怎样配置思科路由器自反ACL 实现网段之间单向访问？

摘要：ACL可以限制网络流量、提高网络性能，为了保护内网的安全，可以只允许内网访问外网，不允许外网访问内网，这里利用cisco 路由器的自反ACL来实现。……

详情：

　　ACL可以限制网络流量、提高网络性能，为了保护内网的安全，可以只允许内网访问外网，不允许外网访问内网，这里利用cisco 路由器的自反ACL来实现。用户需要配置路由协议，以下配置的是RIP Version1的，也可以配置别的，如EIGRP或OSPF。　　

　　一、实验拓扑图

　　二、实验要求

　　要求内网可以主动访问外网，但是外网不能主动访问内网，从而有效保护内网。

　　三、实验配置

　　1、配置路由器，并在R1、R3上配置默认路由确保IP连通性。

　　R1(config)#interface s0/0/0

　　R1(config)#ip address 192.168.12.1 255.255.255.0

　　R1(config)#no shutdown

　　R1(config)#interface g0/0

　　R1(config)#ip address 172.16.1.1 255.255.255.0

　　R1(config)#no shutdown

　　R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2

　　R2(config)#interface s0/0/0

　　R2(config)#ip address 192.168.12.2 255.255.255.0

　　R2(config)#no shutdown

　　R2(config)#interface s0/0/1

　　R2(config)#ip address 202.210.23.2 255.255.255.0

　　R2(config)#no shutdown

　　R3(config)#interface loopback 0

　　R3(config)#ip address 3.3.3.3 255.255.255.0

　　R3(config)#no shutdown

　　R3(config)#interface s0/0/1

　　R3(config)#ip address 202.210.23.3 255.255.255.0

　　R3(config)#no shutdown

　　R3(config)#ip route 0.0.0.0 0.0.0.0 202.210.23.2

　　2、在路由器R2上配置自反ACL

　　R2(config)#ip access-list extended ACLOUT

　　R2(config-ext-nacl)#permit tcp any any reflect REF //定义自反ACL

　　R2(config-ext-nacl)#permit udp any any reflect REF

　　R2(config)#ip access-list extended ACLIN

　　R2(config-ext-nacl)#evaluate REF //评估反射

　　R2(config)#int s0/0/1

　　R2(config-if)#ip access-group ACLOUT out

　　R2(config-if)#ip access-group ACLIN in

　　PS：(1)、自反ACL永远是permit的;

　　(2)、自反ACL允许高层Session信息的IP包过滤;

　　(3)、利用自反ACL可以只允许出去的流量，但是阻止从外部网络产生的向内部网络的流量，从而可以更好地保护内部网络;

　　(4)、自反ACL是在有流量产生时(如出方向的流量)临时自动产生的，并且当Session结束条目就删除;

　　(5)、自反ACL不是直接被应用到某个接口下的，而是嵌套在一个扩展命名访问列表下的。

　　3、调试

　　(1)同时在路由器R1和R3都打开TELNET服务，在R1(从内网到外网)TELNET路由器R3成功，同时在路由器R2上查看访问控制列表：

　　R2#show access-lists

　　Extended IP access list ACLIN

　　10 evaluate REF

　　Extended IP access list ACLOUT

　　10 permit tcp any any reflect REF

　　20 permit udp any any reflect REF

　　Reflexive IP access list REF

　　permit tcp host 202.210.23.3 eq telnet host 192.168.12.1 eq 11002 (48 matches) (time left 268)

　　//以上输出说明自反列表是在有内部到外部TELNET流量经过的时候，临时自动产生一条列表。

　　(2)在路由器R1打开TELNET 服务，在R3(从外网到内网)TELNET路由器R1不能成功，同时在路由器R2上查看访问控制列表：