访问控制列表（Access Control List，ACL) 是路由器接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。
　　
　　ACL的定义也是基于每一种协议的。如果路由器接口配置成为支持三种协议（IP、AppleTalk以及IPX）的情况，那么，用户必须定义三种ACL来分别控制这三种协议的数据包。
　　
　　ACL的作用
　　
　　ACL可以限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定数据包的优先级。
　　
　　ACL提供对通信流量的控制手段。例如，ACL可以限定或简化路由更新信息的长度，从而限制通过路由器某一网段的通信流量。
　　
　　ACL是提供网络安全访问的基本手段。如图1所示，ACL允许主机A访问人力资源网络，而拒绝主机B访问。
　　
　　ACL可以在路由器端口处决定哪种类型的通信流量被转发或被阻塞。例如，用户可以允许E-mail通信流量被路由，拒绝所有的Telnet通信流量。
　　
　　ACL的执行过程
　　
　　一个端口执行哪条ACL，这需要按照列表中的条件语句执行顺序来判断。如果一个数据包的报头跟表中某个条件判断语句相匹配，那么后面的语句就将被忽略，不再进行检查。
　　
　　ACL具体的执行流程见图2。
　　
　　在图2中，数据包只有在跟{dy}个判断条件不匹配时，它才被交给ACL中的下一个条件判断语句进行比较。如果匹配（假设为允许发送），则不管是{dy}条还是{zh1}一条语句，数据都会立即发送到目的接口。如果所有的ACL判断语句都检测完毕，仍没有匹配的语句出口，则该数据包将视为被拒绝而被丢弃。
　　
　　这里要注意，ACL不能对本路由器产生的数据包进行控制。
　　
　　ACL的分类
　　
　　目前有两种主要的ACL:标准ACL和扩展ACL。
　　
　　这两种ACL的区别是，标准ACL只检查数据包的源地址; 扩展ACL既检查数据包的源地址，也检查数据包的目的地址，同时还可以检查数据包的特定协议类型、端口号等。
　　
　　网络管理员可以使用标准ACL阻止来自某一网络的所有通信流量，或者允许来自某一特定网络的所有通信流量，或者拒绝某一协议簇（比如IP）的所有通信流量。
　　
　　扩展ACL比标准ACL提供了更广泛的控制范围。例如，网络管理员如果希望做到“允许外来的Web通信流量通过，拒绝外来的FTP和Telnet等通信流量”，那么，他可以使用扩展ACL来达到目的，标准ACL不能控制这么xx。
　　　
　　在路由器配置中，标准ACL和扩展ACL的区别是由ACL的表号来体现的，上表指出了每种协议所允许的合法表号的取值范围。
　　
　　正确放置ACL
　　
　　ACL通过过滤数据包并且丢弃不希望抵达目的地的数据包来控制通信流量。然而，网络能否有效地减少不必要的通信流量，这还要取决于网络管理员把ACL放置在哪个地方。
　　
　　假设在图3所示的一个运行TCP/IP协议的网络环境中，网络只想拒绝从RouterA的T0接口连接的网络到RouterD的E1接口连接的网络的访问，即禁止从网络1到网络2的访问。
　　
　　根据减少不必要通信流量的通行准则，网管员应该尽可能地把ACL放置在靠近被拒绝的通信流量的来源处，即RouterA上。如果网管员使用标准ACL来进行网络流量限制，因为标准ACL只能检查源IP地址，所以实际执行情况为：凡是检查到源IP地址和网络1匹配的数据包将会被丢掉，即网络1到网络2、网络3和网络4的访问都将被禁止。由此可见，这个ACL控制方法不能达到网管员的目的。同理，将ACL放在RouterB和RouterC上也存在同样的问题。只有将ACL放在连接目标网络的RouterD上（E0接口），网络才能准确实现网管员的目标。由此可以得出一个结论: 标准ACL要尽量靠近目的端。
　　
　　网管员如果使用扩展ACL来进行上述控制，则xx可以把ACL放在RouterA上，因为扩展ACL能控制源地址（网络1），也能控制目的地址（网络2），这样从网络1到网络2访问的数据包在RouterA上就被丢弃，不会传到RouterB、RouterC和RouterD上，从而减少不必要的网络流量。因此，我们可以得出另一个结论：扩展ACL要尽量靠近源端。
　　
　　ACL的配置
　　
　　ACL的配置分为两个步骤：
　　
　　{dy}步:在全局配置模式下，使用下列命令创建ACL：
　　
　　Router (config)# access-list access-list-number {permit | deny } {test-conditions}
　　
　　其中，access-list-number为ACL的表号。人们使用较频繁的表号是标准的IP ACL（1—99）和扩展的IP ACL（100－199）。
　　
　　在路由器中，如果使用ACL的表号进行配置，则列表不能插入或删除行。如果列表要插入或删除一行，必须先去掉所有ACL，然后重新配置。当ACL中条数很多时，这种改变非常烦琐。一个比较有效的解决办法是：在远程主机上启用一个TFTP服务器，先把路由器配置文件下载到本地，利用文本编辑器修改ACL表，然后将修改好的配置文件通过TFTP传回路由器。
　　
　　这里需要特别注意的是，在ACL的配置中，如果删掉一条表项，其结果是删掉全部ACL，所以在配置时一定要小心。
　　
　　在Cisco IOS11.2以后的版本中，网络可以使用名字命名的ACL表。这种方式可以删除某一行ACL，但是仍不能插入一行或重新排序。所以，笔者仍然建议使用TFTP服务器进行配置修改。
　　
　　第二步：在接口配置模式下，使用access-group命令ACL应用到某一接口上：
　　
　　Router (config-if)# {protocol} access-group access-list-number {in | out }
　　
　　其中，in和out参数可以控制接口中不同方向的数据包，如果不配置该参数，缺省为out。
　　
　　ACL在一个接口可以进行双向控制，即配置两条命令，一条为in，一条为out，两条命令执行的ACL表号可以相同，也可以不同。但是，在一个接口的一个方向上，只能有一个ACL控制。
　　
　　值得注意的是，在进行ACL配置时，网管员一定要先在全局状态配置ACL表，再在具体接口上进行配置，否则会造成网络的安全隐患。
　　

