哪位大神帮忙解答一下关于访问控制列表的问题

s2932919546

访问控制列表里IP包含了TCP，UDP，ICMP，为什么最后还要加一条允许IP数据包通过呢，比如：
access-list out extend permit icmp host 10.3.1.1 any any
access-list out extend permit tcp host 10.3.1.1 any any
access-list out extend permit udp host 10.3.1.1 any any
access-list out extend permit ip host 10.3.1.1 any any  为什么最后要加这一条呢？？

为什么不直接用一条命令access-list out permit ip host 10.3.1.1 any any不就可以了吗？

jiuhuiaipp

数据通常有一个在传输层增加的前缀，它可以是TCP协议或UDP协议的头部，这样就需要增加一个指示应用的端口标志。当数据流入协议栈之后，网络层再加上一个包含地址信息的IP协议的头部。由于IP头部传送TCP、UDP、路由协议和ICMP协议，所以在访问列表的语句中，IP协议的级别比其他协议更为重要。所以访问控制列表策略需要从前往后排，请注意只加最后一句是不一定有效的哦!

s2932919546

jiuhuiaipp 发表于 2018-3-25 18:53
数据通常有一个在传输层增加的前缀，它可以是TCP协议或UDP协议的头部，这样就需要增加一个指示应用的端口标 ...

谢谢啦

ladeng007

看看