無論（lùn）是在思科路由器還是思科交換機等（děng）網絡設備（bèi）上，標準ACL訪問（wèn）控製（zhì）列表始終無法同時匹配通（tōng）信源地址與目標地址的特性，也不無法滿足現今網絡世界“粒度化”控製的要求，比（bǐ）如：允許訪問某一服務器的某項服務功能，但是不允許Ping通該服務器。那（nà）麽，就需要使用擴展的ACL來替代標（biāo）準的ACL的應用，在實際的應用控製（zhì）中，擴展的ACL較標準ACL而言，似（sì）乎更（gèng）受管理員的喜愛。

演示目標：配置擴展ACL為網絡應用提供更“粒度化（huà）”的控製。

演示環境：使用演示標準ACL的（de）配置（zhì）部分的如（rú）下圖ACL的演示環境所示。

演示背景：要求主機A(192.168.1.2)可以訪問服務器A的WEB服務;但是不允許（xǔ）主機Aping通服務器A所在的子（zǐ）網;允（yǔn）許主機Aping通服務器B和服務器C所在的子網。請使用擴展ACL完成（chéng）上述的控製要（yào）求，並思考應用（yòng）ACL的位置。

演示步驟：

第一步：保持上一個實驗的（de）所有基礎配置，但（dàn）是請刪除原本的所有標準ACL的配置，然後根據演示背景需求，完成如下擴展ACL的配置，這（zhè）一配（pèi）置建議在路由器R1上完成，因為（wéi）擴展的ACL可（kě）以同時匹配通信源地址與目標地址，可以將其應到距離通信源（yuán）較近的（de）位置。

R1(config)#access-list101permittcp192.168.1.00.0.0.255host192.168.5.2eqwww

*定（dìng）義擴展ACL列表101(基（jī）於IP的擴展（zhǎn）ACL編號的取值範圍是100-199);permittcp192.168.1.00.0.0.255host192.168.5.2eqwww指示（shì）允（yǔn）許源子網192.168.1.0對目標地（dì）址（zhǐ）192.168.5.2的TCP端口80進行訪問，注意，語句（jù）中的第一個IP子網和反碼指示通信的源子網與對應的反碼;第二（èr）個IP地址192.168.5.2被host申明為是一台具體（tǐ）的主機。

R1(config)#access-list101denyicmp192.168.1.00.0.0.255host192.168.5.2

*定（dìng）義擴展ACL列表101的第二條語句（jù）拒絕源子網192.168.1.0通過ICMP協議訪問（wèn）目標主機192.168.5.2。

R1(config)#access-list101permiticmp192.168.1.00.0.0.255host192.168.4.2

*定義擴展ACL列表101的第三條（tiáo）語句允（yǔn）許源子網192.168.1.0通（tōng）過ICMP協議（yì）訪問（wèn）目標主機192.168.4.2。

R1(config)#access-list101permiticmp192.168.1.00.0.0.255host192.168.3.2

*定義擴展ACL列表（biǎo）101的第四條語句允許源（yuán）子（zǐ）網192.168.1.0通過ICMP協議訪問目標主機192.168.3.2。

R1(config)#interfacee1/0

R1(config-if)#ipaccess-group101in

R1(config-if)#exit

建議：將ACL101應（yīng）用到路由器R1的E1/0接口，也就是距離源（yuán）子網最近的位置，這樣做可以讓ACL的利用率更高，流量更合理，因為擴展ACL能同（tóng）時匹配源地址與目（mù）標地址，所以從理論上講，隻要能達到控製標準，在流量經過的任何設備上都可以做應用，但是建議在距（jù）離源子網（wǎng）最（zuì）近的位置應用它，因為沒有必要將最終被過濾流（liú）量轉發到目標或者中（zhōng）途才丟棄，這對於寶貴的（de）帶寬利用率不科學。

第二步：當完成上述配置後，在主（zhǔ）機A(192.168.1.2)上去訪問服（fú）務器A的WEB服務，然後去Ping服務器A、B、C，如（rú）果配置無誤，應（yīng）得到如下圖所（suǒ）示的狀態，這與背景（jǐng）說明中的控製要求一致。

第（dì）三步：為了查看路由器R1上的過濾狀態，可以（yǐ）通過在R1上執行showipaccess-lists指令查看（kàn）ACL的匹配狀態（tài）如下圖10.13所示，可以看出有5個WWW的數據包被允許（xǔ）;8個到服（fú）務器A的（de）ICMP的（de）數（shù）據包被（bèi）拒絕;分別有4個到（dào）服務器B和C的ICMP數據包被允許。

關於ACL的其它輸寫（xiě）形（xíng）式與應用注意事項

在前（qián）麵（miàn）的幾個小節中描（miáo）述了關於標準與擴展ACL的應用，並演示了具體的配置（zhì）過程，在本（běn）節主要對ACL的應用事項進行一（yī）下總結，其中包括ACL的輸寫形式、ACL的應用位置、ACL條目的增加與刪除，具體如下：

