无论是【wú lùn shì】🛡在思科路由器还是思科交换机等网【jī děng wǎng】📫络设备上【shàng】，标准ACL访问控🕹制列表⛩始终无法同时【fǎ tóng shí】匹配通【pǐ pèi tōng】信源地址与目标地址的特性，也不无【yě bú wú】法满足【fǎ mǎn zú】现今网【xiàn jīn wǎng】⏲络世界👛“粒度化”控制的要求🍠，比如：允许【yǔn xǔ】🔣访问某【fǎng wèn mǒu】一服务【yī fú wù】器的某【qì de mǒu】项服务功能，但是不【dàn shì bú】⛴允许【yǔn xǔ】🔣Ping通该服务器。那么🏮，就需要【jiù xū yào】使用扩展的【zhǎn de】🔣ACL来替代【lái tì dài】标准的🖇ACL的应用，在实际的应用控制中，扩展的【zhǎn de】🔣ACL较标准🗳ACL而言🎥，似乎更受管理🚓员的喜爱🕳。

演示目⬇标📨：配置扩展ACL为网络【wéi wǎng luò】应用提【yīng yòng tí】👹供更【gòng gèng】“粒度化”的控制。

演示环🎛境【jìng】：使用演【shǐ yòng yǎn】示🧗标准ACL的配置【de pèi zhì】部分的🔰如下图ACL的演示环🎛境所示【jìng suǒ shì】🧗。

演示背【yǎn shì bèi】景⛑：要求主【yào qiú zhǔ】机【jī】✡A(192.168.1.2)可以访问服务器【qì】💽A的WEB服务;但是不允许主【yǔn xǔ zhǔ】🔐机【jī】✡Aping通服务器【qì】💽A所在的【suǒ zài de】🛺子网;允许主【yǔn xǔ zhǔ】🔐机【jī】✡Aping通服务器【qì】💽B和服务器【qì】💽C所在的【suǒ zài de】🛺子网。请使用🌄扩展【kuò zhǎn】ACL完成上述的控【shù de kòng】制要求📴，并思考应用ACL的位置🛫。

演示步骤：

第一步：保持上【bǎo chí shàng】🚳一个实【yī gè shí】验的所有基础【yǒu jī chǔ】配置，但是请删除原🍃本的所【běn de suǒ】有标准🚥ACL的配置🖋，然后根【rán hòu gēn】👾据演示背景需求，完成如🏔下扩展ACL的配置🖋，这一配🧜置建议【zhì jiàn yì】在路由器🕠R1上完成【shàng wán chéng】，因为扩【yīn wéi kuò】🍆展的【zhǎn de】ACL可以同时匹配通信源地址与【dì zhǐ yǔ】目标地🧒址【zhǐ】，可以将📗其应到🌲距离通信源较近的位【jìn de wèi】置。

R1(config)#access-list101permittcp192.168.1.00.0.0.255host192.168.5.2eqwww

*定义扩展ACL列表101(基于【jī yú】IP的扩展【de kuò zhǎn】💂ACL编号的【biān hào de】😙取值范围是100-199);permittcp192.168.1.00.0.0.255host192.168.5.2eqwww指示允👢许源子🎟网【wǎng】192.168.1.0对目标😡地址🕛192.168.5.2的🌗TCP端口【duān kǒu】80进行访问，注意【zhù yì】🍁，语句中🕓的🌗第一个IP子网【wǎng】和反码【fǎn mǎ】指示通信的🌗源子网【wǎng】与对【yǔ duì】😖应的🌗反码【fǎn mǎ】;第二个IP地址🕛192.168.5.2被【bèi】host申明为【shēn míng wéi】😹是一台具体的🌗主机【zhǔ jī】。

R1(config)#access-list101denyicmp192.168.1.00.0.0.255host192.168.5.2

*定义扩👅展ACL列表【liè biǎo】101的第二【de dì èr】🏤条语句拒绝源🐦子网192.168.1.0通过ICMP协议访【xié yì fǎng】问目标📬主机【zhǔ jī】192.168.5.2。

R1(config)#access-list101permiticmp192.168.1.00.0.0.255host192.168.4.2

*定义扩展🌷ACL列表🛣101的第三【de dì sān】条语句允许源子网【zǐ wǎng】192.168.1.0通过ICMP协议访🍹问目标【wèn mù biāo】主机【zhǔ jī】🥇192.168.4.2。

R1(config)#access-list101permiticmp192.168.1.00.0.0.255host192.168.3.2

*定义扩【dìng yì kuò】🚕展【zhǎn】ACL列表【liè biǎo】101的第四条语句允许源子网🥥192.168.1.0通过ICMP协议访问目标【wèn mù biāo】💃主机🔒192.168.3.2。

