反掩码详解————————————————————————————————作者: ————————————————————————————————日期:ﻩ反掩码详解在配置路由协议的时候(如ＯSＰＦ、EIGＲP ）使用的反掩码必需是连续的１即网络地址。
例：ｒoute osｐf 100 ｎeｔｗork 19２.16８．1．０0.０．０.255 ｎeｔwork 192.１68.２.０0.0.0．2５5 而在配置ACL的时候可以使用不连续的1，只需对应的位置匹配即可。
例:acｃｅｓs-lｉst 1 peｒmit 1９８.78.46.0 0.0.11.2５5ﻫ正掩码和反掩码的区别:正掩码必须是连续的，而反掩码可以不连续，例如:Ｃ类地址子网掩码中不可以出现２55.253.255．0（二进制为1111111１111111０１1111１１11 00００000０）这样的掩码;而反掩码可以出现0.０.0.２（二进制为00000 00０00）。
正掩码表示的路由条目,而反掩码表示的范围。
反掩码就是通配符掩码,通过标记0和1告诉设备应该匹配到哪位。
在反掩码中，相应位为1的地址在比较中忽略，为0的必须被检查.IP地址与反掩码都是32位的数例如掩码是255.255.25５.0 wilｄcarｄ-ｍaｓk 就是0.0.0.2５5255.2５5.255.２48 反掩就是０.0.0.7通配符掩码(wiｌｄcarｄ-mask)ﻫ路由器使用的通配符掩码(或反掩码)与源或目标地址一起来分辨匹配的地址范围,它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码对使我们可以只使用两个3２位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码对相当有用。
ﻫ在子网掩码中,将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
相反，在访问列表中将通配符掩码中的一位设成１表示I Ｐ地址中对应的位既可以是1又可以是0。
有时,可将其称作“无关”位，因为路由器在判断是否匹配时并不关心它们。
掩码位设成0则表示IP地址中相对应的位必须精确匹配。
ﻫﻫﻫ通配符掩码表CIDＲ子网掩码反掩码25 30/ ﻫ５．２55.25５.252 0．0．0.3255.2 29/ ﻫ５5．255.248 ０.0．0.7255.２５５.2５5.224 0．0．0.３1ﻫ/26 255.25５.255.27/28 2５5．25５．25５．240 0.0.0．15ﻫ/１9２0.0．０.63ﻫ／２5 ２55.255.255.128 ０．０.0.1272５5.２5５．254．0 0．0.1．25523／２4 2５5.2５5.2５5.００.0.0.255ﻫ//2２255．255.252．００.0.3.２55/21 2５５．２55.248.0 ０．0.７．２5518２55.2５5.1９/／２０255.25５.240.0 ０.０.15．255ﻫ/19 255.2５５.2２4.０0.０.31.255ﻫ2．００.0.63.255／１7 255.255.128.0 0.０.127.255ﻫ／１６25５．255.0.０0.０.25５.2５5ﻫ/1５255.２5４.０．0 ０.1.255.25５ﻫ/14 255．２52.0.0 0.3.25５.255/13 25５.248．0．0 0.7.２５５.255ﻫ/1２25５.240.0.０0.１５.２５5.2５５ﻫ/11 255.２24.0.0/9255.128．0．0 ０.１27．25５.２55 0.31．255．255ﻫ／１0 25５.192．0．０0．６3.255.255ﻫ／8 25５.0.0.0 0.255.255.255ﻫﻫ十进制通配符掩码计算方法用二进制来表示子网掩码值，再用广播地址求其差值,然后再算回十进制。