                                                   访问控制列表概述

访问控制列表从概念上来讲并不复杂，复杂的是对它的配置和使用：
　　　　下面是对几种访问控制列表的简要总结。
　　　　●标准IP访问控制列表
　　　　一个标准IP访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。编号范围是从1到99的访问控制列表是标准IP访问控制列表。
　　　　●扩展IP访问控制列表
　　　　扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。编号范围是从100到199的访问控制列表是扩展IP访问控制列表。
　　　　●命名的IP访问控制列表
　　　　所谓命名的IP访问控制列表是以列表名代替列表编号来定义IP访问控制列表，同样包括标准和扩展两种列表，定义过滤的语句与编号方式中相似。
　　　　●标准IPX访问控制列表
　　　　标准IPX访问控制列表的编号范围是800-899，它检查IPX源网络号和目的网络号，同样可以检查源地址和目的地址的节点号部分。
　　　　●扩展IPX访问控制列表
　　　　扩展IPX访问控制列表在标准IPX访问控制列表的基础上，增加了对IPX报头中以下几个宇段的检查，它们是类型、源Socket、目标Socket。扩展IPX访问控制列表的编号范围是900-999。
　　●命名的IPX访问控制列表
　　　　与命名的IP访问控制列表一样，命名的IPX访问控制列表是使用列表名取代列表编号。从而方便定义和引用列表，同样有标准和扩展之分。

                                                                    访问控制列表使用原则

由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就xx掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。
　　
　　1、最小特权原则
　　
　　只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
　　
　　2、最靠近受控对象原则
　　
　　所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
　　
　　3、默认丢弃原则
　　
　　在CISCO设备中默认{zh1}一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。
　　
　　由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。

