基本的扩展 ACE 基于源地址和目标地址（包括 IPv4 和 IPv6 地址及完全限定域名 (FQDN)，如 www.example.com）来匹配流量。事实上，每种类型的扩展 ACE 都必须包含源地址和目标地址的一些规格，因此，本主题介绍最基本的扩展 ACE。

提示	提示：若要基于 FQDN 匹配流量，必须为每个 FQDN 创建一个网络对象。

要添加 ACE 以进行 IP 地址或 FQDN 匹配，请使用以下命令：

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument source_address_argument dest_address_argument [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

示例：

hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-list ACL_IN extended permit object service-obj-http any any

选项有：

• access_list_name - 新的或现有 ACL 的名称。

• 行号 - line line_number 选项指定插入 ACE 的行号，否则 ACE 将被添加到 ACL 的末尾。

• Permit 或 Deny - 如果条件匹配，deny 关键字可拒绝或排除数据包。如果条件匹配，permit 关键字可允许或添加数据包。

• 协议 - protocol_argument 指定 IP 协议。如果使用指定协议和端口的网络服务对象，则应在此参数中指定 ip 。

  • name 或 number - 指定协议名称或编号。指定 ip 以应用于所有协议。

  • object-group protocol_grp_id - 指定使用 object-group protocol 命令创建的协议对象组。

  • object service_obj_id - 指定使用 object service 命令创建的服务对象。如果需要，该对象可以包含端口或 ICMP 类型和代码规范。

  • object-group service_grp_id - 指定使用 object-group service 命令创建的服务对象组。

• Source Address、Destination Address - source_address_argument 指定将从其发送数据包的 IP 地址或 FQDN，dest_address_argument 指定将向其发送数据包的 IP 地址或 FQDN：

  • host ip_address - 指定 IPv4 主机地址。

  • ip_address mask - 指定 IPv4 网络地址和子网掩码，例如 10.100.10.0 255.255.255.0。

  • ipv6-address/prefix-length - 指定 IPv6 主机或网络地址和前缀。

  • any、any4 和 any6 - any 指定 IPv4 和 IPv6 流量；any4 仅指定 IPv4 流量；any6 仅指定 IPv6 流量。

  • interface interface_name - 指定 ASA 接口的名称。使用接口名称（而非 IP 地址）基于接口是流量的源还是目标来匹配流量。

  • object nw_obj_id - 指定使用 object network 命令创建的网络对象。

  • object-group nw_grp_id - 指定使用 object-group network 命令创建的网络对象组。

  • object-group-network-servicename - 指定网络服务对象的名称。

• Logging - log 参数设置 ACE 与网络访问连接匹配时的日志记录选项（使用 access-group 命令应用的 ACL）。如果未在 log 选项中输入任何参数，则将以默认间隔（300 秒）启用默认级别 (6) 的系统日志消息 106100。日志选项是：

  • level - 在 0 和 7 之间的严重级别。默认值为 6（信息性）。如果为活动 ACE 更改此级别，则新级别应用于新连接；现有连接继续记录在原来的级别中。

  • interval secs - 各系统日志消息之间的时间间隔（以秒为单位），从 1 到 600。默认值为 300。此值也用作从用于收集丢弃统计信息的缓存中删除非活动的流的超时值。

  • disable - 禁用所有 ACE 日志记录。

  • default - 为被拒绝的数据包启用消息 106023 日志记录。此设置与不包括 log 选项相同。

• Time Range - time-range time_range_name 选项指定时间范围对象，可以确定 ACE 在一天中某些时间或一周中某些天处于活动状态。如果不包括时间范围，则 ACE 始终为活动状态。

• Activation - 使用 inactive 选项，在不删除 ACE 的情况下禁用 ACE。要重新启用 ACE，请输入完整的 ACE，无需含 inactive 关键字。

如果在 ACE 中指定服务对象，则服务对象可包含符合端口规范的协议，例如 TCP/80。或者，也可以直接在 ACE 中指定端口。对于基于端口的匹配，您可以将基于端口的协议的特定类型的流量作为匹配目标，而不是将该协议的所有流量作为匹配目标。

注	如果使用指定协议和端口的网络服务对象，则不应按本主题所述指定端口。指定 ip 作为协议，以便可以匹配对象中定义的协议/端口。

如果协议为 tcp 、udp 或 sctp ，基于端口的扩展 ACE 只是基本的地址匹配 ACE。若要添加端口规范，请使用以下命令：

access-list access_list_name [ line line_number] extended {deny | permit} {tcp | udp | sctp} source_address_argument [port_argument] dest_address_argument [port_argument] [log [[level] [ interval secs] | disable | default] [ time-range time-range-name] [inactive]