ﻫ即，推出公式:通配符掩码=2５５-掩码.２5５－掩码．２５5－掩码．255-掩码ﻫ举例一ﻫ求子网掩码２55.25５.255.2４8通配符掩码(反掩码)ﻫ（1）、把子网掩码255．255．255.248转换成二进制为: ﻫ１１111111.1１111111.11１11１11．111１1００0通配符掩码值为：广播全1(二进制）地址减去子网掩码二制制值，即：ﻫ111１1１11．111１11１1．１１11111１．1111111１－11１111１１．１1１11111．11111１1１.1111100０得到结果为:00000000.0０0０000０.000０00０0.０000011１ﻫ转换为十进制: ﻫ０.0.0.7ﻫﻫ(2）、通配符掩码=255-掩码.２５5-掩码.255－掩码．25５－掩码,即：ﻫ２5５－２５5.2５5-255.255-255.25５-２48=0.0.０.7ﻫﻫ举例二求子网掩码255.２55.1２８.0通配符掩码(反掩码)ﻫ（１)、把子网掩码255．25５.1２8.０转换成二进制为:11１1１１1１.1111１11１.1000０0００.０0000０0ﻫ通配符掩码值为:广播全1(二进制)地址减去子网掩码二制制值，即: ﻫ１1１11111．１1111111.1１111１１1．１11111１1 - 1１1１1111．11１11１11.10000000．０0０0000得到结果为:000０0０００.0000000０.0１1111１1.1111１111ﻫ转换为十进制：0.0.１２7.２55ﻫ(２)、通配符掩码=255-掩码.255-掩码.２55-掩码．255-掩码,即: ﻫ25５－255.２55-255.2５5-12８.255-０=0．０．１27.２55ﻫConfiguring IP AcｃesｓListIP访问控制列表(aｃcｅｓｓcｏntｒｏｌlisｔ，ＡCL)用于过滤IＰ流量，其中RFC 170０定义了知名(well-ｋno ｗn)端口号,RFC 19１8定义了私有IP地址空间ﻫﻫＰｔ.2 Uｎdersｔandｉng ＡCL ConｃeptｓﻫﻫUsiｎg Mask ｓﻫﻫACL里的掩码也叫iｎverse mask(反掩码）或ｗildcaｒｄmaｓk(通配符掩码）,由32位长的2进制数字组成,4个八位位组.其中0代表必须精确匹配，1代表任意匹配（即不关心）反掩码可以通过使用２55．25５.25５．2５５减去正常的子网掩码得到,比如要决定子网掩码为2５5.２55．２５5.0的IP地址17２.1６．1.0的反掩码:ﻫ2５5.２55.255.255-255．255.255.0=0.0.0．２5５即１72．16．１.０的反掩码为0.０．０.255ﻫ注意:反掩码为255.255.255.25５的０.0.0．０代表ａｎy,即任意地址反掩码为０．0.0.0的10.1.１．2代表主机地址10．1.１.2ﻫSummarizing AＣＬsﻫﻫ下面描述的是如何汇总(summarｉzaｔｉoｎ)一组网络地址,来达到优化ＡCＬ的目的:ﻫ192.168．３2．0／2４19２．１68．３5.０/241９２．1６8.33．0/24ﻫ192.１６８.34．0/2４ﻫ19２.168.３6.0/２4192．1６8.38．0/2419２.16８.３7.0/２４ﻫ１92.168.39.0/２4ﻫ这组IP地址的前２个和最后1个八位位组是一样的,再看第3个八位位组，把它们写成２进制的形式：36:０0 10 ０1 ０034:00１0 0０1０ﻫ３5:0０1０00 11ﻫ３2:0０10 ０0 00ﻫ３3:０0 10 ０0 01ﻫ37：00 １0 ０1 0138：０0 10 01 10ﻫ３９:00 １０01 1１ﻫﻫ注意这组范围里的前5位都是一样的,所以这组IP地址范围可以汇总为192.168．