ACL访问控制列表
原理部分
访问控制列表的工作原理：
出：已经过路由器处理正离开路由器接口的数据包。
入：已达到路由器接口的数据包，将被路由器处理。
ACL对数据流的处理流程：
路由器将对数据包进行匹配，路由器将决定该数据包的通过或拒绝，拒绝后将下一跳匹配共匹配三次直到最后拒绝丢弃。
ACL类型
标准访问：根据数据包的源iP地址来允许或拒绝。列表号1~99。
扩展访问：根据数据包的源IP地址、目的IP地址、指定协议、端口和标志来允许或拒绝。列表号100~199。
命名访问：允许使用标准访问或扩展访问，用名称代替列表号。
命令语法
标准性访问控制列表
创建ACL语句
access-list access-list-number { permit | deny } source { source-wildcard }
access-list-number：列表号
permit：允许
deny：拒绝
Source：源IP
Source-wildcard：源IP的反掩码
应用到接口
Router（config-if）#ip access-group access-list-number { in | out }
注：在ACL访问控制列表中可以用关键字host与any。（host表示主机，any表示所有）
例：
access-list 1 permit 192.168.1.1 0.0.0.255 等同于 access-list 1 permit host 192.168.1.1
//允许主机192.168.1.1 通过
access-list 1 deny 0.0.0.0 255.255.255.255 等同于 access-list 1 deny any //拒绝所有
扩展性访问控制列表
创建ACL语句
access-list access-list-number { permit | deny } protocol source source-wildcard destination destination-wildcard operator operan
protocol：协议
destination：目的IP
destination-wildcard：目的IP的反掩码
operator operan ：可使用lt（小于）、gt（大于）、eq（等于）或neq（不等于）一个端口号。
命令性访问控制列表
创建ACL语句
ip access-list { standard | extended } acces-list-name
standard：标准
extended：扩展
创建标准性ACL的命名语句
Router（config-std-nacl）# [ sequence-number ] { permit | deny } source [ source-wildcard ]
创建扩展性ACL的命名语句
Router（config-ext-nacl）# [ sequence-number ] { permit | deny } protocol source source-wildcard destination destination-wildcard operator operan
Sequence-numeber：可以将新添加的ACL语句插入到ACL列表中。（默认情况下第一条语句为10第二条为20，依次类推。如果拒绝语句为30，那么这里就可以写10-30之内的任意数字，就可以插入进去。）
Router（config-std-nacl）# //标准ACL
Router（config-ext-nacl）# //扩展ACL
实例部分
先看清楚拓扑图的配置详情
实验步骤如下（用GNS3做的）
第一步：为真机、vpcs1、web网页配置IP地址并互通。
真机配置
web服务配置
vpcs1配置
路由器R1与交换机之间要配置双工。
真机ping web服务
第二步：配置标准性ACL访问控制列表
R1路由器
真机测试
web测试
扩展性访问控制列表
第一条语句的意思是允许主机192.168.2.1访问主机192.168.3.2的内网
第二条语句的意思是拒接主机192.168.2.1去ping通主机192.168.3.2
第三条语句的意思是允许主机192.168.2.1去ping通其它网段地址。
//在Windows server 2008上搭建web服务
//服务搭建好后进入Internet信息服务管理器中看看web服务有没有启动。
//如果没有启动该服务，右击如下图标就可以开启。
在真机上用IE浏览器测试。（ping不同web服务器却可以访问它的内网）
命令性访问控制列表（并没有用上面的那张拓扑图）
例：
router（config）#ip access-list standard wang
router（config-std-nacl）#permit host 192.168.1.1
router（config-std-nacl）#deny any
可以使用show access-lists查看
standard IP access list wang //标准访问控制列表
10 permit 192.168.1.1 //配置第一条ACL语句的序列号为10
20 deny any //配置第二条ACL语句的序列号为20
如果这时想让192.168.2.1的也能允许流量通过。
router（config-std-nacl）# 15 permit host 192.168.2.1 //配置ACL语句的序列号
在通过show access-lists命令来查看
standard IP access list wang //标准访问控制列表
10 permit 192.168.1.1 //配置第一条ACL语句的序列号为10
15 permit 192.168.2.1
20 deny any //配置第二条ACL语句的序列号为20
本文转自白羊IT51CTO博客，原文链接：http://blog.51cto.com/000011211684/1631556，如需转载请自行联系原作者