示例：

hostname(config)# access-list ACL_IN extended deny tcp any host 209.165.201.29 eq www

port_argument 选项指定源端口或目标端口。如果不指定端口，则与所有端口匹配。可用参数包括：

• operator port - port 可以是整数或端口名称。操作符 可以是以下任意一项：

  • lt - 小于

  • gt - 大于

  • eq - 等于

  • neq - 不等于

  • range - 值的范围（包括边界值）。使用该操作符时，请指定两个端口编号，例如，range 100 200。

  注	DNS、Discard、Echo、Ident、NTP、RPC、SUNRPC 和 Talk 都需要一个对 TCP 的定义和一个对 UDP 的定义。TACACS+ 需要一个对 TCP 上的端口 49 的定义。

• object-group service_grp_id - 指定使用 object-group service {tcp | udp | tcp-udp} 命令创建的服务对象组。请注意，建议不要再使用这些对象类型。

  无法指定建议的通用服务对象，其中协议和端口在对象内定义为端口参数。您可以将这些对象指定为协议参数的一部分，如添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配中所述。

有关其他关键字的说明以及如何使用服务对象指定协议和端口，请参阅添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配。

要匹配 ICMP 流量，请使用 ICMP 协议关键字之一：icmp 或 icmp6 。 icmp 协议仅匹配 IPv4 地址，而 icmp6 协议仅匹配 IPv6 地址。确保网络地址与所选的协议相匹配，否则 ACE 将无法匹配任何连接。

如果在 ACE 中指定服务对象，则服务对象可包含 ICMP/ICMP6 协议 ICMP 类型和代码规格。或者，也可以直接在 ACE 中指定 ICMP 类型和代码。例如，可以将 ICMP 回应请求流量 (ping) 作为目标。

ICMP 扩展 ACE 只是基本的地址匹配 ACE，其中协议为 icmp 或 icmp6。由于这些协议具有类型和代码值，可以将类型和代码规格添加到 ACE。

要添加 ACE 以进行 IP 地址或 FQDN 匹配（其中协议为 ICMP 或 ICMP6），请使用以下命令：

access-list access_list_name [line line_number] extended {deny | permit} {icmp | icmp6} source_address_argument dest_address_argument [icmp_argument] [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

示例：

hostname(config)# access-list abc extended permit icmp any any object-group obj_icmp_1
hostname(config)# access-list abc extended permit icmp any any echo

icmp_argument 选项指定 ICMP 类型和代码。

• icmp_type [icmp_code] - 按名称或编号指定 ICMP 类型，以及用于该类型的可选 ICMP 代码。如果不指定代码，则使用所有代码。

• object-group icmp_grp_id- 为使用（已弃用）object-group icmp-type 命令创建的 ICMP/ICMP6 指定对象组。

  无法指定建议的通用服务对象，其中协议和端口在对象内定义为 ICMP 参数。您可以将这些对象指定为协议参数的一部分，如添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配中所述。

有关其他关键字的说明，请参阅添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配。

基于用户的扩展 ACE 只是基本的地址匹配 ACE，可以在源匹配条件中包含用户名或用户组。通过基于用户身份创建规则，可以避免将规则与静态主机或网络地址相关联。例如，如果为 user1 定义规则，且身份防火墙功能将该用户映射到某一天分配 10.100.10.3 但下一天分配 192.168.1.5 的主机，则基于用户的规则将仍然适用。

由于仍必须提供源地址和目标地址，因此请扩展源地址以包含将分配给用户（通常通过 DHCP）的可能地址。例如，无论分配什么 IP 地址，用户“LOCAL\user1 any”都将匹配 LOCAL\user1 用户，而“LOCAL\user1 10.100.1.0 255.255.255.0”仅在地址处于 10.100.1.0/24 网络上时匹配该用户。

通过使用组名称，可以基于整个类别的用户（如学生、教师、管理人员、工程师等）定义规则。

要添加 ACE 以进行用户或组匹配，请使用以下命令：

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument [user_argument] source_address_argument [port_argument] dest_address_argument [port_argument] [log [[level] [interval secs] | disable | default]] [time-range time_range_name] [inactive]

示例：

hostname(config)# access-list v1 extended permit ip user LOCAL\idfw
any 10.0.0.0 255.255.255.0

user_argument 选项指定除源地址之外还要为其匹配流量的用户或组。可用参数包括以下各项：

• object-group-user user_obj_grp_id - 指定使用 object-group user 命令创建的用户对象组。

• user {[domain_nickname\]name | any | none} - 指定用户名。指定 any 以将所有用户与用户凭证匹配，或指定 none 以匹配未映射到用户名的地址。这些选项对于将 access-group 与 aaa authentication match 策略结合特别有用。