                                               IP访问控制列表

实验对IP访问控制列表进行配置和监测，包括标准、扩展和命名的IP访问控制列表。
　　
　　1.实验目的
　　
　　通过本实验，读者可以掌握以下技能:
　　●配置标准IP访问控制列表;
　　●配置扩展IP访问控制列表;
　　●配置命名的标准IP访问控制列表;
　　●配置命名的扩展IP访问控制列表;
　　●在网络接口上引用IP访问控制列表;
　　●在VTY上引用IP访问控制列表;
　　●查看和监测IP访问控制列表。
　　
　　2.设备需求
　　
　　本实验需要以下设备:
　　●Cisco路由器3台，分别命名为R1、R2和R3。要求R1具有1个以太网接口，R2具有1个以太网接口和1个串行接口，R3具有1个串行接口;
　　●1条交叉线序的双绞线，或2条正常线序双绞线和1个Hub;
　　●1条DCE电缆和1条DTE电缆，或1条DCE转DTE电缆;
　　●1台终端服务器，如Cisco 2509路由器，及用于反问Telnet的相应电缆;
　　●1台带有超级终端程序的PC机，以及Console电缆及转接器。
　　
　　3.拓扑结构及配置说明
　　
　　本实验拓扑结构如图10-1所示，R1的E0接口与R2的E0接口通过以太网连接起来，R2的S0接口与R3的S0接口通过串行电缆连接起来。
　　各路由器相关接口的IP地址分配如图10-1中的标注。
　　

