自反 ACL

     允许最近出站数据包的目的地发出的应答流量回到该出站数据包的源地址。这样您可以更加严格地控制哪些流量能进入您的网络，并提升了扩展访问列表的能力。

       自反ACL（Reflective ACL）是动态ACL技术的一种应用。它根据IP报文的上层会话信息生成，只有当私网用户先访问了公网后才允许公网访问私网。利用自反ACL可以很好的保护企业内部网络，免受外部非法用户的攻击。

       网络管理员使用自反 ACL 来允许从内部网络发起的会话的 IP 流量，同时拒绝外部网络发起的 IP 流量。此类 ACL 使路由器能动态管理会话流量。路由器检查出站流量，当发现新的连接时，便会在临时 ACL 中添加条目以允许应答流量进入。自反 ACL 仅包含临时条目。当新的 IP 会话开始时（如数据包出站），这些条目会自动创建，并在会话结束时自动删除。

   

自反 ACL 不能直接应用到接口，而是“嵌套”在接口所使用的扩展命名 IP ACL 中。

自反 ACL 仅可在扩展命名 IP ACL 中定义。自反 ACL 不能在编号 ACL 或标准命名 ACL 中定义，也不能在其它协议 ACL 中定义。自反 ACL 可以与其它标准和静态扩展 ACL 一同使用。