關於ACL語句的輸寫形式：

access-list1permithost192.168.100.1等於access-list1permit192.168.100.10.0.0.0的功能，語句中的host是申明配置的（de）地址是一個主機地址，它等於反碼的全匹配(0.0.0.0),以（yǐ）全匹配（pèi）形式出現的反碼，表示匹配的IP地址是一個主（zhǔ）機IP地址。

access-list102permittcp0.0.0.0255.255.255.2550.0.0.0255.255.255.255eqwww等於access-list102permittcpanyanyeq80的功能，語句中的源IP地址（zhǐ）和目標IP地址都（dōu）是0，指示源和目標IP地址可以是任意IP地（dì）址;源地址和目（mù）標地址的反碼都是（shì）255，指示不關心任何（hé）位，它就等同於在（zài）擴（kuò）展ACL中源和目標（biāo）IP地址都以any關鍵字出現（xiàn）的情況;eqwww就等於eq80，因為TCP80號（hào）端口正是眾所周知的www服務端口，但是這裏提出一個注意事項，如果Web服務器的端口沒有（yǒu）使用眾所（suǒ）周知的80號端口，出（chū）於某種安全原因或者（zhě）特殊要求，服務器管理員自定義了Web的服務端口號（hào），那麽，在輸寫ACL時，就隻能在eq關鍵字之後申明具體的端口號，而不是申（shēn）明www，否則ACL將無法完成匹配。

access-list102permitiphost192.168.1.2host192.168.2.2等於access-list102permitip192.168.1.20.0.0.0192.168.2.20.0.0.0;ACL的語句中的源IP和目標IP都是（shì）具體的主機IP地址（zhǐ），所以可以（yǐ）在（zài）ACL語句（jù）中使有host關鍵字申明主機地（dì）址，它和反碼的（de）全（quán）匹配形式所表（biǎo）示的意義同種。

關於ACL應用位置的設計：

n標準ACL隻關心源地址，所以必須將其應用（yòng）到距離控製目標最近的（de）接口位置。

n擴展ACL既關心源地址，又關（guān）心目標地址，建議將其應用到（dào）距離控（kòng）製源最近的接口位置，這樣可以優化流量，減少主幹網上沒有必要的（de）流量開銷。

n在同一接口、同（tóng）一協議、同一方向隻能應用一個（gè）訪（fǎng）問控製列表。

n訪問控製列表，隻能過濾穿越路由器的流量，對（duì）應用訪問控製列表的路由器本地產生的流量不生效。

關於在傳統ioses版本中ACL條目的增（zēng）加與刪除問題

在傳統的ioses版本中，對ACL條目的增加或者刪除是一件非常痛苦的（de）事情，因為（wéi）當一個ACL的（de）多條語句被（bèi）配置在路（lù）由器之後，如果想（xiǎng）要在ACL中增加一條過濾語句，那麽這條增加（jiā）的語句將出現在已（yǐ）存在的所（suǒ）有ACL語句之後，這樣就會出現安全漏洞，為（wéi）網絡造成風險行為，為了更好的理解這一點，現在要舉一（yī）個實例：

用戶首次已經完（wán）成了一條ACL101的編寫：

ACL101的第一條語句：access-list101denyiphost192.168.1.2host192.168.2.1

ACL101的第二條語句：access-list101permitipanyany

現在用戶希望更改原有的ACL101，希望在上述的兩條語句之間加入如下所示的ACL語句（jù）：

access-list101denyiphost192.168.3.1host192.168.4.1

但是當你完成加入後，這條被加入的語句將（jiāng）被（bèi）放到ACL101的最後，如下圖所示，這樣，它的匹配順序也如圖（tú）所示，最後加入的語句被（bèi）放置到ACL列表的最後，而第二條語句是（shì）允許任何流量，所以根（gēn）本不會給第三條語（yǔ）句匹（pǐ）配的機會，那麽第三條語句將永遠不生效，即便是您可能希望它於permitanyany之（zhī）前生效，但事實上它不（bú）會，這類（lèi）似（sì）於微機原（yuán）理裏麵的堆棧原理，先（xiān）進入。先調用（yòng）。

所以在傳統ioses中管理員對ACL的修改變得很頭痛，通常，管理（lǐ）員會把現在的ACL複（fù）製（zhì）到一個文本文件中進行增加或者刪除語句的操作，然後把原本在（zài）路由器上配置的ACL通過noaccess-list101全部清除，再將文本（běn）文件中修改（gǎi）完成（chéng）的ACL複製到路由器上，無法做到逐（zhú）條修改ACL語句的效果。

使用ACL的增強編輯功能來增加（jiā）與刪除ACL條目

新的ioses將打破傳統ioses對（duì）ACL條目修改的限（xiàn）製，如下圖所示，它為每條ACL語句增（zēng）加了序（xù）列號，比如第一條ACL語句的序列號是10，第（dì）二條ACL語句的序列號是20，以10作為（wéi）輸寫第一條ACL的（de）基（jī）數數字序列號，然後，輸寫一條新的ACL語句就遞增（zēng）10，所以此時如果（guǒ）需要在序（xù）列號為10和（hé）20之間增加一條（tiáo）ACL語句，那麽，隻需要增加一條屬於10-20之間的序列號，新增的ACL語句就會存在於（yú）10和20之間。

比如，現在，在10和20之間增（zēng）加一條序列（liè）號是15的（de）ACL語句，具體配（pèi）置如（rú）下所（suǒ）示，在，在配置語句中的15是指示（shì）即將插入的ACL語句的序列號，完（wán）成配置後，可以在路由器上使用showipaccess-lists來查看各（gè）條ACL的語句如下圖10.16所示，可看出在序列號10和20之間出現了一條（tiáo）序例（lì）號（hào）是15的ACL語句，這就突破了傳統ioses對ACL編輯的困難，它增強了對ACL的編輯能力。

在兩條ACL語句之間插入一條序列號是15的配置：

R1(config)#ipaccess-listextended101

R1(config-ext-nacl)#15denyiphost192.168.3.1host192.168.4.1

#FormatImgID_5#

ioses的版本如此眾多，在使用時，怎麽知道，哪些（xiē）ioses版本支持ACL的增（zēng）強編輯（jí）功能，哪些ioses版本不支持ACL的增強編輯功能?很簡單，用戶不需要去記ioses的版本號，因為（wéi）這（zhè）確實是一件很難記住的事情，可以直接