1、思科路由器用自反訪問控制列表（ACL）實現(xiàn)網段之間單向訪問配置（設置）方法問題的提出：有二個網段，網絡號分別為與，分別有主機與，開啟了WWW服務和遠程桌面。要求只允許網絡訪問，而不允許反向訪問，應該怎樣用ACL解決？方案：首先會想到用ACL實現(xiàn)，或者用擴展ACL實現(xiàn)。Router#conf tRouter(config)#acc 10 deny .255 /拒絕網段Router(config)#acc 10 permi

2、t anyRouter(config)#int e0Router(config-if)#ip ace 10 in /ACL應用在流入方向Router(config)#endRouter#wri顯示配置清單看上去拒絕了網段發(fā)往網段的數(shù)據流，但是，由網段主動發(fā)起的發(fā)往網段的回程數(shù)據也被擋住了。兩邊無法通訊。換擴展ACL試試Router#conf tRouter(config)#acc 110 deny tcp .255 55 eq 3389 /拒絕1

3、網段訪問網段遠程桌面Router(config)#acc 110 permit ip any any Router(config)#int e0Router(config-if)#ip ace 110 inRouter(config)#endRouter#wri顯示配置清單測試結果網段不能訪問網段遠程桌面，網段可以訪問網段，與目標近了一步。但是，是否要寫完整全部的使用端口才能達到目的呢？這似乎不可能，并且也不是好辦法。一種被稱為自反擴展ACL可以在這種場合使用。它能

4、以出去為條件，觸發(fā)開啟返回數(shù)據流通道。使單向訪問得以實現(xiàn)。試試自反控制訪問列表效果Router(config)#ip acce ext refin /refin是訪問控制列表名，隨意定，此處表示/自反應用在進方向Router(config-ext-nacl)#per icmp .255 55 echo /允許網段ping網段Router(config-ext-nacl)#evaluate abc /ACL到此處結束Router(config-ext-nacl)#exitRouter(con

5、fig)#ip acce ext refout Router(config-ext-nacl)#per ip .255 55 ref abc time 5 /允許網段訪問網段Router(config-ext-nacl)#exit Router(config)#int e0 /在e0接口上作綁定Router(config-if)#ip access-g refin in Router(config-if)#ip access-g refout out Router(config-if)#e

6、ndRouter#顯示配置清單Router#sh sccess-l /顯示ACLACL生效后，Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)了一條允許條目，用3389端口回應的隨機端口1065ACL生效后，訪問的WWW服務Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)了一條允許條目，用WWW端口回應的隨機端口1064ACL生效后，主機Router#sh sccess-l /顯示ACL當timeout不限定是，默認是300秒Router#sh sccess-l /顯示ACL可以看到自反觸發(fā)的全部允許條目再測試一下從從網段到網段，禁止了所有協(xié)議，除