• user-group [domain_nickname\\]user_group_name - 指定用户组名称。请注意分隔域名和组名的双斜号 \\。

有关其他关键字的说明，请参阅添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配。

提示	可以在给定 ACE 中同时包含用户和思科 TrustSec 安全组。

安全组（思科 TrustSec）扩展 ACE 只是基本的地址匹配 ACE，可以在源或目标匹配条件中包含安全组或标签。通过基于安全组创建规则，可以避免将规则与静态主机或网络地址相关联。由于您仍必须提供源地址和目标地址，因此请扩展地址以包含将分配给用户（通常通过 DHCP）的可能地址。

提示	在添加这种类型的 ACE 之前，请配置思科 TrustSec。

要添加 ACE 以进行安全组匹配，请使用以下命令：

access-list access_list_name [line line_number] extended {deny | permit} protocol_argument [security_group_argument] source_address_argument [port_argument] [security_group_argument] dest_address_argument [port_argument] [log [[level] [interval secs] | disable | default]] [inactive | time-range time_range_name]

示例：

hostname(config)# access-list INSIDE_IN extended permit ip
security-group name my-group any any

security_group_argument 选项指定除源地址或目标地址之外还要为其匹配流量的安全组。可用参数包括以下各项：

• object-group-security security_obj_grp_id - 指定使用 object-group security 命令创建的安全对象组。

• security-group {name security_grp_id | tag security_grp_tag} - 指定安全组名称或标签。

有关其他关键字的说明，请参阅添加扩展 ACE 以执行基于 IP 地址或完全限定域名的匹配。

提示	可以在给定 ACE 中同时包含用户和思科 TrustSec 安全组。

以下 ACL 允许所有主机（将 ACL 应用到的接口）通过 ASA：

hostname(config)# access-list ACL_IN extended permit ip any any

以下 ACL 阻止 192.168.1.0/24 上的主机访问 209.165.201.0/27 网络以获取基于 TCP 的流量。允许所有其他地址。

hostname(config)# access-list ACL_IN extended deny tcp 192.168.1.0 255.255.255.0
209.165.201.0 255.255.255.224
hostname(config)# access-list ACL_IN extended permit ip any any

如果要仅限制对选定主机的访问，则输入一个受限制的允许 ACE。默认情况下，除非明确允许，否则拒绝所有其他流量。

hostname(config)# access-list ACL_IN extended permit ip 192.168.1.0 255.255.255.0
209.165.201.0 255.255.255.224

以下 ACL 限制所有主机（将 ACL 应用到的接口）访问地址为 209.165.201.29 的网站。允许所有其他流量。

hostname(config)# access-list ACL_IN extended deny tcp any host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended permit ip any any

以下使用对象组的 ACL 限制内部网络中的多台主机访问多台 Web 服务器。允许所有其他流量。

hostname(config-network)# access-list ACL_IN extended deny tcp object-group denied
object-group web eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

以下示例会临时禁用允许流量从一个网络对象组 (A) 流向另一个网络对象组 (B) 的 ACL：

hostname(config)# access-list 104 permit ip host object-group A object-group B inactive

要实施基于时间的 ACE，请使用 time-range 命令来定义一周和一天中的特定时间。然后，使用 access-list extended 命令将该时间范围绑定到 ACE。以下示例将“Sales” ACL 中的 ACE 绑定到名为“New_York_Minute”的时间范围。

hostname(config)# access-list Sales line 1 extended deny tcp host 209.165.200.225 host
209.165.201.1 time-range New_York_Minute

以下示例显示同时包含 IPv4 和 IPv6 的 ACL：

hostname(config)# access-list demoacl extended permit ip 2001:DB8:1::/64 10.2.2.0 255.255.255.0
hostname(config)# access-list demoacl extended permit ip 2001:DB8:1::/64 2001:DB8:2::/64
hostname(config)# access-list demoacl extended permit ip host 10.3.3.3 host 10.4.4.4

以下未使用对象组的正常 ACL 限制内部网络上的多台主机访问若干 Web 服务器。允许所有其他流量。

hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.29 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.16 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.4 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.78 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended deny tcp host 10.1.1.89 host 209.165.201.78 eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

