ACL（访问控制列表）详解

　　访问控制列表（ACL）是应用在路由器接口的指令列表（即规则）。这些指令列表用来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。
　　ACL使用包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。如源地址，目标地址，源端口，目标端口等，根据预先定义好的规则，对包进行过滤，从而达到访问控制的目的。
　　ACl是一组规则的集合，它应用在路由器的某个接口上。对路由器接口而言，访问控制列表有两个方向。
　　出：已经通过路由器的处理，正离开路由器的数据包。
　　入：已到达路由器接口的数据包。将被路由器处理。
　　1、AccessContralList
　　2、ACL是一种包过滤技术。
　　3、ACL基于IP包头的IP地址、四层TCPUDP头部的端口号；基于三层和四层过滤
　　、ACL在路由器上配置，也可以在防火墙上配置（一般称为策略）
　　、ACL主要分为2大类：
　　标准ACL
　　表号是199特点；
　　只能基于源IP地址对包进行过滤
　　扩展ACL
　　表号：100199
　　特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
　　ACL原理
　　1）ACL表必须应用到接口的进或出方向生效
　　2）一个接口的一个方向只能应用一张表
　　3）进还是出方向应用？取决于流量控制总方向
　　4）ACL表是严格自上而下检查每一条，所以要注意书写顺序
　　5）每一条是有条件和动作组成，当流量不满足某条件，则继续检查；当流量完全满足某条件，不再往后检查直接执行动作。
　　6）标准ACL尽量写在靠近目标的地方
　　conftaccesslist表号permitdeny源IP或源网段反子网掩码accesslist表号动作条件
　　将ACL应用到接口：intf0xipaccessgroup表号inoutexit
　　注释：反子网掩码：将正子网掩码0和1倒置
　　反子网掩码：用来匹配，与0对应的严格匹配，与1对应的忽略匹配。
　　例如：accesslist1deny10。1。1。10。255。255。255
　　解释：该条目用来拒绝所有源IP为10开头的
　　accesslist1deny10。1。1。10。0。0。0
　　简写：accesslist1denyhost10。1。1。1
　　解释：该条目用来拒绝所有源IP为10。1。1。1的主机
　　accesslist1deny0。0。0。0255。255。255。255
　　简写：accesslist1denyany
　　解释：该条目用来拒绝所有人
　　1）做流量控制，首先要先判断ACL写的位置（那个路由器？那个接口的哪个方向？）
　　2）再考虑怎么写ACL
　　首先要判断最终要允许所有还是拒绝所有
　　将【详细的严格的控制】写在最前面
　　3）一般情况下，标准或扩展ACL一旦编写，无法修改某一条，也无法删除某一条，也无法往中间插入新的条目，只能一直在最后添加新的条目
　　如想修改插入或删除，只能删除整张表，重新写！
　　conft
　　noaccesslist表号
　　查看ACL表：
　　showipaccesslist〔表ID〕
　　扩展ACL：
　　表号：100199
　　特点：可以基于源IP、目标IP、端口号、协议对包进行过滤
　　命令：
　　acc100permintdeny协议源IP或源网段反子网掩码目标IP或源网段反子网掩码〔eq端口号〕
　　注释：协议：tcpudpicmpip
　　案例：
　　acc100permittcphost10。1。1。1host20。1。1。3eq80
　　acc100denyiphost10。1。1。120。1。1。10。0。0。255
　　命名ACL：
　　作用：可以对标准或扩展ACL进行自定义命名
　　优点：
　　自定义命名更容易辨认，也便于记忆！
　　可以任意修改某一条，或删除某一条，也可以往中间插入某一条
　　conft
　　ipaccessliststandardextended自定义表名
　　开始从deny或permit编写ACL条目
　　exit
　　删除某一条：
　　ipaccessliststandardextended自定义表名
　　no条目ID
　　exit
　　插入某一条：
　　IPaccessliststandardextended自定义表名
　　条目ID动作条件
　　以上是以思科命令为例。