-31.3 维护调试............................................................................................................................ 1-41.3.1 配置防火墙名称和系统时钟 .................................................................................... 1-41.3.2 正则表达式的使用................................................................................................... 1-41.3.3 系统状态信息收集................................................................................................... 1-71.3.4 网络连接的测试工具............................................................................................... 1-71.3.5 系统调试功能.......................................................................................................... 1-91.4 补丁软件升级................................................................................................................... 1-111.4.1 补丁软件升级........................................................................................................ 1-111.5 信息中心功能................................................................................................................... 1-121.5.1 信息中心简介........................................................................................................ 1-121.5.2 信息中心配置........................................................................................................ 1-121.5.3 显示终端的配置 .................................................................................................... 1-171.5.4 信息中心配置举例................................................................................................. 1-171.6 日志维护.......................................................................................................................... 1-191.6.1 日志简介 ............................................................................................................... 1-191.6.2 二进制流日志配置................................................................................................. 1-211.6.3 日志维护的显示和调试 ......................................................................................... 1-221.6.4 日志典型配置举例................................................................................................. 1-221.7 VPN Manager适配 .......................................................................................................... 1-251.7.1 VPN Manager简介................................................................................................ 1-251.7.2 Eudemon防火墙上的VPN Manager适配 ............................................................ 1-26第2章文件管理 ...................................................................................................................... 2-12.1 文件系统............................................................................................................................ 2-12.1.1 文件系统简介.......................................................................................................... 2-12.1.2 目录操作 ................................................................................................................. 2-12.1.3 文件操作 ................................................................................................................. 2-12.1.4 存储设备操作.......................................................................................................... 2-22.1.5 文件系统提示方式................................................................................................... 2-22.1.6 文件系统使用举例................................................................................................... 2-22.2 FTP配置............................................................................................................................ 2-32.2.1 FTP简介 ................................................................................................................. 