　　
　　4.实验配置及监测结果
　　
　　首先配置各路由器，并且通过路由选择协议的配置实现了整个拓扑的IP连通性，在此基础上进行IP访问控制列表的配置和监测。
　　在R1上设置enable口令为cisco，VTY口令为ciscol，用于Telnet测试。
　　以上配置在以前章节中已进行过实验，在本实验中不再给出配置清单。
　　我们主要在R2路由器上配置访问控制列表，R1和R3用于测试目的。
　　
　　第1部分:配置和引用标准IP访问控制列表
　　
　　配置清单10-1列出了在R2路由器上配置和引用标准IP访问控制列表的操作。
　　
　　配置清单10-1 配置和引用标准IP访问控制列表
　　
　　R2#conf t
　　Enter configuration commands, one per line. End with CNTL/Z.
　　R2(config)#access-list 1 deny 30.1.1.0 0.0.0.255
　　R2(config)#access-Ust 1 permit any
　　R2(config)#int s0
　　R2(config-if)#ip access-group 1 in
　　R2(config-if)#^Z
　　R2#sh
　　14:34:20: %SYS-5-CONFIG_1: Configured from console by console
　　R2#sh ip access-list 1
　　Standard IP access list 1
　　　deny 30.1.1.0,wukdcard buts 0.0.0.255 check=2
　　　permit any(2 matches)
　　R2#sh ip int s0
　　Serial0 is up, line protocol is up
　　　Internet address is 20.1.1.2/24
　　　Broadcast address is 255.255.255.255
　　　Address determined by setup command
　　　MTU is 1500 bytes
　　　Helper address is not set
　　　Directed broadcast forwarding is disabled
　　　Multicast reserved groups joined: 224.0.0.9
　　　Outgoing access list is not set
　　　Inbound access list is 1
　　　Proxy ARP is enabled
　　　Security level is default
　　　... (输出省略)
　　R2#clear access-list counters
　　
　　R2#sh ip access-1 1
　　Standard IP access list 1
　　　deny　　30.1 .IA wildcard bits 0.0.0.255
　　　permit any
　　R2#
　　Term_Server#3
　　[Resuming connection 3 to R3 ... ]
　　
　　R3#ping 10.1.1.1
　　Type escape sequence to abort.
　　Sending 5, 100-byte ICMP Echosto 10.1.1.1, timeout is 2 seconds:
　　!!!!!
　　Success rate is 100 percent (5/5). round-tri/min/avg/max=:32/37/48 ms
　　R3#ping
　　Protocol [ip]:
　　Target IP address: 10.1.1.1
　　Repeat count [5]:
　　Datagram size [100]:
　　Timeout in seconds [2]:
　　Extended commands [n]: y
　　Source address or interface: 30.1.1.3
　　Type of service [0]:
　　Set DF bit in IP header? [no]:
　　Validate reply data? [no]:
　　Data pattern [0xABCD]:
　　Loose, Strict, Record, Timestamp, Verbose[none]:
　　Sweep range of sizes [n]:
　　Type escape sequence to abort.
　　Sending 5,100-byte ICMP Echos to 10.1.1.1,timeout is 2 seconds:
　　U.U.U
　　Success rate is 0 percent (0/5)
　　R3#^Z
　　Term_Server#2
　　[Resuming connection 3 to R2 ... ]
　　R2#sh ip access-1 1
　　Standard IP access list 1
　　　deny 30.1.1.0, wildcard bits 0.0.0.255 (5 matches) checks 15
　　　permit any (5 matches)
　　
　　(1)在定义访问控制列表时，要特别注意语句输入的先后顺序，因为路由器在执行该列表时的顺序是自上而下的。
　　另一个应注意的问题是路由器不对由自身产生的IP进行过滤，在实验时应由其他的设备发包进行测试。
　　(2)配置标准IP访问控制列表1时，定义了除30.1.1.0/24网段外的所有网段都被接受。
　　(3)在R2路由器S0接口的进入方向引用了访问控制列表1,目的是过滤来自30.1.1.0/24网段的数据包，允许其他所有网段的数据包通过。
　　在接口上引用访问控制列表时，使用in或out子命令。这里的in和out是指以路由器本身为参考点，数据包是进入 (in)还是离开(out)路由器。
　　(4)show ip access-list命令列出了所定义的访问控制列表的情况，可以看到"permit any"一行有2个匹配包的报告，表示已经有2个匹配此行条件的数据包被S0接口接收。
　　(5)show ip int sO命令列出的信息中加阴影的2行是关于访问控制列表引用情况的信息，表明在进入路由器的方向(而)引用了访问控制列表1。
　　(6)接下来用clear access-list counters指令清空了访问控制列表的计数器。以便观察实验结果。所谓清空计数器，就是把访问控制列表各行的匹配数清空。
　　再次使用show ip access-list命令查看显示了我们想得到的结果。
　　(7)使用ping和扩展的ping命令测试访问控制列表1的定义和引用情况，结果为:
　　从20.1.1.3发往10.1.1.1的IP包被R2接收和路由;
　　从30.1.1.3发往10.1.1.1的IP包被R2过滤掉。
　　测试结果符合访问控制列表的设置。
　　(8)再次查看访问控制列表的匹配情况，可以看到，在访问控制列表1中，2条语句各有5个相匹配的包，即5个ICMP Echo包。
　　
　　第2部分:配置和引用扩展IP访问控制列表
　　
　　接下来是有关扩展IP访问控制列表的实验。
　　配置清单10-2列出了在R2路由器上配置和引用扩展IP访问控制列表的操作。
　　
　　配置清单10-2配置和引用扩展IP访问控制列表
　　
　　R2#conft
　　Enter configuration commands, one per line. End with CNTL/Z.
　　R2(config)#access-list 101 deny icmp 20.1.1.0 0.0.0.255 10.1.1.0 0.0.0.255 echo
　　R2(config)#access-list 101 permit ip any any
　　R2(config)#int e0
　　R2(config-if)#ip access-g 101 out
　　R2(config-if)#int s0
　　R2(config-if)#no ipaccess-g 1 in
　　R2(config-if)#^Z
　　R2#
　　R2#sh ip access-list
　　Standard IP access list 1
　　　deny 30.1.1.0, wildcard bits 0.0.0.255 (8 matches) check=20
　　　permit any (20 matches)
　　　permit ip any any
　　
　　R2#
　　Term_Server#3
　　[Resuming connection 3 to R3 ...]
　　R3#ping 10.1.1.1
　　Type escape sequence to abort.
　　Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
　　U.U.U
　　Success rate is 0 percent(0/5)
　　R3#telnet 10.1.1.1
　　Trying 10.1.1.1... Open
　　
　　User Access Verification
　　
　　Password:　　(键入 cisco1 )
　　R1>en
　　Password:　　(键入 cisco )
　　R1#
　　R1#exit
　　
　　[Connection to 10.1.1.1 closed by foreign host]
　　R3#
　　Term_Server#2
　　[Resuming connection 2 to R2 ... ]
　　
　　R2#sh ip access-list 101
　　Extended IP access list 101
　　　deny icmp 20.1.1.0 0.0.0.255 10.1.1.0.0.0.0.255 echo(8 matches)
　　　permit ip any any (40 matches)
　　R2#
　　
　　(1)首先定义了一个扩展的IP访问控制列表101。
　　列表的第1句拒绝从20.1.1.0/24网段发往10.1.1.0/24网段的ICMP Echo包，即希望从20.1.1.0/24网段到10.1.1.0/24网段的ping失败。
　　列表的第2句允许所有的