３2．0／21 255.２5５.248.0，那么这组ＩP地址范围的反掩码为255.255.2５5.25５－2５5.２55．248.０＝0.0.７．255ﻫ比如在做IＰstanｄard ACL的时候,就可以:aｃcess－lｉｓt １0 peｒｍit １92．１６8.32．0 0.0.７.２55ﻫﻫ再来看另一组IP地范围:19２.1６8.14８．０／２4ﻫ１92.168.1４9.0/２4192.168.１46．０／２４ﻫ19２．１6８．1４7.0／24ﻫ照之前的方法,把第3个八位位组写成2进制形式:147：10 ０1 ００111４6:１0 0１00 １0ﻫ1４8:1０0１０1 ０0149：10 01 01 ０１ﻫ是不是可以写成１９2.1６8.1４6．0/21呢?不是.因为采用/２1的话将有8个子网将被考虑进去,如果在用ACＬ拒绝上述1组地址的时候,就有可能把另外４个地址给封杀掉.一定要考虑到精确匹配,上述地址就只能汇总成下面这２条地址:ﻫﻫ对于192.１６８.1４6.x－192.16８．１47.x为:1９２.168.146.0/23(192.１68.146.0 255.2５５.25４．0)对于1９2．1６8.１４６．8－1９2.168.149．x为：192.1６8.14８.0/23(192．１68．１48.0 255.２5５.2５４.０)ﻫ所以反掩码分别为:0.0.1.255和0．0．1.２５5比如在做ＩP ｓtａｎｄarｄＡＣＬ的时候,就可以:ﻫﻫacceｓs−liｓt 1０permiｔ１92．１６8.146.0 0.0.1.２５5 aｃcess−liｓt 1０ｐeｒmit 1９2.1６8.148.０0.０.1．２５5Prｏceｓsing ＡＣLsﻫ当流量经过了配置的有ACL的路由器的时候，将和ACL里的条目从上往下的进行比较,直到找到匹配的语句为止,如果没有任何匹配的语句,流量将被拒绝（deny)掉．一般在设置ACL的时候,尽可能的把ｐeｒmｉt语句放在AＣＬ的最上部．并且要记住的是,ACL在结尾处默认隐含的有1条拒绝所有流量的dｅnｙ语句,如下2个ACL,ＡCL 101和ACL 1０２是有相同的效果的:ﻫaccｅss-lｉst 101 peｒmit ip 10．1．1.0 0．0.0.255 172.16．1．0 0．0.０.255ﻫﻫaccess-ｌiｓｔ１02 ｐermit ip 1０.１.1.0 0．0.0.25５172.１6.1.0 ０.0．0.255ａccess－list 10２ｄeny ｉp anｙanyﻫACL例子如下:aｃｃｅss-lｉｓｔ101 ｐermit tcｐhoｓt 10.1.1.2 hosｔ１72.16.1.１eq telnetﻫａｃcｅss-list 101 permiｔtcp hｏst １0.1.１.２host 1７２.1６.1．1ﻫａcｃesｓ-list 1０1 peｒｍｉt uｄｐhosｔ10．1.1．2 host １72.1６.1.1ﻫaｃcesｓ-list １01 permｉt ip １0.1.1．0 0.０．0.255 172.16.1.０0.０.0.２55ﻫ最后1条语句就足够了,前3条语句可以不用配置．因为TＣＰ就包括了telnet,并且IP包括了TCＰ和UDP．所以只需要写最后1条语句即可ﻫＤｅｆiniｎg Ｐｏrts and MｅssａgｅTｙpesﻫ在设置ACL的时候，可能不光要设置源地址和目标地址,还要设置端口号（参阅RFC 1700)或ICMP信息类型(参阅ＲFC 792）.当然可以在设置的时候输入?来查看提示，如下:ﻫaccess-list 10２peｒｍｉｔｔcp hｏst １0.1.1.1 host １７2.16.1.1 eq ?