2-32.2.2 FTP服务器配置....................................................................................................... 2-42.2.3 FTP服务器的显示和调试........................................................................................ 2-52.2.4 FTP连接典型举例................................................................................................... 2-52.3 TFTP配置.......................................................................................................................... 2-92.3.1 TFTP简介 ............................................................................................................... 2-92.3.2 TFTP协议配置........................................................................................................ 2-92.4 XModem协议配置 ........................................................................................................... 2-102.4.1 XModem协议简介................................................................................................. 2-102.4.2 XModem协议配置................................................................................................. 2-11第3章NTP配置 ..................................................................................................................... 3-13.1 NTP协议简介 .................................................................................................................... 3-13.2 NTP协议配置 .................................................................................................................... 3-23.2.1 配置NTP工作模式................................................................................................. 3-23.2.2 配置NTP身份验证功能.......................................................................................... 3-63.2.3 配置NTP验证密钥................................................................................................. 3-63.2.4 配置指定密钥是可信的 ........................................................................................... 3-73.2.5 配置本地发送NTP消息的接口............................................................................... 3-73.2.6 配置NTP主时钟 .................................................................................................... 3-73.2.7 配置禁止/允许接口接收NTP消息 .......................................................................... 3-83.2.8 配置对本地防火墙服务的访问控制权限.................................................................. 3-83.2.9 配置本地允许建立的sessions数目........................................................................ 3-93.3 NTP显示与调试................................................................................................................. 3-93.4 NTP典型配置举例 ........................................................................................................... 3-103.4.1 配置NTP服务器 .................................................................................................. 3-103.4.2 配置NTP对等体举例 ........................................................................................... 3-123.4.3 配置NTP广播模式............................................................................................... 3-133.4.4 配置NTP组播模式............................................................................................... 3-143.4.5 配置带身份验证的NTP服务器模式 ..................................................................... 3-16第4章SNMP配置 .................................................................................................................. 4-14.1 协议简介............................................................................................................................ 4-14.1.1 SNMP协议介绍....................................................................................................... 4-14.1.2 SNMP版本及支持的MIB ........................................................................................ 4-14.2 SNMP配置 ........................................................................................................................ 