訪問控制列表有兩種：一種是標(biāo)準(zhǔn)的訪問控制列表，另一種是擴展的訪問控制列表。訪問控制列表(ACL)是應(yīng)用在路由器接口的指令列表。這些指令列表用來告訴路由器哪能些數(shù)據(jù)包可以收、哪能數(shù)據(jù)包需要拒絕。至于數(shù)據(jù)包是被接收還是拒絕，可以由類似于源地址、目的地址、端口號等的特定指示條件來決定。
擴展訪問控制列表其中重要的一種是IP訪問控制列表。為什么要使用訪問列表？
1、管理網(wǎng)絡(luò)中逐步增長的 IP 數(shù)據(jù)
2、當(dāng)數(shù)據(jù)通過路由器時進行過濾
訪問控制列表的應(yīng)用：
1、允許、拒絕數(shù)據(jù)包通過路由器
2、允許、拒絕Telnet會話的建立
3、沒有設(shè)置訪問列表時，所有的數(shù)據(jù)包都會在網(wǎng)絡(luò)上傳輸
4、基于數(shù)據(jù)包檢測的特殊數(shù)據(jù)通訊應(yīng)用
標(biāo)準(zhǔn)訪問控制列表應(yīng)注意以下幾點：
1、檢查源地址
2、通常允許、拒絕的是完整的協(xié)議
擴展訪問控制列表應(yīng)注意以下幾點：
1、檢查源地址和目的地址
2、通常允許、拒絕的是某個特定的協(xié)議
擴展IP訪問控制列表比標(biāo)準(zhǔn)IP訪問控制列表具有更多的匹配項，包括協(xié)議類型、源地址、目的地址、源端口、目的端口、建立連接的和IP優(yōu)先級等。編號范圍是從100到199的訪問控制列表是擴展IP訪問控制列表。
標(biāo)準(zhǔn)訪問列表和擴展訪問列表相比，標(biāo)準(zhǔn)的比擴展的簡單。下面我們來做一個關(guān)于標(biāo)準(zhǔn)訪問控制列表的實驗。經(jīng)過在路由上配置訪問控制命令后，阻止PC機3 ping PC機2和PC機1，但是PC機3能ping通PC機1和2的網(wǎng)關(guān)192.168.1.1.實驗的拓撲連接圖如下：
Router1 E0/0 <----> VPCS V0/1
Router1 E0/1 <----> VPCS V0/2
Router1 E0/2 <----> VPCS V0/3
標(biāo)準(zhǔn)訪問控制列表配置時候很簡單，要用的設(shè)備也很簡單，一臺路由器，三個PC機就行，下面我們開始來做實驗，首先這是在路由器中的配置
en
conf t
host r1
int e0/0
ip addr 192.168.1.2 255.255.255.0
no shut
exit
int e0/1
ip addr 192.168.2.1 255.255.255.0
no shut
exit
int e0/2
ip addr 192.168.3.1 255.255.255.0
no shut
exit
access-list 1 permit any
int e0/0
ip access-group 1 out------------在接口上應(yīng)用配置
exit
int e0/1
ip access-group 1 out
exit
配置完成后如下圖所示，端口全部打開了
接下來配置PC機，配置pc機很簡單，只需配置ip和網(wǎng)關(guān)就可以配置如下 ：PC1的IP是192.168.1.1 網(wǎng)關(guān)為192.168.1.2
PC2的IP是192.168.2.2 網(wǎng)關(guān)為192.168.2.1
PC3的IP是192.168.3.2 網(wǎng)關(guān)為192.168.3.1
Ok配置完成后我們在pc機上測試一下，最后結(jié)果是pc3ping不通pc1和pc2，但是能ping通它們的網(wǎng)關(guān)
如下所示，配置標(biāo)準(zhǔn)訪問控制列表成功達到了目的。
標(biāo)準(zhǔn)訪問控制列表的配置就這樣的完成了，大家是不是舊的很簡單呢？呵呵…..