                                                     A网络层访问权限控制技术－ACL详解

技术从来都是一把双刃剑，网络应用与互联网的普及在大幅提高企业的生产经营效率的同时，也带来了诸如数据的安全性，员工利用互联网做与工作不相干事等负面影响。如何将一个网络有效的管理起来，尽可能的降低网络所带来的负面影响就成了摆在网络管理员面前的一个重要课题。
　　
　　A公司的某位可怜的网管目前就面临了一堆这样的问题。A公司建设了一个企业网，并通过一台路由器接入到互联网。在网络核心使用一台基于IOS的多层交换机，所有的二层交换机也为可管理的基于IOS的交换机，在公司内部使用了VLAN技术，按照功能的不同分为了6个VLAN。分别是网络设备与网管(VLAN1，10.1.1.0/24)、内部服务器(VLAN2)、Internet连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。该网络的拓朴如下图所示：
　　

　

　　自从网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。这些抱怨都找这位可怜的网管，搞得他头都大了。那有什么办法能够解决这些问题呢？答案就是使用网络层的访问限制控制技术――访问控制列表（下文简称ACL）。
　　
　　那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？
　　
　　ACL的基本原理、功能与局限性
　　网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分{zx1}的二层交换机如2950之类也开始提供ACL的支持。只不过支持的特性不是那么完善而已。在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。本文所有的配置实例均基于Cisco IOS的ACL进行编写。
　　
　　基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
　　
　　功能：网络中的节点资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。
　　
　　配置ACL的基本原则：在实施ACL的过程中，应当遵循如下两个基本原则：
　　
　　最小特权原则：只给受控对象完成任务所必须的最小的权限
　　
　　最靠近受控对象原则：所有的网络层访问权限控制
　　
　　局限性：由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到end to end的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
　　
　　ACL基本配置
　　ACL配置技术详解
　　
　　“说那么多废话做什么，赶快开始进行配置吧。”，A公司的网管说。呵呵，并不是我想说那么多废话，因为理解这些基础的概念与简单的原理对后续的配置和排错都是相当有用的。说说看，你的{dy}个需求是什么。
　　
　　“做为一个网管，我不期望普通用户能telnet到网络设备”――ACL基础
　　
　　“补充一点，要求能够从我现在的机器(研发VLAN的10.1.6.66)上telnet到网络设备上去。”。hamm，是个不错的主意，谁都不希望有人在自己的花园中撤野。让我们分析一下，在A公司的网络中，除出口路由器外，其它所有的网络设备段的是放在Vlan1中，那个我只需要在到VLAN 1的路由器接口上配置只允许源地址为10.1.6.66的包通过，其它的包通通过滤掉。这中只管源IP地址的ACL就叫做
　　
　　标准IP ACL：
　　我们在SWA上进行如下的配置：
　　
　　access-list 1 permit host 10.1.6.66
　　
　　access-list 1 deny any
　　
　　int vlan 1
　　
　　ip access-group 1 out
　　
　　这几条命令中的相应关键字的意义如下：
　　
　　access-list：配置均ACL的关键字，所有的ACL均使用这个命令进行配置。
　　
　　access-list后面的1：ACL号，ACL号相同的所有ACL形成一个组。在判断一个包时，使用同一组中的条目从上到下逐一进行判断，一遇到满足的条目就终止对该包的判断。1-99为标准的IP ACL号，标准IP ACL由于只读取IP包头的源地址部分，消耗资源少。
　　
　　permit/deny：操作。Permit是允许通过，deny是丢弃包。
　　
　　host 10.1.6.66/any：匹配条件，等同于10.1.6.66 0.0.0.0。刚才说过，标准的ACL只限制源地址。Host 10.1.6.66(10.1.6.66 0.0.0.0)的意思是只匹配源地址为10.1.6.66的包。0.0.0.0是wildcards，某位的wildcards为0表示IP地址的对应位必须符合，为1表示IP地址的对应位不管是什么都行。简单点说，就是255.255.255.255减去子网掩码后的值，0.0.0.0的wildcards就是意味着IP地址必须符合10.1.6.66，可以简称为host 10.1.6.66。any表示匹配所有地址。