4-34.2.1 启动或关闭SNMP Agent服务................................................................................ 4-34.2.2 使能或禁止SNMP协议的相应版本........................................................................ 4-34.2.3 配置团体名（Community Name） ......................................................................... 4-44.2.4 配置/删除SNMP组 ................................................................................................ 4-44.2.5 添加/删除用户......................................................................................................... 4-54.2.6 配置管理员的标识及联系方法（sysContact） ....................................................... 4-54.2.7 允许/禁止发送Trap报文 ........................................................................................ 4-64.2.8 配置本地设备的引擎ID........................................................................................... 4-64.2.9 配置Trap目标主机的地址...................................................................................... 4-74.2.10 配置防火墙位置（sysLocation）.......................................................................... 4-74.2.11 指定发送Trap的源地址 ....................................................................................... 4-74.2.12 视图信息配置........................................................................................................ 4-84.2.13 配置消息包的最大值............................................................................................. 4-84.2.14 配置Trap报文的消息队列的长度......................................................................... 4-84.2.15 配置Trap报文的保存时间.................................................................................... 4-94.3 SNMP显示和调试.............................................................................................................. 4-94.4 SNMP典型配置举例........................................................................................................ 4-10第5章RMON配置.................................................................................................................. 5-15.1 RMON简介........................................................................................................................ 5-15.2 RMON配置........................................................................................................................ 5-35.2.1 使能/禁止RMON接口统计..................................................................................... 5-35.2.2 统计表的配置.......................................................................................................... 5-35.2.3 历史控制表的配置................................................................................................... 5-45.2.4 事件表的配置.......................................................................................................... 5-45.2.5 告警表的配置.......................................................................................................... 5-55.2.6 扩展告警表的配置................................................................................................... 5-55.3 RMON显示和调试............................................................................................................. 5-65.4 RMON典型配置举例 ......................................................................................................... 5-75.5 RMON故障诊断与排除.................................................................................................... 5-10第6章RMON2配置................................................................................................................ 6-16.1 RMON2简介...................................................................................................................... 6-16.2 RMON2配置...................................................................................................................... 6-16.2.1 协议目录表的配置................................................................................................... 