ACL
一、ACL分类：
标准ACL：表号1~99
基于源IP地址控制数据包。
扩展ACL：表号100~199
基于源IP地址，目的IP地址，端口号，协议类型。
二、ACL规则：
1、ACL从上往下匹配。
2、每一个ACL列表都有一条默认deny any的语句。
3、ACL中把具体的表号放在最前面。
4、ACL表中至少需要有一条permit语句。
5、标准ACL放在离目的近的地方，扩展ACL放在离源近的地方。
6、每一个接口的一个方向只应用一个ACL列表。
三、实验
需求一：只允许R3和R1通信，不允许R4和R1通信。
需求二：允许R3可以telnet R1&R3不允许ping通过R1；不允许R4 telnet R2&允许R4ping通过R1。
需求一解法：
命令配置： R2 创建方法一： access-list 1 permit host 23.1.1.3#创建拒绝源地址为R4数据包的标准ACL列表。 access-list 1 deny host 24.1.1.4 #创建允许其他（any）的访问，包括R1的标准ACL列表。 ! 调用： interface Serial1/0 ip address 12.1.1.2 255.255.255.0 ip access-group 1 out #调用标准访问控制列表1 !
删除： R2(config)#no access-list 1 #删除标准ACL列表。 ! 创建方法二： ip access-list standard ccna #创建命名式ACL。 deny host 24.1.1.4 permit any
!
R2(config)#no ip access-list standard ccna #删除标准ACL列表。
!
调用： interface Serial1/0 ip address 12.1.1.2 255.255.255.0 ip access-group ccna out #调用标准访问控制列表ccna
配置命令检查： R2#show ip access-lists Standard IP access list ccna 10 deny 24.1.1.4 20 permit any
验证：
R3(config-if)#do ping 12.1.1.1 #允许R3访问R1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 12.1.1.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 20/34/64 ms ------------------------------------------------------------------------------------------------ R4(config-if)#do ping 24.1.1.1 #禁止R4访问R1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 24.1.1.1, timeout is 2 seconds: UUUUU ------------------------------------------------------------------------------------------------ R2#show ip access-lists Standard IP access list 1 10 deny 24.1.1.4 (10 matches) #有match的匹配值，证明acl有数据包匹配。 20 permit any (5 matches)