　　
　　注意：IOS中的ACL均使用wildcards，并且会用wildcards对IP地址进行严格的对齐，如你输入一条access-list 1 permit 10.1.1.129 0.0.0.31，在你show access-list看时，会变成access-list 1 permit 10.1.1.128 0.0.0.31，PIXOS中的ACL均使用subnet masks，并且不会进行对齐操作。
　　
　　int vlan1///ip access-group 1 out：这两句将access-list 1应用到vlan1接口的out方向。其中1是ACL号，和相应的ACL进行关联。Out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。
　　
　　注意：这里的in/out都是站在路由器或三层模块（以后简称R）上看的，in表示从该接口进入R的包，out表示从该接口出去的包。
　　
　　好了，这就是一个最基本的ACL的配置方法。什么，你说普通用户还能telnet到RTA？那你在int vlan3上现加一个ip access-group 1 out吧。Hammmm，等等，你这样加上去普通用户就访问不了internet了。让我们把刚才的ACL去掉，重新写一个。
　　
　　回忆一下，我们的目的是除了10.1.6.66能够进行telnet操作外，其它用户都不允许进行telnet操作。刚才我们说过，标准的IP ACL只能控制源IP地址，不能控制到端口。要控制到第四层的端口，就需要使用到：
　　
　　扩展的IP ACL的配置
　　先看看配置实例吧。在SWA上进行如下配置：
　　
　　int vlan 1
　　
　　no ip access-group 1 out
　　
　　exit
　　
　　no access-list 1
　　
　　access-list 101 permit tcp host 10.1.6.66 any eq telnet
　　
　　access-list 101 deny tcp any any eq telnet
　　
　　int vlan 1
　　
　　ip access-group 101 out
　　
　　int vlan 3
　　
　　ip access-group 101 out
　　
　　你应该注意到到这里的ACL有一些变化了，现在对变化的部分做一些说明：
　　
　　access-list 101：注意这里的101，和刚才的标准ACL中的1一样，101是ACL号，表示这是一个扩展的IP ACL。扩展的IP ACL号范围是100-199，扩展的IP ACL可以控制源IP、目的IP、源端口、目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口，的IP在没有硬件ACL加速情况下，会消耗大量的CPU资源。
　　
　　int vlan 1///no ip access-group 1 out///exit///no access-list 1：取消access-list 1，对于非命名的ACL，可以只需要这一句就可以全部取消。注意，在取消或修改一个ACL前，必须先在它所应用的接口上先把应用给no掉，否则会导致相当严重的后果。
　　
　　tcp host 10.1.6.66 any eq telnet：匹配条件。完整格式为：协议源地址 源wildcards [关系] [源端口] 目的地址 目的wildcards [关系] [目的端口]。其中协议可以是IP、TCP、UDP、EIGRP等，[]内为可选字段。仅在协议为tcp/udp等具备端口号的协议才有用。关系可以是eq(等于)、neq（不等于）、lt(大于)、range（范围）等。端口一般为数字的1-65535，对于周知端口，如23(服务名为telnet)等可以用服务名代替。源端口和目的端口不定义时表示所有端口。
　　
　　把这个ACL应用上去后，用户们开始打电话来骂娘了，因为他们都访问不了Internet了，是哪里出了问题了呢？
　　
　　注意：所有的ACL，缺省情况下，从安全角度考虑，{zh1}都会隐含一句deny any(标准ACL)或deny ip any any（扩展IP ACL）。所以在不了解业务会使用到哪些端口的情况下，{zh0}在ACL的{zh1}加上一句permit ip any any，在这里就是access-list 101 permit ip any any。
　　
　　现在用户倒是能够访问Internet了，但我们的可怜的网管却发现普通用户还是能够telnet到他的SWA上面，因为SWA上面有很多个网络接口，而且使用扩展的ACL会消耗很多的资源。有什么简单的办法能够控制用户对网络设备的Telnet访问，而又不消耗太多的资源呢？这就需要使用到：
　　
　　对网络设备自身的访问如何进行控制的技术
　　让我们先把刚才配置的ACL都取掉(具体配置略，不然后读者会以为我在骗稿费了。)，再在每台网络设备上均进行如下配置：
　　
　　access-list 1 permit host 10.1.6.66
　　
　　line vty 0 4(部分设备是15)
　　
　　access-class 1 in
　　
　　这样就行了，telnet都是访问的设备上的line vty