6-16.2.2 主机控制表的配置................................................................................................... 6-36.3 RMON2显示和调试........................................................................................................... 6-46.4 RMON2典型配置举例 ....................................................................................................... 6-46.5 RMON2故障诊断与排除.................................................................................................... 6-7第1章系统维护管理1.1 系统维护管理介绍系统维护管理主要包括以下几项内容：●配置文件管理●系统状态信息的收集和维护调试简单工具的使用●补丁升级管理●系统信息中心的维护管理●日志的维护和管理1.2 配置文件管理1.2.1 配置文件内容及格式配置文件为一文本文件，其格式如下：●以命令格式保存。
网络访问控制列表
网络访问控制列表网络访问控制列表（Network Access Control List，简称ACL）是一种网络安全机制，用于限制网络设备上的访问控制。
通过ACL，网络管理员可以根据需要控制特定网络资源的访问权限，提高网络的安全性和可管理性。
本文将介绍ACL的概念、分类、配置和优化等方面内容，帮助读者更好地理解和应用ACL。
一、概述ACL是一组规则，用于过滤和控制网络设备上数据包的流动。
它基于源IP地址、目的IP地址、协议类型、端口号等信息匹配和处理数据包。
通过对数据包执行允许或拒绝的操作，ACL可以限制网络用户的访问权限，提高网络的安全性。
二、分类根据作用位置和功能，ACL可以分为三类：入站ACL、出站ACL 和虚拟专用网络(VPN)ACL。
1. 入站ACL入站ACL位于网络设备的入站接口上，检查从外部网络进入本地网络的数据包。
它用于限制外部网络对本地网络的访问权限。
入站ACL通常用于控制流量进入的方向和方式，保护本地网络资源不受未经授权的访问。
2. 出站ACL出站ACL位于网络设备的出站接口上，检查从本地网络出发进入外部网络的数据包。
它用于限制本地网络对外部网络的访问权限。
出站ACL通常用于控制流量离开本地网络的方向和方式，防止敏感信息泄露或遭受未经授权的访问。
3. VPN ACLVPN ACL用于控制虚拟专用网络中数据包的访问权限。
在VPN网络中，数据包在通过互联网传输时，需要经过加密和解密等操作。
VPN ACL通过限制哪些数据包可以进入VPN、哪些数据包可以离开VPN，帮助确保VPN网络的安全性和可控制性。
三、配置与应用与配置ACL相关的主要步骤包括：确定访问策略、创建ACL规则、应用ACL到接口。
以下是一种常见的ACL配置示例：```access-list 100 permit tcp any host 10.0.0.1 eq 80access-list 100 permit udp any host 10.0.0.2 eq 53access-list 100 deny ip any anyinterface GigabitEthernet0/0ip access-group 100 in```上述配置示例的含义是允许源任意IP地址的TCP流量访问目标为10.0.0.1的80端口，允许源任意IP地址的UDP流量访问目标为10.0.0.2的53端口，并拒绝其他所有IP流量。
防火墙与访问控制列表
辽东学院信息技术学院
20
高级访问控制列表
高级访问控制列表可以使用数据包的源地址信息、目的 地址信息、IP 承载的协议类型、针对协议的特性，例如TCP 的源端口、目的端口，ICMP 协议的类型、代码等内容定义 规则。可以利用高级访问控制列表定义比基本访问控制列表 更准确、更丰富、更灵活的规则。
辽东学院信息技术学院
6
访问控制列表是什么？
一 个 IP 数 据 包 如 下 图 所 示 （ 图 中 IP 所 承 载 的 上 层 协 议 为
TCP/UDP）：
IP报头
TCP/UDP报头
数据
协议号
源地址 目的地址
源端口 目的端口
对于TCP/UDP来说，这5个元 素组成了一个TCP/UDP相关， 访问控制列表就是利用这些 元素定义的规则
一个访问控制列表是由permit | deny 语句组成的一系列 的规则列表，若干个规则列表构成一个访问控制列表。在配置 访问控制列表的规则之前，首先需要创建一个访问控制列表。 可以使用如下命令创建一个访问控制列表： acl number acl-number [ match-order { config | auto } ] 使用如下的命令删除一个或所有的访问控制列表： undo acl { number acl-number | all }
访问控制列表的使用用途是依靠数字的范围来指定的， 1000～1999 是基于接口的访问控制列表，2000～2999 范 围的数字型访问控制列表是基本的访问控制列表， 3000～3999 范围的数字型访问控制列表是高级的访问控制
列表，4000～4999 范围的数字型访问控制列表是基于MAC
地址访问控制列表。
电子教案09访问控制列表的配置
05
访问控制列表的发展趋势
未来发展方向
智能化
利用人工智能和机器学习技术，实现访问控制列 表的自动化和智能化管理，提高安全性和效率。
云计算集成
将访问控制列表与云计算平台集成，实现更高效、 灵活的安全防护。
微服务架构
采用微服务架构，将访问控制列表功能模块化， 便于扩展和维护。
技术创新点
1 2
基于行为分析的访问控制
保护企业网络资源
通过配置访问控制列表， 企业可以限制对敏感资源 的访问，防止未经授权的 访问和数据泄露。
控制网络流量
访问控制列表可以用于流 量过滤，根据不同的应用 需求和网络环境，对流量 进行分类和限制。
提高网络安全
通过合理配置访问控制列 表，企业可以降低网络攻 击的风险，提高网络安全 防护能力。
校园网中的应用
保障校园网安全
提高网络服务质量
校园网中配置访问控制列表可以防止 未经授权的用户访问内部资源，保护 校园网的安全。
学校可以根据不同的需求和场景，配 置访问控制列表，优化网络服务质量， 提高教学和科研效率。
控制上网行为
通过访问控制列表，学校可以限制学 生在校园网中的上网行为，如限制访 问特定网站、禁止在线游戏等。
家庭网络中的应用
家庭网络安全防护
在家庭网络中配置访问控制列表可以防止外部攻击和未经授权的 访问，保护家庭网络安全。
控制家庭成员上网行为
家长可以通过配置访问控制列表，限制家庭成员访问不适宜的网站 和应用程序。
提高家庭网络效率
家庭用户可以根据自己的需求，配置访问控制列表，优化网络流量 和访问行为，提高家庭网络效率。
其他类型的ACL
如基于协议、MAC地址等条件的ACL。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第四章防火墙访问控制列表v1.0 幻灯片 1包过滤指在网络层对每一个数据包进行检查，根据配置的安全策略来转发或拒绝数据包。
包过滤防火墙的基本原理是：通过配置ACL（Access Control List，访问控制列表）实施数据包的过滤。
实施过滤主要是基于数据包中的源/目的IP 地址、源/目的端口号、IP 标识和报文传递的方向等信息。
访问控制列表定义的数据流在防火墙上的处理规则，防火墙根据规则对数据流进行处理。
因此，访问控制列表的核心作用是：根据定义的规则对经过防火墙的流量进行筛选，由关键字确定筛选出的流量如何进行下一步操作。
在防火墙应用中，访问控制列表是对经过防火墙的数据流进行网络安全访问的基本手段，决定了后续的应用数据流是否被处理。
访问控制列表根据通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流。
ACL 能够通过报文的源地址、目的地址、端口号、上层协议等信息组合定义网络中的数据流，是包过滤、NAT、IPSec、QoS、策略路由等应用的基础。
访问控制列表的使用：1、访问控制列表可以用于防火墙2、访问控制列表可以用于Qos(Quality of Service)，对数据流量进行控制3、在DCC中，访问控制列表还可用来规定触发拨号的条件4、访问控制列表还可以用于地址转换5、在配置路由策略时，可以利用访问控制列表来作路由信息的过滤包过滤包过滤作为一种网络安全保护机制，用于控制在两个不同安全级别的网络之间流入和流出网络的数据。