如果创建两个网络对象组，一个用于内部主机，另一个用于 Web 服务器，则可以简化并轻松地修改配置来添加更多主机：

hostname(config)# object-group network denied
hostname(config-network)# network-object host 10.1.1.4
hostname(config-network)# network-object host 10.1.1.78
hostname(config-network)# network-object host 10.1.1.89

hostname(config-network)# object-group network web
hostname(config-network)# network-object host 209.165.201.29
hostname(config-network)# network-object host 209.165.201.16
hostname(config-network)# network-object host 209.165.201.78

hostname(config)# access-list ACL_IN extended deny tcp object-group denied object-group 
web eq www
hostname(config)# access-list ACL_IN extended permit ip any any
hostname(config)# access-group ACL_IN in interface inside

要基于用户正尝试访问的 URL 匹配流量，请使用以下命令：

access-list access_list_name webtype {deny | permit} url {url_string | any} [log [[level] [ interval secs] | disable | default]] [ time_range time_range_name] [inactive]

示例：

hostname(config)# access-list acl_company webtype deny url http://*.example.com

选项有：

• access_list_name - 新的或现有 ACL 的名称。如果 ACL 已经存在，则 ACE 将添加到 ACL 末尾。

• Permit 或 Deny - 如果条件匹配，deny 关键字可拒绝或排除数据包。如果条件匹配，permit 关键字可允许或添加数据包。

• URL - 关键字 url 指定要匹配的 URL。使用 url any 与所有基于 URL 的流量匹配。否则，请输入 URL 字符串，它可以包括通配符。以下是指定 URL 时的一些提示和限制：

  • 指定 any 将匹配所有 URL。

  • “Permit url any”会允许具有格式 protocol://server-ip/path 的所有 URL，并会阻止与此模式不匹配的流量，例如端口转发。应该有一个 ACE 允许连接至所需端口（如果是 Citrix，为端口 1494），从而避免发生隐式拒绝。

  • 具有“permit url any”的 ACL 不影响智能隧道和 ICA 插件，因为它们仅与 smart-tunnel:// 和 ica:// 类型匹配。

  • 可以使用这些协议：cifs://、citrix://、citrixs://、ftp://、http://、https://、imap4://、nfs://、pop3://、smart-tunnel:// 和 smtp://。也可以在协议中使用通配符；例如，htt* 与 http 和 https 匹配，星号（*）与所有协议匹配。例如，*://*.example.com 与传输到 example.com 网络的基于 URL 的任何类型的流量匹配。

  • 如果指定 smart-tunnel:// URL，则可以仅包括服务器名称。URL 无法包含路径。例如，smart-tunnel://www.example.com 可接受，但是不接受 smart-tunnel://www.example.com/index.html。

  • 星号（*）与零个字符或任何数量的字符匹配。要与任何 http URL 匹配，请输入 http://*/*。

  • 问号（?）完全匹配任意字符。

  • 方括号（[]）是范围运算符，与范围中的任何字符匹配。例如，要与 http://www.cisco.com:80/ 和 http://www.cisco.com:81/ 匹配，请输入 http://www.cisco.com:8[01]/。

• Logging - log 参数可设置当 ACE 匹配数据包时的日志记录选项。如果未在 log 选项中输入任何参数，则将以默认间隔（300 秒）启用默认级别 (6) 的系统日志消息 106102。日志选项是：

  • level - 在 0 和 7 之间的严重级别。默认值为 6。

  • interval secs - 各系统日志消息之间的时间间隔（以秒为单位），从 1 到 600。默认值为 300。

  • disable - 禁用所有 ACL 日志记录。

  • default - 对消息 106103 启用日志记录。此设置与不包括 log 选项相同。

• Time Range - time-range time_range_name 选项指定时间范围对象，可以确定 ACE 在一天中某些时间或一周中某些天处于活动状态。如果不包括时间范围，则 ACE 始终为活动状态。

• Activation - 使用 inactive 选项，在不删除 ACE 的情况下禁用 ACE。要重新启用 ACE，请输入完整的 ACE，无需含 inactive 关键字。

可以基于用户正尝试访问的目标地址来匹配流量。除了 URL 规格之外，Webtype ACL 可以同时包含 IPv4 和 IPv6 地址。

要添加 Webtype ACE 以进行 IP 地址匹配，请使用以下命令：

access-list access_list_name webtype {deny | permit } tcp dest_address_argument [operator port] [log [[level] [interval secs] | disable | default]] [time_range time_range_name]] [inactive]]

