自反访问控制列表
访问控制列表：
分类：
1、标准访问控制列表：过滤的是第三层的流量
2、扩展访问控制列表：过滤的是第三层和第四层的流量
3、自反访问控制列表：过滤的是3--5层的流量(RACL)
4、动态访问控制列表：过滤的是3--5层的流量
5、基于上下文的访问控制列表（CBAC）：过滤7层的流量（最好的ACL）
6、基于时间的访问控制列表
7、命名的访问控制列表（可以修改命令执行的顺序，而标准和扩展ACL不能修改执行顺序）
分类：
1、标准访问控制列表：过滤的是第三层的流量
2、扩展访问控制列表：过滤的是第三层和第四层的流量
3、自反访问控制列表：过滤的是3--5层的流量(RACL)
4、动态访问控制列表：过滤的是3--5层的流量
5、基于上下文的访问控制列表（CBAC）：过滤7层的流量（最好的ACL）
6、基于时间的访问控制列表
7、命名的访问控制列表（可以修改命令执行的顺序，而标准和扩展ACL不能修改执行顺序）
外部网络 企业路由 企业内网
R1-----S1/1---------S1/0----------R2-------S1/1----------S1/0
反射ACL，也叫做自反ACL。内网访问外网的时候，在企业路由上，触发生成一个临时的ACL条目，允许外部网络传数据到企业内网。这个临时条目，倒计时删除（时间见下面试验）我测试下，只能在命名ACL上来实现。
网络基本连通性配置;
R1:
Router>en
Router#confi t
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#host R1
R1(config)#int s1/1
R1(config-if)#ip add 192.168.12.1 255.255.255.0
R1(config-if)#no shut
R1(config-if)#exit
R1(config)#router rip
R1(config-router)#net 192.168.12.0
R1(config-router)#end
R1(config)#line vty 0 4
R1(config-line)#password 123
R1(config-line)#login
R1(config-line)#exit
R1(config)#enable password 123
R2:
Router>en
Router#confi t
Router(config)#host R2
R2(config)#int s1/0
R2(config-if)#ip add 192.168.12.2 255.255.255.0
R2(config-if)#no shut
R2(config-if)#int s1/1
R2(config-if)#ip add 192.168.23.1 255.255.255.0
R2(config-if)#no shut
R2(config-if)#exit
R2(config)#router rip
R2(config-router)#
R2(config-router)#net 192.168.12.0
R2(config-router)#net 192.168.23.0
R2(config-router)#end
R2#
R3:
R3(config)#int s1/0
R3(config-if)#ip add 192.168.23.2 255.255.255.0
R3(config-if)#no shut
R3(config-if)#exit
R3(config)#router rip
R3(config-router)#net 192.168.23.0
R3(config-router)#end
R3(config)#enable password 123
R3(config)#line vty 0 4
R3(config-line)#password 123
R3(config-line)#login
R3(config-line)#end
R3#
测试：
R1#ping 192.168.23.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.23.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 28/41/64 ms
R1#telnet 192.168.23.2
Trying 192.168.23.2 ... Open
User Access Verification
Password:
R3>en
Password:
R3#
R3:
R3#ping 192.168.12.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.12.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 40/50/60 ms
R3#
R3#telnet 192.168.12.1
Trying 192.168.12.1 ... Open
User Access Verification
Password:
R1>en
Password:
R1#
下面试验反射ACL(自反ACL)
R2(config)#ip access-list extended outacl 建立访问控制列表（名称的） 内网出去的
R2(config-ext-nacl)#permit ip any any reflect out-ip （建立该控制列表的自反控制列表）
R2(config-ext-nacl)#exit
R2(config)#ip access-list extended inacl 建立外网到内网的访问控制列表
R2(config-ext-nacl)#evaluate out-ip 评估自反访问控制列表------就是调用自反访问控制列表
R2(config-ext-nacl)#int s1/0 放置到接口下
R2(config-if)#ip access-group outacl out 内网到外网的数据流：out
R2(config-if)#ip access-group inacl in 外网到内网的数据流：in
测试：
R3:
R3#ping 192.168.12.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.12.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 8/16/24 ms
R3#telnet 192.168.12.1
Trying 192.168.12.1 ... Open
User Access Verification
Password:
R1>en
Password:
R1:
R1#ping 192.168.23.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.23.2, timeout is 2 seconds:
U.U.U
Success rate is 0 percent (0/5)
R1#telnet 192.168.23.2
Trying 192.168.23.2 ...
% Destination unreachable; gat
反射访问控制列表是成功的。
R2:
R2#show ip access-lists
Extended IP access list inacl
10 evaluate out-ip
Reflexive IP access list out-ip
permit tcp host 192.168.12.1 eq telnet host 192.168.23.2 eq 31955 (93 matches) (time left 297)
permit icmp host 192.168.12.1 host 192.168.23.2 (19 matches) (time left 289)
Extended IP access list outacl
10 permit ip any any reflect out-ip (244 matches)
(time left 297) 标示该条列表被删除之前还剩下的时间
(time left 289) 标示该条列表被删除之前还剩下的时间
默认自反控制列表时间是300秒；
也可以修改：
R2(config)#ip reflexive-list timeout ?
<1-2147483> timeout in seconds
R2(config)#ip reflexive-list timeout 33
反射ACL试验总结：命名ACL来做。（而且是扩展的访问控制列表），看来命名ACL，功能还是很强的。