ACL常用命令及工作原理

What

ACL 是一系列 IOS 命令，根据数据包报头中找到的信息来控制路由器应该转发还是应该丢弃数据包。ACL 是思科 IOS 软件中最常用的功能之一。
在配置后，ACL 将执行以下任务：

默认情况下，路由器并未配置 ACL；因此，路由器不会默认过滤流量。进入路由器的流量仅根据路由表内的信息进行路由。但是，当 ACL 应用于接口时，路由器会在网络数据包通过接口时执行另一项评估所有网络数据包的任务，以确定是否可以转发数据包。

除了允许或拒绝流量外，ACL 还可用于选择需要以其他方式进行分析、转发或处理的流量类型。例如，ACL 可用于对流量进行分类，以实现按优先级处理流量的功能。此功能与音乐会或体育赛事中的 VIP 通行证类似。VIP 通行证使选定的客人享有未向普通入场券持有人提供的特权，例如优先进入或能够进入专用区。

How

ACL 定义了一组规则，用于对进入入站接口的数据包、通过路由器中继的数据包，以及从路由器出站接口输出的数据包施加额外的控制。ACL 对路由器自身产生的数据包不起作用。

如图所示，ACL 可配置为应用于入站流量和出站流量。

入站 ACL - 传入数据包经过处理之后才会被路由到出站接口。因为如果数据包被丢弃，就节省了执行路由查找的开销，所以入站 ACL 非常高效。如果 ACL 允许该数据包，则会处理该数据包以进行路由。当与入站接口连接的网络是需要检测的数据包的唯一来源时，最适合使用入站 ACL 来过滤数据包。

出站 ACL - 传入数据包路由到出站接口后，由出站 ACL 进行处理。在来自多个入站接口的数据包通过同一出站接口之前，对数据包应用相同过滤器时，最适合使用出站 ACL。

show access-lists

a. 在串行 l0/0/0 接口下，删除以前作为出站过滤器应用到接口的访问列表 11：

R1(config)# int se0/0/0
R1(config-if)#no ip access-group 11 out

b. 在全局配置模式下，输入下列命令可删除 ACL：

R1(config)# no access-list 11

c. 验证 PC1 现在可以 ping 到 DNS 服务器和 PC4。

标准 ACL 命令的完整语法如下：

Router(config)# access-list access-list-number { deny | permit | remark } source [ source-wildcard ][ log ]

【例一】可用于允许或拒绝单个主机或一组主机地址。要在编号 ACL 10 中创建一条 host 语句以允许 IPv4 地址为 192.168.10.10 的特定主机，您应该输入：

R1(config)# access-list 10 permit host 192.168.10.10

【例二】要在允许 192.168.10.0/24 网络中所有 IPv4 地址的编号 ACL 10 中创建一条允许一组 IPv4 地址的语句，您应该输入：

R1(config)# access-list 10 permit 192.168.10.0 0.0.0.255

. 默认情况下，访问列表将拒绝与任何规则都不匹配的所有流量。要允许所有其他流量，请配置以下语句：

R2(config)# access-list 1 permit any

Router(config-if)# ip access-group { access-list-number | access-list-name } { in | out }

要从接口上删除 ACL，首先在接口上输入 no ip access-group 命令，然后输入全局命令 no access-list 删除整个 ACL。

巴特西