ﻫｂｇp BoｒdeｒGａteway Pｒotｏcoｌ(1７９)ﻫchargen Chaｒacｔer gｅneｒaｔor (19)ﻫcmd Rｅmote commands (rｃｍd，５14)ﻫ在配置的时候,路由器同样可以把数字转化为人性化的值,比如在设置下面的ICMP类型14的时候:ﻫaｃceｓs-list １0２peｒmit iｃmｐhｏst 10.１.1.1 ｈost 172.１6.1.1 14ﻫ就成了:ﻫaccｅss-lｉｓｔ１０2 perｍit icｍp host １０.１.1.１hoｓt 172.16.１.1 tｉmesｔamp-ｒｅｐlyﻫﻫＡppｌyｉng ACＬs当你配置了ACL的时候,不在路由器上应用它,是将不会生效的.如下图:ﻫﻫ当你要阻断从source到dｅｓtinatiｏｎ的流量的时候,尽可能的把ACＬ设置在离源地址近的地方,即在路由器A 上的E０接口(inbound）ﻫＤｅfininｇｉn and ｏutﻫﻫｉn和ouｔ是相对于路由器来说的.离开路由器接口的流量即为out;进入这个路由器的接口的流量即为ｉｎ．在配置AＣＬ的时候,iｎ和ｏｕt并不是绝对的.比如上面那个例子,在路由器A上设置ACL，方向就要用in，因为站在路由器A的角度上看,流量是进入路由器A的.但是同样可以把ＡＣL设置在路由器C上的E1接口,方向为ｏut，因为流量是离开路由器CﻫEｄiting ＡCLsﻫ在对ACＬ进行编辑的时候要特别的注意．如果你删除了ACL中某条语句,那么整个ＡCＬ也随之被删除掉了.如下：ﻫｒouｔeｒ#conｆiｇtrｏuｔｅr(cｏnfig）#ａccｅss－liｓt 101 deny iｃmp anｙanyｒouter(conｆｉｇ)#access－list 101 perｍiｔip ａny aｎyrouter（confiｇ)#^Zrouter#ｓhoｗacｃesｓ－ｌiｓtﻫExteｎded ＩP access liｓt 101ﻫdeny icmp anｙａｎyｐeｒmit iｐany ａnｙﻫroｕter＃ﻫ*Ｍar 9 ０0:43:1２.784: %SYS-5-CONFＩG_I:ﻫCｏnｆigured fｒｏm consoｌｅbｙｃoｎsoleroｕter#config trｏutｅr（conｆiｇ）#no acceｓs－ｌist 101 ｄeｎy iｃmp ａny anyﻫroｕｔｅr(conｆig)#＾Zﻫroutｅr#sｈoｗａccess-lｉstｒouteｒ#*Mar ９00:43：2９.８3２:ﻫ%SＹS-5-CONＦＩG＿Ｉ: Coｎｆiｇurｅd fｒｏm consｏｌｅｂy consoleﻫ所以如果你要修改ACL的语句的时候,可以把路由器的配置拷贝到TFTP服务器上，用文本编辑器比如nｏｔepａd.eｘe进行编辑后,在拷贝回路由器上ﻫ当然也可以用命名访问列表的方式进行修改（稍后讲解)，如下:ﻫﻫｒouter#cｏnfig tﻫroｕter(cｏｎｆｉｇ)#ip a ｃｃeｓｓ-ｌist exteｎｄed teｓtrouter（cｏnｆｉg-exｔ-ｎacl）#perｍit ｉp hｏｓt 2.2.2．2 ｈost 3.3.3.3router(ｃｏｎfｉg-ext－ｎacl)#pｅｒmｉt ｔcｐhost 1.1.1.1 hｏｓt 5.5.５.５eq (conｆig-ｅxｔ-naｃl)#permit icｍp any anyﻫroｕteｒ(ｃonfig-ｅxt-nａｃｌ)#permit udｐhost 6.6.6．6 10.１0.1０．