ACL(access control list)
为什么要使用访问控制列表：
1、管理网络中逐步增长的IP数据
2、当数据经过路由器时进行过滤
限制网络流量，提高网络性能
提供数据流量控制
为网络访问提供基本的安全层
决定转发或者阻止哪些类型的数据流
通配符掩码位设成0则表示精确匹配。
通配符掩码位设成1则表示任意匹配。
标准ACL：
1、检查源地址
2、通常允许、拒绝的是完整的协议
3、可以使用列表号：1-99、1300-1999
4、标准的访问控制列表只对源地址进行控制
5、列表放置的位置：
R1 (fa0/0) -------------(fa0/0)R2(fa0/1)------(fa0/0)R3 (由于此处的图没办法贴过来，大家可以看这个标记想象)
从源到目标的方向是：R1的fa0/0-----out---------->在此接口调用将不起作用，原因是访问控制列表仅对穿越路由器的数据包进行过滤，
对本路由器起源的数据包不作过滤。
R2的fa0/0-----in------------>结果起作用，但是R1在不能访问R3的同时也不能访问R2了
fa0/1-----out---------->结果正确
R3的fa0/0------in----------->结果正确
结论：标准访问控制列表要尽量应用在靠近目标端
扩展ACL：
1、检查源地址和目的地址
2、通常允许、拒绝的是某个特定的协议
3、可以使用列表号：100-199、2000-2699
4、扩展访问列表既可以控制源地址，又可以控制目标地址
5、列表放置的位置：
R1 (fa0/0) -------------(fa0/0)R2(fa0/1)------(fa0/0)R3
从源到目标的方向是：R1的fa0/0-----out---------->在此接口调用将不起作用，原因是访问控制列表仅对穿越路由器的数据包进行过滤，
对本路由器起源的数据包不作过滤。
R2的fa0/0-----in------------>结果正确，且无其他影响
fa0/1-----out---------->结果正确，且无其他影响
R3的fa0/0------in----------->结果正确，且无其他影响
结论：扩展访问控制列表要尽量应用在靠近源端，这样可以使一些非法的流量被尽早丢弃，节省中间设备的贷款和CPU资源
访问列表的比较规则：
1、如果一个访问列表有多行语句，通常按顺序从第一条开始比较，然后再往下一条条比较。
2、一个数据包如果与访问列表的一行匹配，则按规定进行操作，不再进行后续的比较。
3、在每个访问列表的最后一行是隐含的deny any语句--意味着如果数据包与所有行都不配的话，将被丢弃。
标准ACL配置：
1、创建ACL
access-list access-list-number {deny|permit} {source[source-wildcard] | any} [log]
例：R3(config)#access-list 1 deny 12.1.1.1
R3(config)#access-list 1 permit any ------这一行不能省略，因为访问控制 最后隐含了一条deny any的规则。
注意:这两行顺序不能颠倒
2、应用ACL
R3(config)#int s1/0
R3(config-if)#ip access-group 1 in -------在接口下调用访问控制列表1 ，针对的是R3的s1/0口的in方向
扩展ACL配置：
1、创建ACL
例：R3(config)#access-list 100 deny tcp host 12.1.1.1 host 23.1.1.3 eq telnet
协议 源地址 目标地址 telnet使用的是tcp协议，此处也可写telnet的端口号23
R3(config)#access-list 100 permit ip any any ------隐含的是拒绝所有，这一行的作用是允许其他所有的IP流量
注意:这两行顺序不能颠倒
2、应用ACL
R3(config)#int s1/0
R3(config-if)#ip access-group 100 in -------在接口下调用访问控制列表1 ，针对的是R3的s1/0口的in方向
查看命令：
show ip access-list
show ip interface
在VTY下使用：在vty下调用是过滤telnet流量
R1(config)#access-list 10 permit 192.168.1.1
R1(config)#line vty 0 4
R1(config-line)#access-class 10 in
在VTY只能调用标准列表，扩展列表不起作用