华为3COM 访问控制列表简述

华为3COM设备中访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，他是通过使用IP包中的源IP地址进行过滤，使用的访问控制列表号1到99来创建相应的ACL。
　　
　　一，标准访问控制列表的格式：
　　
　　标准访问控制列表是最简单的ACL。他的具体格式如下：
　　
　　acl ACL号
　　
　　//进入ACL设置界面
　　
　　rule permit|deny source IP地址 反向子网掩码
　　
　　例如：rule deny source 192.168.1.1 0.0.0.0这句命令是将所有来自192.168.1.1地址的数据包丢弃。当然我们也可以用网段来表示，对某个网段进行过滤。命令如下：
　　
　　rule deny source 192.168.1.0 0.0.0.255
　　
　　//将来自192.168.1.0/24的所有计算机数据包进行过滤丢弃。为什么后头的子网掩码表示的是0.0.0.255呢？这是因为华为设备和CISCO一样规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。
　　
　　二，配置实例：
　　
　　要想使标准ACL生效需要我们配置两方面的命令：
　　
　　1，ACL自身的配置，即将详细的规则添加到ACL中。
　　
　　2，宣告ACL，将设置好的ACL添加到相应的端口中。
　　
　　网络环境介绍：
　　
　　我们采用如下图所示的网络结构。器连接了二个网段，分别为172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24网段中有一台提供WWW服务，IP地址为172.16.4.13。
　　

　

　　实例1：禁止172.16.4.0/24网段中除172.16.4.13这台计算机访问172.16.3.0/24的计算机。172.16.4.13可以正常访问172.16.3.0/24。
　　
　　器配置命令：
　　
　　acl 1
　　
　　//设置ACL 1，并进入ACL设置模式
　　
　　rule deny source any
　　
　　//设置ACL，阻止其他一切IP地址进行通讯传输。
　　
　　int e1
　　
　　//进入E1端口。
　　
　　firewall packet-filter 1 inbound
　　
　　//将ACL 1宣告。
　　
　　经过设置后E1端口就只容许来自172.16.4.13这个IP地址的数据包传输出去了。来自其他IP地址的数据包都无法通过E1传输。
　　
　　小提示：
　　
　　由于华为3COM的设备是默认添加了permit ANY的语句在每个ACL中，所以上面的rule deny source any这句命令可以必须添加的，否则设置的ACL将无法生效，所有数据包都会因为结尾的permit语句而正常转发出去。另外在路由器连接网络不多的情况下也可以在E0端口使用firewall packet-filter 1 outbound命令来宣告，宣告结果和上面{zh1}两句命令效果一样。
　　
　　实例2：禁止172.16.4.13这个计算机对172.16.3.0/24网段的访问，而172.16.4.0/24中的其他计算机可以正常访问。
　　
　　路由器配置命令：
　　
　　access-list 1
　　
　　//设置ACL，进入ACL1设置界面。
　　
　　rule deny source 172.16.4.13 0.0.0.0
　　
　　//阻止172.16.4.13这台计算机访问。
　　
　　rule permit source any（如下图）
　　
　　//设置ACL，容许其他地址的计算机进行通讯
　　
　　int e1
　　
　　//进入E1端口
　　
　　firewall packet-filter 1 inbound
　　
　　//将ACL1宣告，同理可以进入E0端口后使用firewall packet-filter 1 outbound来完成宣告。
　　

　　配置完毕后除了172.16.4.13其他IP地址都可以通过路由器正常通讯，传输数据包。需要提醒一点的是默认情况下华为设备在ACL结尾添加了rule permit source any的语句，所以本例中可以不输入该语句，效果是一样的。
　　
　　总结：
　　
　　标准ACL占用路由器资源很少，是一种最基本最简单的访问控制列表格式。应用比较广泛，经常在要求控制级别较低的情况下使用。如果要更加复杂的控制数据包的传输就需要使用扩展访问控制列表了，他可以满足我们到端口级的要求。