0 0.0.0.255 eｑdomainﻫ验证下ACL的设置,如下:ｒouter#show acｃess-lisｔExtenｄed ＩＰaｃcesｓlｉst testpermｉｔip host ２.2.2.2 hoｓｔ3.3.3.3ﻫｐermit ｔcp hｏｓt 1．1.１.1 ｈoｓt 5．５.5．５eq icmｐaｎy any peｒmiｔｕｄp hosｔ6.6.6.6 10.10.１0．0 ０．0．０．２55 ｅq domａｉnﻫ设置好ＡＣL,进行删除和增加语句,如下:ﻫｒoｕter(ｃｏnfig)＃ip ａccess-lisｔeｘtｅnded tｅstroｕter(config-ｅxt-nacl)#ｎo permｉt ｉcｍｐaｎy ａny /------－-－－-----删除１条语句－----－－--/ router（confiｇ－eｘt-ｎacl)＃ｐeｒmｉt grｅhoｓt 4.4．4.４ｈoｓt 8．8.8.8 /－－---－-----－-－－增加１条语句--－-－-－－－/ﻫ修改后进行验证,如下：ﻫrｏuter＃ｓhoｗaｃcess-listﻫExｔeｎded IP access lisｔｔeｓtﻫpeｒｍit ip host 2.2.2.2 hosｔ3．３.3．3ﻫperm ｉt ｔcp hｏｓt 1．1.1.1 hｏst ５.５.5.5 eq ｕdｐhost 6.6．6．6 １０.10．10．0 ０.０．０．255 ｅq doｍain ｐｅrmit gｒe hｏｓt 4.4.4.4 hｏsｔ8.8.８.8ﻫ可以看到新增的语句位于ACL的结尾ﻫﻫ当要删除整个ACL的时候,使用如下命令：inｔerfaｃe <intｅｒfacｅ>no ip access－grｏup ＜acl number> iｎ|outﻫTroublｅｓhooｔiｎgﻫ当要对流量进行debｕｇ的时候,首先要确认,当前设置的有AＣＬ,但是没有应用它，并且路由器的fasｔ-swiｔching要关闭,步骤如下:ﻫﻫ 1.使用access-ｌist命令捕捉需要监测的数据,比如：aｃceｓs-list 101 permiｔiｐaｎｙhost 10．2.6.６ａcｃess-lisｔ101 pｅrmiｔip host 10．2．６.６anyﻫ 2.在卷入debｕg过程中的接口的faｓt-switｃhiｎg功能要关闭，如果不关闭的话，将只看的到第一个经过该接口的包．在接口配置模式下使用如下命令:ﻫno ip roｕte-ｃacheﻫﻫ 3.在特权模式下使用teｒｍiｎal mｏnｉｔor命令,这样deｂｕg输出的信息将被显示４.使用dｅbug ｉp ｐａｃket １01 [deｔail]命令开始ｄebugﻫ５.ｄebug完成以后,在特权模式下使用no deｂug ａll命令关闭debug.并且进入接口配置模式使用iｐroute－ｃａchｅ命令打开ｆaｓt－switching功能ﻫPｔ.3 Tｙｐｅs of IＰACLsﻫﻫStaｎdard ACLsﻫﻫ标准AＣL是比较古老的ACL，可以追溯到Ciｓco IOＳRelease 8．3.标准ＡCL(以ＩP访问列表为例)通过比较ＩP包的源地址和AＣL中设置的地址来做转发或者丢弃的决定.语法如下：ﻫﻫａcceｓs-list ＜access-list-nｕmber＞{perｍit|deny} {hosｔ|souｒcｅwｉldcaｒd－mask | any}ﻫ在一般的IOＳ版本中,ａccesｓ-ｌiｓｔ-numbeｒ的范围是1到99.在Cｉsco IOS Rｅlease 12．0.1中，还可以使用额外的一段１300到１９9９ﻫ当定义了标准ＡCL以后，进入接口配置模式使用如下命令进行应用:ip access-group <aｃcess－ｌiｓt-nｕmｂer> {in｜out｝ﻫExtendｅd ACLｓﻫ扩展ＡCL是在CisｃｏIＯS Rｅｌease 8.3中引入的．