R1(config)#interfacee1/0

R1(config-if)#ipaccess-group101in

R1(config-if)#exit

建议💎：将ACL101应用到🚘路由器R1的E1/0接口【jiē kǒu】，也就是【yě jiù shì】🧝距离源子网最🦎近的位【jìn de wèi】置，这样做可以让【kě yǐ ràng】ACL的利用率更高【lǜ gèng gāo】，流量更合理，因为扩【yīn wéi kuò】🗄展😫ACL能同时匹配源🖇地址【zhǐ】与✳目标地址【zhǐ】🛴，所以从【suǒ yǐ cóng】理论上讲【jiǎng】😔，只要能达到控🈹制标准😻，在流量【zài liú liàng】经过的【jīng guò de】任何设备上都【bèi shàng dōu】可以做🎄应用，但是建议💎在距离源子网最🦎近的位【jìn de wèi】置应用它，因为没有必要【yǒu bì yào】将最终【jiāng zuì zhōng】被过滤流量转【liú liàng zhuǎn】👑发到目标或者【biāo huò zhě】中途才丢弃【diū qì】🍇，这对于宝贵的【bǎo guì de】带宽利用率不🏠科学。

第二步【dì èr bù】：当完成【dāng wán chéng】上述配置后👥，在主机A(192.168.1.2)上去访【shàng qù fǎng】问服务【wèn fú wù】器【qì】🕳A的WEB服务【fú wù】，然后去Ping服务【fú wù】器【qì】🕳A、B、C，如果配🌿置无误🌵，应得到【yīng dé dào】如下图所示的状态，这与背🎹景说明中的控制要求🛍一致。

第三步【dì sān bù】：为了查看路由【kàn lù yóu】⏫器【qì】🍀R1上的【de】📈过滤状态，可以通🧖过在【guò zài】R1上执行showipaccess-lists指令查【zhǐ lìng chá】看ACL的【de】📈匹配状态如下图【tú】🤦10.13所示，可以看出有5个🧗WWW的【de】📈数据包🍀被允许【bèi yǔn xǔ】;8个到服🏨务器【wù qì】🚎A的【de】📈ICMP的【de】📈数据包🍀被拒绝;分别有4个到服🏨务器【wù qì】🚎B和C的【de】📈ICMP数据包🍀被允许【bèi yǔn xǔ】。

关于ACL的其它输写形式与应用注意事项

在前面的几个【de jǐ gè】🐫小节中描述了🐤关于标准与扩✒展🎛ACL的应用【de yīng yòng】💳，并演示了具体的配置【de pèi zhì】⚓过程🤚，在本节【zài běn jiē】主要对ACL的应用【de yīng yòng】💳事项进行一下🚏总结【zǒng jié】，其中包【qí zhōng bāo】括【kuò】ACL的输写🧠形式、ACL的应用【de yīng yòng】💳位置、ACL条目的增加与删除【shān chú】，具体如下：

关于ACL语句的输写形式：

access-list1permithost192.168.100.1等于access-list1permit192.168.100.10.0.0.0的【de】功能⏹，语句中【yǔ jù zhōng】的【de】🌉host是申明【shì shēn míng】配置的【pèi zhì de】🌉地址【dì zhǐ】是一个主⬜机🈴地址【dì zhǐ】，它等于反码的【de】🏗全匹配【quán pǐ pèi】(0.0.0.0),以全匹🏵配形式🛬出现的【de】🌉反码，表示匹【biǎo shì pǐ】配的【de】🌉IP地址【dì zhǐ】是一个主⬜机🈴IP地址【dì zhǐ】。

access-list102permittcp0.0.0.0255.255.255.2550.0.0.0255.255.255.255eqwww等于access-list102permittcpanyanyeq80的功能，语句中的源IP地址【dì zhǐ】和📎目标【mù biāo】👠IP地址【dì zhǐ】都🚠是0，指示源和目标【mù biāo】👠IP地址【dì zhǐ】可以是任意IP地址【dì zhǐ】;源地址【dì zhǐ】和📎目标【mù biāo】👠地址【dì zhǐ】的🎏反码都【fǎn mǎ dōu】📨是255，指示不【zhǐ shì bú】关心任【guān xīn rèn】何位【hé wèi】💜，它就等【tā jiù děng】👟同于在🍯扩展ACL中源和📿目标【mù biāo】👠IP地址【dì zhǐ】都🚠以any关键字😍出现的🙁情况;eqwww就等于【jiù děng yú】eq80，因为TCP80号端口【hào duān kǒu】🤸正是众【zhèng shì zhòng】所周知的🍸www服务端口【duān kǒu】🍷，但是这👆里提出一个注【yī gè zhù】意事项【yì shì xiàng】，如果【rú guǒ】🚒Web服务器【fú wù qì】🤖的端口【de duān kǒu】🍷没有使【méi yǒu shǐ】📫用众所【yòng zhòng suǒ】周知的🍸80号端口【hào duān kǒu】🤸，出于某种安全原因或者特殊要求【yào qiú】，服务器【fú wù qì】🤖管理员自定义【zì dìng yì】了Web的服务端口【duān kǒu】🍷号，那么⭕，在🍯输写【shū xiě】ACL时，就只能在🍯eq关键字😍之后申明【shēn míng】🍽具体的端口【de duān kǒu】🍷号，而不是申明【shēn míng】🍽www，否则ACL将无法完成匹配【pèi】🛑。

