访问控制列表

**源IP为10.1网段的包都进行阻止：**access-list 1 deny 10.1.3.1 0.0.255.255

源IP为10.1.3.1IP地址的包都进行放行

**普通写法：**access-list 1 permit 10.1.3.1 0.0.0.0

**简化写法：**access-list 1 permit host 10.1.3.1

所有数据包都进行阻止

**普通写法：**access-list 1 deny 10.1.3.1 255.255.255.255

**简化写法：**access-list 1 deny any

扩展ACL

**前言：**扩展ACL可以基于源IP、目标IP、目标端口号、协议等来对包进行过滤，其表号范围为100-199

扩展ACL的动作与条件

**语法：**动作协议源IP/源网段范围目标IP/目标网段范围 [逻辑符号目标端口号]

动作

**允许：**permit
**否决：**deny

IP/网段范围

**host IP地址：**仅对某一个主机的IP进行匹配（类似于------IP地址 0.0.0.0）
**IP/网段通配符掩码：**匹配某一网段的范围或IP地址的数据包
**any：**所有的范围的IP进行匹配（类似于------IP地址 255.255.255.255）

注意：

协议类型：tcp/udp/icmp/ip（若后面加端口号，则前面协议仅有2个选择------tcp/udp）
逻辑符号：（eq：等于、gt：大于：lt：小于）主要用来匹配范围端口
目标端口号可以不写，但其他的条件必须写
若只满足其中的一点条件，那么不叫满足这个条件，只有来的数据包所有特征和这里面的条目完全吻合，才被称为满足条件，才会执行相应的动作

具体案例

10.1.1.1访问20.1.1.3中80端口的tcp数据都放行

access-list 100 permit tcp host 10.1.1.1 host 20.1.1.3 eq 80

放行所有ip数据包

access-list 100 permit ip any any

命名ACL

前言

一般情况下，标准或扩展ACL一旦编写好，那么就无法修改某一条，也无法删除某一条，甚至无法修改顺序，只能一直在最后添加新的条目。
在标准或扩展ACL中若想修改、插入、删除，只能删除整张表
之前我们通过表号对ACL进行命名，但是当我们在一台设备上起的表非常多的时候，我们不能很快的通过表号判断该表的作用，这就用到了命名ACL

**命名ACL作用：**可以对标准/扩展ACL进行自定义命名，也可以通过命名ACL对标准/扩展ACL进行条目的增删改操作。

优点：

ACL自定义命名更容易辨认，也便于记忆
可以任意修改某一条，或删除某一条，也可以往中间插入某一条

书写方式

进入全局配置模式

**创建/进入一张ACL表：**ip access-list 表类型 ACL表名称

进入了扩展ACL配置模式

在扩展ACL配置模式下书写动作与条件

**删除ACL条目：**no ACL条目编号

**插入ACL条目：**ACL条目编号动作与条件

表类型

**standred：**标准ACL
**extended：**扩展ACL

ACL条目编号

**前言：**下面的10、20、30就是ACL条目编号（在其中可以插入个位级的条目编号）

注意：

在创建ACL表时，表名称可以随意书写。
在特定的表类型的情况下仅能书写特定的动作与条件
命名ACL可以修改已经创建好ACL表的标准或扩展ACL，只需要通过表号作为表名称进入该表即可
命名ACL不属于ACL分类中的一种