访问控制列表（Access Control Lists，简称ACL）是网络设备中一种重要的安全机制，主要用于过滤和控制网络流量。在交换机上配置ACL，我们可以根据源IP地址、目的IP地址、协议类型、端口号等参数，允许或拒绝特定的数据包通过。
ACL的类型
通常，交换机上的ACL可以分为基本ACL和高级ACL两种类型：
- 基本ACL：基于源IP地址进行过滤。
- 高级ACL：除了基于源和目的IP地址外，还可以基于协议类型、端口号等更复杂的条件进行过滤。
ACL的配置步骤
以下是一个基本的ACL配置流程：
- 创建ACL：
switch(config)# ip access-list extended ACL_NAME
在ACL中添加规则：
switch(config-ext-nacl)# deny/permit protocol source-wildcard destination-wildcard [log]
应用ACL到接口或VLAN：
switch(config-if)# ip access-group ACL_NAME {in | out}
示例：拒绝特定IP和端口的流量
以下是如何使用ACL拒绝来自IP地址192.168.127.2的所有流量以及端口3306的TCP流量：
首先，我们需要创建一个名为DENY_TRAFFIC的扩展ACL：
switch(config)# ip access-list extended DENY_TRAFFIC
然后，在ACL中添加规则以拒绝来自192.168.127.2的流量：
switch(config-ext-nacl)# deny ip any host 192.168.127.2 log
接下来，添加规则拒绝TCP端口3306的流量：
switch(config-ext-nacl)# deny tcp any eq 3306 any log
最后，将这个ACL应用到适当的接口或VLAN上，这里假设应用到接口GigabitEthernet0/1的入方向：
switch(config-if)# interface GigabitEthernet0/1 switch(config-if)# ip access-group DENY_TRAFFIC in
以上配置将会阻止来自192.168.127.2的全部IP流量以及所有设备发往任意目标的TCP 3306端口的流量进入接口GigabitEthernet0/1。
请注意，具体的命令可能会因交换机型号和操作系统版本的不同而有所差异。在实际操作中，请参照相应交换机的官方文档进行配置。同时，为了保证网络的正常运行，建议在修改ACL配置前备份现有的配置，并在非业务高峰期进行操作。
