ACL——访问控制列表

一、分类：

标准----仅关注数据包中的源IP地址

扩展----关注数据包中的源/目标IP，协议号或目标端口号

二、配置标准ACL

由于标准ACL仅关注数据包中的源IP，故 调用时要尽量靠近目标，避免对其他地址的访问被误杀

2000-2999  标准acl的编号范围     3000-3999  扩展acl的范围  

注意：一个编码就是一张规则，一张规则可以容纳大量的具体规则

[R2]acl 2000  创建标准acl 2000

[R2-acl-basic-2000]rule deny source 192.168.1.2 0.0.0.0  规定 拒绝 源 192.168.1.2  

在匹配地址时，需要使用通配符

Acl的通配符与ospf的反掩码规则相同，唯一区别在于通配符可以进行0  1  穿插。

[R2-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255

规定 允许 源 192.168.2.0 这个网段通过  

[R2-acl-basic-2000]rule deny source any   规定 拒绝所有

[R2-acl-basic-2000]display acl 2000  查看acl2000

[R2-acl-basic-2000]rule 7 deny source 192.168.2.1 0.0.0.0  规定该规则步调为7 拒绝 源192.168.2.1  

[R2]interface g 0/0/0  进入需要调用规则的接口
[R2-GigabitEthernet0/0/0]traffic-filter inbound acl 2000  在相应接口的出方向上调用acl2000

三、配置扩展ACL

由于扩展ACL对流量进行了精确匹配，故 可以表面误杀，因此，调用时，尽量靠近源

[R1]acl 3000创建 扩展 ACL 编号为3000

[R1-acl-adv-3000]rule deny ip source 192.168.1.2 0.0.0.0 destination 192.168.3.2 0.0.0.0

规定  拒绝 源 192.168.1.2 向目标 192.168.3.0 的一切IP行为