请教CISCO ASA 5525 防火墙规则设置的问题，谢谢！

[Eric_test]

各位好，
咨询下思科 ASA 防火墙规则设置的问题，
1. 规则 access-list test_acl extended permit ip any any 是否会允许所有的数据包通过？
2. 规则 access-list XXXX_acl extended deny ip any any 是否是必须的？ 一定要在规则最后加上这一句？
感谢！

[suzhouxiaoniu · Accepted solution]

ACL语句小的放上面，大的放下面

[suzhouxiaoniu]

1：会
2：不是必须的，
低级别到高级别端口，默认是拒绝的，要放行什么流量就permit
高级别到低级别端口，默认是允许的，要拒绝什么就deny什么
【TCP和UDP有状态化信息维护，能出去就能进来】
所以要看你ACL用在哪个端口哪个方向，inside，还是outside，还是DMZ

[Eric_test]

suzhouxiaoniu 发表于 2018-9-7 10:50
1：会
2：不是必须的，

感谢回复！
另请教个问题，下面的规则是否会有执行顺序的问题？比如匹配第一条后，数据包就会丢弃，而不执行第二条规则？
access-list AB_internet_acl extended deny ip any any
access-list AB_internet_acl extended permit icmp any any time-exceeded

[alina_xiao]

学习了，感谢分享

[Eric_test]

suzhouxiaoniu 发表于 2018-9-7 16:02
ACL语句小的放上面，大的放下面

感谢帮助！

[one-time]

Eric_test 发表于 2018-9-10 13:44
感谢帮助！

楼主楼主，如果您的问题已经解决，请您记得标记最佳答案，谢谢！
点击查看【最佳答案】标记攻略