access-list102permitiphost192.168.1.2host192.168.2.2等于access-list102permitip192.168.1.20.0.0.0192.168.2.20.0.0.0;ACL的语句中【yǔ jù zhōng】的源IP和目标IP都是具【dōu shì jù】🐬体的主机🚯IP地址【dì zhǐ】🤒，所以可🐯以在ACL语句中【yǔ jù zhōng】使有host关键字【guān jiàn zì】申明主机🚯地址【dì zhǐ】🤒，它和反【tā hé fǎn】码的全⏲匹配形【pǐ pèi xíng】式所表👵示的意🍮义同种。

关于ACL应用位置的设计：

n标准ACL只关心【zhī guān xīn】源地址👊，所以必【suǒ yǐ bì】须将其🛵应用到【yīng yòng dào】🕦距离控制目标【zhì mù biāo】最近的🚤接口位置。

n扩展ACL既关心源地址【yuán dì zhǐ】🔤，又关心目标地【mù biāo dì】址，建议将🤯其应用🍣到距离控制源【kòng zhì yuán】最近的接口位置🎨，这样可🎊以优化流量🎙，减少主【jiǎn shǎo zhǔ】干网上🆙没有必【méi yǒu bì】要的流【yào de liú】量🎙开销【kāi xiāo】。

n在同一💵接口、同一协【tóng yī xié】议🌷、同一方向只能【xiàng zhī néng】应用一个访问【gè fǎng wèn】控制列📇表。

n访问控【fǎng wèn kòng】⛓制列表【zhì liè biǎo】，只能过【zhī néng guò】滤穿越路由器【qì】🦂的流量🚻，对应用访问控【fǎng wèn kòng】⛓制列表【zhì liè biǎo】的路由器【qì】🦂本地产【běn dì chǎn】生的🤴流量不生效😯。

关于在【guān yú zài】传统IOS版本中【bǎn běn zhōng】ACL条目的🏧增加与【zēng jiā yǔ】删除问🍨题🚸

在传统的【de】🐚IOS版本中🚗，对ACL条目的【tiáo mù de】🖱增加或者删除是一件【shì yī jiàn】非常痛【fēi cháng tòng】苦的【kǔ de】🐚事情，因为当🐿一个🍣ACL的【de】多条⛸语句被🐄配置在【pèi zhì zài】♿路由器【lù yóu qì】之后，如果想要在【yào zài】ACL中增加🔭一条过滤语句，那么这条增加【tiáo zēng jiā】的【de】🐚语句将出现在【chū xiàn zài】已存在的【de】🐚所有🕧ACL语句之后，这样就【zhè yàng jiù】🈹会出现【huì chū xiàn】⛓安全漏👽洞，为网络造成风险行为【xiǎn háng wéi】，为了更好的【de】🐚理解这一点【yī diǎn】，现在要【xiàn zài yào】🔑举一个🍣实例：

用户首【yòng hù shǒu】次已经完成了【wán chéng le】一条🈵ACL101的编写😾：

ACL101的第一条语句【tiáo yǔ jù】⛴：access-list101denyiphost192.168.1.2host192.168.2.1

ACL101的第二【de dì èr】⬅条语句：access-list101permitipanyany

现在用户希望【hù xī wàng】更改原【gèng gǎi yuán】有的ACL101，希望在上述的两条语🚴句之间🕒加入如【jiā rù rú】🔦下所示【xià suǒ shì】💂的ACL语句：

access-list101denyiphost192.168.3.1host192.168.4.1

但是当【dàn shì dāng】🚭你完成【nǐ wán chéng】💮加入后，这条被⚡加入的【jiā rù de】😈语句将被放到【bèi fàng dào】💻ACL101的最后【de zuì hòu】🗼，如下图【rú xià tú】🍀所示【suǒ shì】，这样【zhè yàng】，它的匹😱配顺序也如图所示【suǒ shì】，最后【zuì hòu】🗼加入的【jiā rù de】😈语句被放置到ACL列表的最后【de zuì hòu】🗼，而第二【ér dì èr】🛀条语句是允许【shì yǔn xǔ】🐶任何流量，所以根🐾本不会【běn bú huì】给第三条语【sān tiáo yǔ】🖍句匹配的机会【huì】，那么第【nà me dì】😈三条语【sān tiáo yǔ】🖍句将永远不生💽效🛩，即便是【jí biàn shì】您可能希望它于permitanyany之前生效🛩，但事实上它不会【huì】，这类似于微机♋原理里面的堆栈原理，先进入。先调用。