下面我們來做一個關(guān)于擴展訪問控制列表的實驗。經(jīng)過在路由二上配置訪問控制命令后，阻止Router1 telnet192.168.2.1 連接Router2上面，但是telnet連接其他的路由卻能連通，其他的路由之間也都能通過telnet連通192.168.1.1.實驗的拓撲連接圖如下：
Router1 S0/0 <----> Router2 S0/0
Router2 S0/1 <----> Router3 S0/1
一、下面我們來配置第一個路由。第一個路由器配置很簡單，全是最基本的命令配置，其具體的命令如下：
en
conf t
enable password cisco――――――定義特權(quán)模式的明文密碼
host r1――――――――――――定義路由器一的名稱
line vty 0 4-------------------------------開啟虛擬終端Telnet服務(wù)
pass cisco--------------------------------定義Telnet口令（其他路由連接的時候口令必須與本口令一致）
login--------------------------------------登陸
int s0/0―――――――――――－-進入Router1的int s0/0端口
ip addr 192.168.1.1 255.255.255.0-----定義路由器一的IP地址
no shut-----------------------------關(guān)閉端口
exit----------------退出
router ospf 100-----------------------配置路由協(xié)議以及管理距離
network 192.168.1.1 0.0.0.0 area 0----------宣告192.168.1.1 IP地址 反碼為0.0.0.0 ospf區(qū)域為骨干區(qū)域area0
exit
二、接著我們來配置路由器二。我們要在路由器二上設(shè)置訪問列表的參數(shù)來拒絕192.168.1.1 telnet 連接到192.168.2.1。具體的配置如下：
en
conf t
enable password cisco――――定義特權(quán)模式的明文密碼
host r2――――――――――定義路由器二的名稱
line vty 0 4------------------------開啟虛擬終端Telnet服務(wù)
password cisco-----------------定義Telnet口令（其他路由連接的時候口令必須與本口令一致）
login------------------------------登陸
int s0/0―――――――――――－進入Router1的int s0/0端口 ip addr 192.168.1.2 255.255.255.0-----連接路由器一的IP地址
clock rate 64000--------------配置時鐘頻率
no shut
exit
int s0/1----------------進入Router2的int s0/1端口
ip addr 192.168.2.1 255.255.255.0-----定義路由器二的IP地址
no shut
exit
router ospf 100-----------------------配置路由協(xié)議以及管理距離
network 192.168.1.2 0.0.0.0 area 0
network 192.168.2.1 0.0.0.0 area 0
exit
access-list 100 deny tcp 192.168.1.1 0.0.0.0 192.168.2.1 0.0.0.0 eq 23---------------拒絕子網(wǎng)192.168.1.1使用路由器s0口與子網(wǎng)192.168.2.1 telnet會話
access-list 100 permit ip any any--------------允許其它數(shù)據(jù)
int s0/0
ip access-group 100 in---------------------------在端口上應(yīng)用訪問列表
-exit
三、路由器三上的配置命令。和第一個路由器的配置幾乎一樣，全是最基本的命令配置，在配置時候只須改一下IP地址和端口號即可。其具體的命令如下：
en
conf t
host r3
enable password cisco――――――定義特權(quán)模式的明文密碼
line vty 0 4----------------------------開啟虛擬終端Telnet服務(wù)
password cisco-------定義Telnet口令（其他路由連接的時候口令必須與本口令一致）
login----------------------登陸
int s0/1-------------------------------進入路由器三的int s0/1端口
ip addr 192.168.2.2 255.255.255.0--------定義路由器三的IP地址
clock rate 64000------------------------配置時鐘頻率
no shut--------------------關(guān)閉端口
exit----------------退出
router ospf 100--------------------定義路由器的協(xié)議類型與管理距離
network 192.168.2.2 0.0.0.0 area 0
exit
四、路由器都配置完成后，我們接下來我們在路由器上測試一下。如下圖我們在路由一上進行的測試，測試成功了，路由器一Telnet連接不上192.168.2.1，但是卻能Telnet連接到192.168.1.2，和192.168.2.2，輸入特權(quán)密碼后即可進入理由器中進行配置
我們在Router2中可以Telnet連接到192.168.1.1和192.168.2.2，輸入特權(quán)密碼后即可進入路由一或路由三中進行配置了。
如下圖所示在Router3中也Telnet連接到了192.168.1.1和192.168.2.1輸入密碼進入路由后可對路由進行配置
附加：我們在做訪問列表的路由器上輸入“show access-list”來查看一下路由器上配置的所有訪問列表。
show access-list：顯示路由器上配置的所有訪問列表
我們在Router2中輸入命令后，看到了配置的訪問列表的所有信息。
總結(jié)：
標(biāo)準(zhǔn)訪問列表和擴展訪問列表相較，標(biāo)準(zhǔn)的只能針對IP地址做限制 擴展的可以對協(xié)議對端口做限制。具體的格式如下：
1、擴展訪問列表的格式：access-list ACL號 [permit|deny] [協(xié)議] [定義過濾源主機范圍] [定義過濾源端口] [定義過濾目的主機訪問] [定義過濾目的端口號]
2、標(biāo)準(zhǔn)訪問列表的格式的具體格式如下：access-list ACL號 permit|deny host ip地址
標(biāo)準(zhǔn)訪問列表是基于源地址，允許和拒絕完整的TCP/IP協(xié)議；編號范圍 1-99和1300-1999
擴展訪問列表是基于源地址和目標(biāo)地址，指定TCP/IP的特定協(xié)議和端口；編號范圍 100-199和2000-2699