在防火墙转发数据包时，先检查包头信息（例如包的源地址/目的地址、源端口/目的端口和上层协议等），然后与设定的规则进行比较，根据比较的结果决定对该数据包进行转发还是丢弃处理。
地址转换NAT（Network Address Translation）是将数据报报头中的IP地址转换为另一个IP地址的过程，主要用于实现内部网络（私有IP地址）访问外部网络（公有IP地址）的功能。
在实际应用中，我们可能仅希望某些内部主机（具有私有IP地址）具有访问Internet（外部网络）的权利，而其他内部主机则不允许。
这是通过将ACL和NAT地址池进行关联来实现的，即只有满足ACL条件的数据报文才可以进行地址转换，从而有效地控制地址转换的使用范围。
路由策略是指在发送与接收路由信息时所实施的策略，它能够对路由信息进行过滤。
路由策略有多种过滤方法。
其中，ACL作为它的一个重要过滤器被广泛使用，即用户使用ACL指定一个IP地址或子网的范围，作为匹配路由信息的目的网段地址或下一跳地址QoSQoS（Quality of Service）用来评估服务方满足客户需求的能力。
在Internet上保证QoS的有效办法是增加网络层在流量控制和资源分配上的功能，为有不同服务需求的业务提供有区别的服务。
流分类是有区别地进行服务的前提和基础。
实际应用中，首先制定流分类策略（规则），流分类规则既可以使用IP报文头的ToS字段内容来识别不同优先级特征的流量，也可以通过ACL定义流分类的策略。
例如综合源地址/目的地址/MAC 地址、IP协议或应用程序的端口号等信息对流进行分类，然后在流量监管、流量整形、拥塞管理和拥塞避免等具体实施上引用流分类策略或ACL。
IPSecIPSec（IP Security）协议族是IETF制定的一系列协议，它通过IP层的加密与数据源验证机制，确保在Internet上参与通信的两个网络节点之间传输的数据包具有私有性、完整性和真实性。
IPSec能够对不同的数据流施加不同的安全保护。
例如防火墙对不同的数据流使用不同的安全协议、算法和密钥。
实际应用中，数据流首先通过ACL来定义，匹配同一个ACL的所有流量在逻辑上作为一个数据流。
然后，通过在安全策略中引用该ACL，从而确保指定的数据流受到保护。
ACL 定义的数据流有很大区别：1、基本ACL2000～2999仅使用源地址信息定义数据流。
2、高级ACL3000～3999可以使用数据包的源地址信息、目的地址信息、IP承载的协议类型（例如TCP的源端口、目的端口，ICMP协议的类型、消息码等内容）定义规则。
3、基于MAC地址的ACL4000～4099主要用于防火墙工作在透明模式的应用中，此时防火墙能够根据以太网帧头中的源MAC地址、目的MAC地址、类型字段等信息与ACL规则进行匹配，从而达到控制二层数据帧的目的。
幻灯片 12标准访问控制列表，又称为基本访问控制列表。
防火墙对数据包的处理过程中，标准访问控制列表只针对根据数据包的源地址进行识别。
标准访问控制列表中包括规则编号，执行动作和源IP地址。
在防火墙中访问控制列表是使用数字来标识的，其定义和引用也是依靠特定范围的数字来指定。
在华为赛门铁克防火墙的ACL中，标准访问控制列表的范围为2000～2999。
在防火墙中，标准访问控制列表只针对数据流源地址进行匹配，通常应用在仅需要对数据包源地址进行限定的场景。
幻灯片 13rule 命令用于在高级ACL 中增加或编辑一个规则。
undo rule 命令用于删除一个规则，或者删除规则的部分配置信息。
在删除一条规则时，需要指定规则的编号，如果不知道规则的编号，可以使用命令display acl 来显示。
参数描述：Rule-id: ACL 的规则编号，取值范围为2000～2999。
Deny: 表示拒绝符合条件的报文。
Permit: 表示允许符合条件的报文。
Source: 指定匹配规则的源IP 地址。
src-address: 报文的源IP 地址，点分十进制格式。
src-wildcard: 源IP 地址通配符，点分十进制格式，与IP 地址掩码含义相反。
Any: 表示匹配任何报文的源IP 地址。
基本ACL（组号范围为2000～2999）,建议在ACL配置完成时,配置description text，配置ACL 描述信息.192.168.10.0 0.0.0.255表示一个网段192.168.10.1 0表示一个IP扩展访问控制列表，又称高级访问控制列表。
与标准访问控制列表不同的是，扩展访问控制列表除对数据流源地址限定外，还可以定义数据流的目的地址，协议类型，源/目的端口号等。
扩展访问控制类别是访问控制列表应用范围最广的一类，在华为赛门铁克防火墙的ACL中，扩展访问控制列表的范围为3000～3999。
扩展访问控制列表除使用源地址外，还包括了更多的信息描述对数据流进行匹配。
利用高级ACL可以定义出比基本ACL 更准确、丰富和灵活的规则，高级ACL可以使用数据流的如下信息定义规则：1. 源地址信息2. 目的地址信息3. IP承载的协议类型4. 源端口号和目的端口号幻灯片 16参数描述：Deny: 表示拒绝符合条件的报文。
Permit: 表示允许符合条件的报文。
Protocol: 用名字或数字表示的IP 承载的协议类型，取值范围为1～255。
用名字表示时，可以选取icmp、igmp、ip、ipinip、ospf、tcp、udp。
Source: 指定匹配规则的源IP 地址。
source-ip-address: 报文的源IP 地址，点分十进制格式。
source-wildcard: 源IP 地址通配符，点分十进制格式，与IP 地址掩码含义相反。
Destination: 指定匹配规则的目的IP 地址。
destination-ip-address: 报文的目的IP 地址，点分十进制格式。
destination-wildcard: 目的IP 地址通配符，点分十进制格式，与IP 地址掩码含义相反。
Any: 表示匹配任何报文的源IP 地址或目的IP 地址。
Precedence:指定匹配规则的报文优先级，取值范围为0～7，或者以名字routine （0）、priority（1）、immediate（2）、flash（3）、flash-override（4）、critical （5）、internet（6）、network（7）表示。
Tos:指定匹配规则的报文服务类型，取值范围为0～15，其中部分类型可用名字normal（0）、min-monetary-cost（1）、max-reliability（2）、max-throughput （4）、min-delay（8）表示。
Time-range: 指定规则生效的时间段。
Time-name: 时间段名称，必须是已配置的时间段。
比较源或者目的地址的端口号的操作符，名字及意义如下：lt（小于），gt（大于），eq（等于）range（在范围内）。
只有range需要两个端口号做操作数，其他的只需要一个端口号做操作数。
port1、port2：可选参数。
TCP 或UDP 的端口号，用名字或数字表示，数字的取值范围为0～65535问题: 下面这条访问控制列表表示什么意思?rule deny udp source 129.9.8.0 0.0.0.255 destination 202.38.160.0 0.0.0.255 destination-port greater-than 128华为赛门铁克防火墙除了可以在路由模式下工作外，还可以工作在透明模式。
在防火墙工作在透明模式时，数据包的转发过程类似于交换机，即：基于源/目的MAC地址转发数据包，因此需要基于MAC地址来定义访问控制列表。
在华为赛门铁克防火墙的ACL中，基于MAC地址的访问控制列表范围为4000～4099。
Type参数描述：type-code type-wildcard：用来匹配传输报文的协议类型，type-code为一个十六进制数，格式为xxxx。
type-wildcard为协议类型的通配符（掩码）。
lsap lsap-code lsap-wildcard：用来匹配接口上报文的封装格式，lsap-code为一个十六进制数，格式为xxxx。
lsap-wildcard为协议类型的通配符（掩码）在防火墙的应用中，如果仅使用上面提到的三类访问控制列表是不能满足实际需求的，在USG系列防火墙中对三类访问控制类别进行了补充，定义了基于地址集访问控制列表，基于端口集访问控制列表，基于时间段访问控制列表。
地址集访问控制列表在访问控制列表分类介绍中我们可以看到，无论是标准访问控制列表还是扩展访问控制列表，在定义源和目的时都是使用反掩码的方式，这样用来定义一个网段就十分方便，但是在实际业务应用中，IP地址的规划一般不是连续的。
在USG5000系列防火墙中，首先定义一个地址集，然后将若干个不冲突的地址元素加入一个地址集中，通过引用该地址集的方式来简化配置。
在扩展访问控制列表中，可以明确源或目的IP的端口号，在扩展访问控制列表中，如果需要对多个不连续端口号进行定义就显得过于繁琐，在这种情况下，端口集就显得不可或缺了。