顾名思义,它和之前那种古老的比较方式,增加了许多额外的比较.命令如下:ﻫﻫ对于IP：ﻫａｃcesｓ－ｌist <accｅss-lｉst－nｕmｂｅr＞［ｄynamic dｙnamic-nａｍe ［tｉｍeｏut ｍinｕｔｅｓ]] {d ｅny ｜permiｔ} protocｏｌsoｕrcｅwilｄcard－mask ｄesｔｉｎaｔiｏｎwｉｌｄｃard-maｓk [pｒeｃedeｎce preｃｅdeｎce] [tos ｔos] ［log | loｇ-ｉnｐｕt］［time-ｒange ｔｉme-rangｅ-nａmｅ]ﻫ对于ICＭＰ:ﻫﻫacｃess-list <aｃceｓｓ－lｉsｔ-nuｍber> [dyｎａmic dｙnaｍｉc-nａｍe [ｔｉmeout mｉnuｔeｓ]] {ｄｅｎy | ｐermit} icmp sourｃｅwildcaｒd-mask destinaｔion wｉldcａrｄ-ｍasｋ[ｉcmp－ｔype | ［［ｉcmp-type icmp-coｄe] ｜[icｍp-messagｅ]］[precｅdｅncｅｐreceｄence] [toｓtoｓ] [lｏg | log-ｉnpｕt] [timｅ-ｒange time－range-name] ﻫ对于UDＰ:acｃess-list <acｃeｓs-liｓt-nuｍber＞[dynａmic ｄynａｍic-name ［ｔiｍeout mｉnｕteｓ］] {deny | perm ｉｔ} udp soｕｒｃe wildcard-mask [operatｏr [pｏｒt]] dｅsｔiｎａtioｎwilｄcard-ｍａsk ［ｏperator [pｏrt]] [ｐrecedeｎｃe ｐrｅcｅdence] ［toｓtos] [log | loｇ-ｉnｐuｔ] ［time-rａnge time-range－naｍe]对于TCP:aｃｃｅss－list <access-list-nｕmｂeｒ> [dｙnamｉc dyｎamic－naｍe [timeout miｎｕteｓ]] {deny | peｒｍit} ｔcｐｓｏurｃe wilｄcard-maｓｋ[oｐｅrａｔor [poｒt]] destiｎatｉon wiｌdcaｒd-mａsk ［operator [ｐo ｒt]] [precedence pｒecedence］[tos tos] ［ｌog ｜log-inｐuｔ] [time－range time-range-nａｍe]ﻫﻫ在一般的IOS版本里，access-liｓt-numｂeｒ可以为1０1到1９9．在CｉｓcｏIＯS Release 12．0.1以后,还可以额外的使用2000到2699再接下来就要将定义好的ＡCL应用在接口上,命令如下(接口配置模式下):ip ａcｃｅss-ｇrｏup ｛ａcl－nｕmｂer | ａcl－name} {in|ｏuｔ｝ﻫLｏｃk and Kｅy (Dyｎａmic ＡCLｓ)ﻫLock and Ｋeｙ（也叫动态ACL)是在Cisco ＩＯＳRｅlease １1．1引入的.这个特性是依靠于tｅｌneｔ,验证(au ｔhｅnｔｉcation,本地和远程)还有扩展AＣL的Lock and Ｋｅy的配置是在应用ACL的时候进行设置的,当验证通过以后,才允许tｅlnｅt,语法如下:ﻫuｓername <us ｅrnaｍe> ｐassworｄ<passworｄ＞intｅrfaｃe ＜intｅrfａｃe>ﻫip access-groｕp ｛numbｅr|nａme} ｛iｎ｜ouｔ}ﻫ验证之后将动态的往现有ＡＣL里增加1条语句,语法如下:ﻫﻫaccｅsｓ-lisｔ<access-liｓt-ｎｕmbｅr> dｙｎaｍic <nａmｅ> {perｍiｔ｜denｙ｝[protocoｌ］{souｒce wildcard－masｋ|ａny} {destｉnatioｎｗildcard-mask|ａｎｙ} ［precedenｃe preｃeｄeｎce] [tos tos］[estabｌiｓhed] [lｏg|loｇ-inｐut] [operａtor ｄestiｎation－port|destiｎatioｎpｏrt]ﻫ接下来：ﻫｌine ｖtｙ<ｌine_rａｎge＞ﻫlogin lｏｃａlﻫ如下就是一个Ｌock aｎd Key的配置例子:ﻫｕsｅrname test ｐaｓswoｒｄ０tesｔﻫusernamｅtest aｕtocommand accｅsｓ-enablｅhosｔｔiｍeo ｕｔ10 /----－定义空闲超时时间为1０分钟-－-/iｎtｅrfａｃe Etｈernet0/0ip ａddress １0．1.１.1 2５５．25５.25５.0ｉｐacceｓs-gｒoup １０１inaccｅss-lisｔ1０1 perｍiｔtcp aｎy ｈost 1０.1.1．１ｅq telnｅtａccess-lｉst 101 dynａmic ｔeｓｔlｉsｔｔimeout 15 peｒmit iｐ1０.１.１.0 0.0.０．２5５17２．16.1．0 0.０.0.255ﻫｌine vty 0 4loｇin localﻫ当10.1.1.２要telnet到１０．１.1.１的时候,动态ACL将被应用.当teｌｎeｔ连接断开以后,用户就可以访问172.１6.１．x网络ﻫIP Named ACLｓﻫﻫ命名ＡCL是在Cisｃo IOS Ｒeleaｓe 11.2引入的,它允许用命名的方式取代数字,IP命名ACL语法如下：ﻫip acｃeｓs－ｌｉｓt {extenｄed|stａndaｒd} <nａｍe>如下是一个使用命名ACＬ来阻断除teｌnet以外1０.1.1.2到１72.１6.１.１的流量的例子iｎterfacｅEｔｈerneｔ0/0ﻫip addｒess 10.1.1．1 2５５.255．２55.0ｉp accｅss－grouｐｉｎ_ｔo＿ｏｕｔinﻫip ａｃｃess-lｉsｔextended ｉn_to＿outﻫpermit tcp ｈｏst 1０．1.1.2 host 1７２.１６.1.1 eｑteｌnet:ﻫRｅflexive ACLｓﻫﻫ反身AＣL是在Cisｃo IOS Reｌeａse 1１.3引入的.它只能和扩展的命名IP ACL一起定义而不能和基于数字的或标准ＡCL，以及其他协议的ACL一起.语法如下:ﻫｉp ａccess-ｌｉst ｅxtended <ｎame> ｐermｉt <proｔｏｃol> anｙany rｅflect naｍe [tiｍeout ＜sｅcｏnｄｓ>]ﻫip acceｓs-liｓt eｘtｅndeｄ＜name> evaluate <ｎame＞inteｒface <inｔerface＞ﻫｉp aｃcess-group {number|name｝{iｎ｜ouｔ}ﻫ下面引用一个例子(原作者：ａliｅnguo 出处:雨声论坛好，现在进行测试，在10.1.１.2上pｉng 192.１.1.2，通了，ＲouｔerB上则ｐing不通1０.1.1.2.ﻫ现在还余下一个问题：路由器既然已经deny了外网进来的所有流量，那么它是怎么允许内网出去的返回流量进来呢?ﻫ它是通过创建动态生成的ＡＣL来允许返回流量的,下面看看show access-list的结果:……ﻫReflexｉve IP acｃeｓs liｓｔicｍp＿trａfｆicﻫｐｅrmit icmp hoｓｔ1９2.１.1.2 hosｔ10.1．1．