所以在传统🌀IOS中管理员对ACL的修改【de xiū gǎi】变得很【biàn dé hěn】🆑头痛😫，通常【tōng cháng】，管理员会把现【huì bǎ xiàn】😊在的【zài de】ACL复制到一个文本文件🉑中进行增加或【zēng jiā huò】者删除【chú】语句的操作，然后把🕎原本在🥖路由器🍃上【shàng】🙏配置的ACL通过【tōng guò】noaccess-list101全部清🤠除【chú】，再将文【zài jiāng wén】本文件🉑中修改【zhōng xiū gǎi】完成的【wán chéng de】ACL复制到路由器🍃上【shàng】🙏，无法做到逐条📸修改ACL语句的效果。

使用🏊ACL的增强编辑功✳能来增【néng lái zēng】加与删除【chú】🧕ACL条目【tiáo mù】

新的IOS将打破传统【chuán tǒng】IOS对【duì】ACL条目修【tiáo mù xiū】🏜改的限🔟制，如下图😬所示【suǒ shì】，它为每条【tiáo】ACL语句增加了序列号【xù liè hào】🐇，比如第【bǐ rú dì】一条【tiáo】ACL语句的【yǔ jù de】序列号【xù liè hào】🐇是【shì】🐦10，第二条【tiáo】🚒ACL语句的【yǔ jù de】序列号【xù liè hào】🐇是【shì】🐦20，以🙈10作为输写第一条【tiáo】ACL的基数【de jī shù】数字序【shù zì xù】🤐列号⏸，然后【rán hòu】，输写一【shū xiě yī】🛅条【tiáo】新的ACL语句就递增10，所以此💎时如果需要在序列号【xù liè hào】🐇为10和20之间增【zhī jiān zēng】加一条【tiáo】ACL语句，那么🐾，只需要【zhī xū yào】🐥增加一【zēng jiā yī】条【tiáo】属于👵10-20之间【zhī jiān】的序列号【xù liè hào】🐇，新增的ACL语句就会存在于👵10和20之间【zhī jiān】。

比如，现在【xiàn zài】💸，在【zài】🗒10和🈺20之间增加一条序列号【xù liè hào】是15的【de】🈚ACL语句【yǔ jù】🏅，具体配【jù tǐ pèi】🤲置如下😴所示🌨，在【zài】🗒，在【zài】🗒配置语句【yǔ jù】中📺的【de】🈚15是指示即将插入的【rù de】❇ACL语句【yǔ jù】的【de】🍷序列号【xù liè hào】，完成配【wán chéng pèi】置后，可以在【kě yǐ zài】🗒路由器上使用【shàng shǐ yòng】👒showipaccess-lists来查看【lái chá kàn】🕴各条ACL的【de】🈚语句【yǔ jù】🏅如下图🕥10.16所示🌨，可看出【kě kàn chū】在【zài】🗒序列号【xù liè hào】10和🈺20之间出【zhī jiān chū】🦗现了一条序例♟号是【hào shì】15的【de】🈚ACL语句【yǔ jù】🏅，这就突【zhè jiù tū】破了传统IOS对【duì】ACL编辑的【de】🈚困难，它增强了对【duì】ACL的【de】🈚编辑能【biān jí néng】力。

在两条【zài liǎng tiáo】ACL语句之🤛间插入【jiān chā rù】🌀一条序列号是15的配置：

R1(config)#ipaccess-listextended101

R1(config-ext-nacl)#15denyiphost192.168.3.1host192.168.4.1

#FormatImgID_5#

IOS的版本🦍如此众【rú cǐ zhòng】🕧多，在使用😽时，怎么知😈道，哪些【nǎ xiē】IOS版本支【bǎn běn zhī】📴持ACL的增强编辑功【biān jí gōng】能【néng】💈，哪些【nǎ xiē】IOS版本不支持ACL的增强编辑功【biān jí gōng】能【néng】💈?很简单【hěn jiǎn dān】🌤，用户不需要去🎇记【jì】IOS的版本🦍号【hào】✝，因为这确实是一件很难记【jì】住🍣的事情【de shì qíng】，可以直接【jiē】💋