示例：

hostname(config)# access-list acl_company webtype permit tcp any

有关此处未说明的关键字的说明，请参阅添加 Webtype ACE 以执行 URL 匹配。此类型 ACE 的特定关键字和参数包括以下各项：

• tcp - TCP 协议。Webtype ACL 仅匹配 TCP 流量。

• Destination Address - dest_address_argument 指定将向其发送数据包的 IP 地址。

  • host ip_address - 指定 IPv4 主机地址。

  • dest_ip_address mask - 指定 IPv4 网络地址和子网掩码，例如 10.100.10.0 255.255.255.0。

  • ipv6-address/prefix-length - 指定 IPv6 主机或网络地址和前缀。

  • any、any4 和 any6 - any 指定 IPv4 和 IPv6 流量；any4 仅指定 IPv4 流量；any6 仅指定 IPv6 流量。

• operator port - 目标端口。如果不指定端口，则与所有端口匹配。port 可以是表示 TCP 端口号的整数或端口名称。operator 可以是以下任意一项：

  • lt - 小于

  • gt - 大于

  • eq - 等于

  • neq - 不等于

  • range - 值的范围（包括边界值）。使用该操作符时，请指定两个端口编号，例如，range 100 200。

以下示例展示如何拒绝对特定公司 URL 的访问：

hostname(config)# access-list acl_company webtype deny url http://*.example.com

以下示例显示如何 拒绝对特定网页的访问：

hostname(config)# access-list acl_file webtype deny url https://www.example.com/dir/file.html

以下示例显示如何 拒绝通过端口 8080 对特定服务器上任何 URL 的 HTTP 访问：

hostname(config)# access-list acl_company webtype deny url http://my-server:8080/*

以下示例显示如何 在 webtype ACL 中使用通配符。

• 以下示例匹配 http://www.example.com/layouts/1033 等 URL：

  
  access-list VPN-Group webtype permit url http://www.example.com/*
  
  

• 以下示例匹配 http://www.example.com/ 和 http://www.example.net/ 等 URL：

  
  access-list test webtype permit url http://www.example.*
  
  

• 以下示例匹配 http://www.example.com 和 ftp://wwz.example.com 等 URL：

  
  access-list test webtype permit url *://ww?.e*co*/
  
  

• 以下示例匹配 http://www.cisco.com:80 和 https://www.cisco.com:81 等 URL：

  
  access-list test webtype permit url *://ww?.c*co*:8[01]/
  
  

  上一个示例中的范围操作符“[]” 指定在该位置可能出现 0 或 1。

• 以下示例匹配 http://www.example.com 和 http://www.example.net 等 URL：

  
  access-list test webtype permit url http://www.[a-z]xample?*/
  
  

  上一个示例中的范围操作符“[]” 指定该范围（从 a 到 z）内的任何字符都可能出现。

• 以下示例匹配文件名或路径中包含“cgi”的 http 或 https URL。

  
  access-list test webtype permit url htt*://*/*cgi?*
  
  

注	要匹配任意 http URL，必须输入 http://*/*，而非 http://*。

以下示例显示如何强制 Webtype ACL 禁用对特定 CIFS 共享的访问。

在此场景中，我们有一个包含名为“Marketing_Reports”和“Sales_Reports”的两个子文件夹的“shares”根文件夹。我们希望明确拒绝访问“shares/Marketing_Reports”文件夹。

access-list CIFS_Avoid webtype deny url cifs://172.16.10.40/shares/Marketing_Reports.

但是，由于 ACL 末尾的隐式“deny all”，上述 ACL 使所有子文件夹 变得都不可访问（“shares/Sales_Reports”和“shares/Marketing_Reports”），包括 根文件夹（“shares”）。

要解决此问题，请添加一个新的 ACL 来 允许访问根文件夹和其余的子文件夹：

access-list CIFS_Allow webtype permit url cifs://172.16.10.40/shares*

以下示例显示如何配置 EtherType ACL，包括如何将 ACL 应用到接口。

hostname(config)# access-list ETHER ethertype permit ipx
INFO: ethertype ipx is saved to config as ethertype eii-ipx
INFO: ethertype ipx is saved to config as ethertype dsap ipx
INFO: ethertype ipx is saved to config as ethertype dsap raw-ipx
hostname(config)# access-list ETHER ethertype permit mpls-unicast
hostname(config)# access-group ETHER in interface inside

hostname(config)# access-list ETHER ethertype permit 0x1234
hostname(config)# access-list ETHER ethertype permit mpls-unicast
hostname(config)# access-group ETHER in interface inside
hostname(config)# access-group ETHER in interface outside

hostname(config)# access-list nonIP ethertype deny 1256
hostname(config)# access-list nonIP ethertype permit any
hostname(config)# access-group nonIP in interface inside
hostname(config)# access-group nonIP in interface outside