2 (24 mａｔｃhｅs) （time ｌｅfｔ196）……ﻫﻫ这些动态ACL可通过ＴＣP的FＩＮ/RSＴ包来动态自动消除,对ＩCMP这样statelｅss的包来说，是通过内置的tｉmｅr来消除的，这点可通过上述show accesｓ－lｉst结果中的(time left 196）来核实．ﻫ最后再说说那另一个测试,也就是两个AＣＬ中加的多余的东西：ﻫｉp access－lｉｓt extｅｎded ｏutｂｏund_ｆilterｐeｒmit ｉp any aｎyﻫﻫip access－lｉst extｅｎded inbｏund_fｉlｔｅrﻫdenｙip ａny aｎy logﻫ我在10.1.１.2上发起一个到１92.1.1.2的TELNEＴ连接,这个流量到了S０口后由ＡCＬoutｂouｎd＿filter中的permit ip any ａny检测后放行.到了RoｕteｒB后,RoutｅrＢ进行处理然后返回流量,这个流量到了S0口后由inb ｏｕnd_filter检测,因为evaluatｅicmｐ＿tｒaｆfｉc中并没有包含对TCＰ类型流量的检测,这个包由ｄenｙiｐany any ｌog一句处理后丢弃并生成日志：00:24:2８：%SEＣ-6-IPACＣＥＳSLOGP: ｌiｓt inbound_ｆilter deｎｉｅd tcp 19２.1.1．２(2３) -> 1０.1．1.2（1483)，1 pacｋeｔTiｍe-Bａｓed ACLs Uｓiｎg Time Rａnges基于时间的ＡCL是在Ciｓco IOＳ12.０.1T中引入的,顾名思义,它对流量的控制可以是基于时间的.命令如下:ﻫﻫ1.定义time range(时间范围):ﻫtimｅ-ｒanｇe <tｉme－range-nａme＞ﻫ2．定义时间周期：ﻫperｉodiｃ［dayｓ-oｆ-ｔhe-week］hh:ｍm to [dａｙｓ-oｆ-ｔhe-weeｋ] ｈh:mm或,定义绝对时间：ﻫabsｏlute [starｔtimｅdate] ［ｅnd tiｍｅdaｔe]ﻫ3.把time rａnge使用在ACL中:ﻫﻫｉp accｅsｓ-list <ｎaｍｅ|ｎumbeｒ> ＜extenｄed＿defｉniｔｉon> tiｍe－range <name_of_timｅ-ｒanｇe＞例子如下:tｉme-ｒaｎge EVＥＲYOTＨEＲDＡYｐerｉoｄic Monday Wedneｓｄay Friday 8:00 to 17:０0ﻫａｃcesｓ-list 101 ｐerｍｉt tcp 1０.１.1.０0.０．０.２55 １72.16.1.０0.０．0．25５eq tｅlneｔｔime－r ａｎge EVＥRＹOTHERDＡＹﻫinterｆaｃｅEｔｈeｒｎet0/0ﻫip addresｓ10.１.1.１25５.255.255.0ﻫip accｅsｓ－ｇrｏup 1０1 inﻫCommｅnted IP ACＬEntｒｉｅsﻫ为ACL语句标记注释这个特性是在Cisco IOS Ｒeleaｓｅ12．0.2.Ｔ中引入的.ﻫﻫ为命名ACＬ添加注释的语法为:ﻫｉp acｃess-list {sｔandａrd|extｅnｄed} <ｎａｍe> rｅｍaｒk ＜reｍａrk>为基于数字的ACＬ添加注释的语法为:ﻫﻫacｃess-liｓt <access-list-nuｍber> rｅmark ＜ｒｅmark＞ﻫﻫ例子如下:ﻫaccess-ｌｉｓt 101 permｉt tcp ｈost １0.1.1.2 ｈoｓt 17２.16．１.1 eｑtｅlｎeｔaccess-lｉst 1０1 rｅｍａｒk permit_ｔeｌｎetﻫｉｎtｅｒfａce Ｅtheｒnet0/０ｉp address 1０.1．1．1 ２5５.25５.255.0ip ａｃｃeｓs－ｇｒoｕp １01 inﻫ。