25　思科　300　系列管理型交换机管理指南　387　访问控制　访问控制列表　(ACL)　功能是安全机制的一部分。　ACL　定义可用作多种机制之一,这些机制用于定义为特定服务　质量　(QoS)　提供的流量。有关详情,请参阅服务质量。　ACL　可让网络管理员定义用于入口流量的模式　(过滤器和操作)　。在具有活动　ACL　的端口或　LAG　上进入设备　的数据包会被接受或拒绝进入。　本节包含以下主题:　•　访问控制列表　•　基于　MAC　的ACL　•　基于　IPv4　的ACL　•　基于　IPv6　的ACL　•　ACL　绑定　访问控制列表　访问控制列表　(ACL)　是分类过滤器和操作的已排序列表。每个单独的分类规则与其操作一起被称为一个访问控制　元素　(ACE)。　每个　ACE　由多个过滤器组成,这些过滤器可区分流量组以及关联的操作。一个单独的　ACL　可能包含一个或多个　ACE,这些　ACE　会与传入帧的内容进行匹配。会将拒绝操作或允许操作应用于内容与过滤器匹配的帧。　设备最多支持　512　个ACL　以及　512　个ACE。　如果数据包与　ACE　过滤器匹配,则会执行　ACE　操作并停止　ACL　处理。如果数据包与　ACE　过滤器不匹配,则会　处理下一个　ACE。如果在处理完一个　ACL　的所有　ACE　后都找不到匹配项,并且存在另一个　ACL,则会以相似　方式处理该　ACL。　注　如果在所有相关　ACL　的所有　ACE　中都找不到匹配项,则会丢弃该数据包　(为默认操　作)　。由于执行此默认丢弃操作,因此您必须将　ACE　明确添加到　ACL　中,以允许所需　的流量　(包括管理流量,例如指向该设备本身的　Telnet、　HTTP　或SNMP)　。例如,　如果您不希望丢弃　ACL　中不满足条件的所有数据包,则您必须将最低优先级的　ACE　明确添加到允许所有流量的　ACL　中。　访问控制　访问控制列表　思科　300　系列管理型交换机管理指南　388　25　如果在与一个　ACL　绑定的端口上启用了　IGMP/MLD　Snooping,请在该　ACL　中添加　ACE　过滤器,以将　IGMP/　MLD　数据包转发给设备。否则,　IGMP/MLD　Snooping　将在该端口处失败。　ACL　中ACE　的顺序很重要,因为　ACE　是以首次匹配方式应用的。会从第一个　ACE　开始,按顺序