下载文档原格式
第1章ACL简介1.1 ACL概述网络设备为了过滤数据，需要设置一系列匹配规则，以识别需要过滤的对象。
在识别出特定的对象之后，根据预先设定的策略允许或禁止相应的数据包通过。
ACL（Access Control List）可用于实现这些功能。
ACL（访问控制列表）是一种对经过网络设备的数据流进行判断、分类和过滤的方法。
通常我们使用ACL实现对数据报文的过滤、策略路由以及特殊流量的控制。
一个ACL中可以包含一条或多条针对特定类型数据包的规则，这些规则告诉网络设备，对于与规则中规定的选择标准相匹配的数据包是允许还是拒绝通过。
由ACL定义的数据包匹配规则，还可以被其它需要对流量进行区分的场合引用，如防火墙、QOS与队列技术、策略路由、数据速率限制、路由策略、NAT等。
1.2 ACL分类访问控制列表分为多种类型：1．基本ACL：只对源IP地址进行匹配。
2．扩展ACL：对源IP地址、目的IP地址、IP协议类型、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号、ICMP类型、ICMP Code、DSCP（DiffServ CodePoint）、ToS、Precedence进行匹配。
3．二层ACL：对源MAC地址、目的MAC地址、源VLAN ID、二层以太网协议类型、802.1p 优先级值进行匹配。
4．混合ACL：对源MAC地址、目的MAC地址、源VLAN ID、源IP地址、目的IP地址、TCP源端口号、TCP目的端口号、UDP源端口号、UDP目的端口号进行匹配。
5．用户自定义ACL：对VLAN TAG的个数和偏移字节进行匹配。
1.3 ACL工作流程下面以路由器为例说明ACL的基本工作过程。
制定的，则图1.3-2 应用于入接口的ACL当ACL应用在入接口上时，工作流程如下：当路由器的接口接收到一个数据包时，首先会检查访问控制列表，如果执行控制列表中有拒绝和允许的操作，则被拒绝的数据包将会被丢弃，允许的数据包进入路由选择状态。
•ACL ：Access Control List ，访问控制列表ACL••ACL由一条或多条规则组成•每条规则必须选择动作：允许或拒绝•每条规则都有一个id 序列号（默认=5，间隔=5）•ACL 工作原理：序列号越小越先进行匹配•只要有一条规则和报文匹配，就停止查找，称为命中规则•查找完所有规则，如果没有符合条件的规则，称为未命中规则•ACL创建后，必须将其应用到某个接口或其他技术内才会生效•应用在接口时必须选择方向：入站或出站（相对设备来判断）•每个接口在每个方向上只可应用一个ACL •不能过滤由设备自己产生的数据•••ACL类型：分为数字型ACL和命名型ACL。
•192.168.0.1 0.0.0.0/0匹配一个主机地址192.168.0.0 0.0.0255匹配一个网段正掩码、反掩码、通配符区别：192.168.0.1 0.0.0.254匹配网段内奇数地址192.168.0.0 0.0.0.254匹配网段内偶数地址any=0.0.0.0 255.255.255.255匹配所有地址•acl 2000创建一个基本ACL rule 5deny/permit source 192.168.1.0 0.0.0.255配置ACL 的规则：拒绝或允许源地址为192.168.1.0/24网段内的所有流量acl 3000创建一个高级ACLrule 5deny/permit tcp source 192.168.1.0 0.0.0.255 destination 8.8.8.8 0destination-port eq 80配置ACL 的规则：拒绝或允许源地址为192.168.1.0/24网段内到8.8.8.8的HTTP 流量traffic-filter inbound/outbound acl 2000在接口调用ACL 过滤流量display acl 2000验证ACLdisplay traffic-filter applied-record查看设备上所有基于ACL 调用情况•ACL配置：••••基本ACL 尽量调用在离目标最近的出站接口•高级ACL 尽量调用在离源头最近的入站接口••ACL 接口调用方向的建议：。
什么是ACL?访问控制列表简称为ACL,访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
访问控制列表的原理对路由器接口来说有两个方向出：已经经路由器的处理，正离开路由器接口的数据包入：已经到达路由器接口的数据包，将被路由器处理。
匹配顺序为："自上而下，依次匹配".默认为拒绝访问控制列表的类型标准访问控制列表：一般应用在out出站接口。
建议配置在离目标端最近的路由上扩展访问控制列表：配置在离源端最近的路由上，一般应用在入站in方向命名访问控制列表：允许在标准和扩展访问列表中使用名称代替表号访问控制列表使用原则1、最小特权原则只给受控对象完成任务所必须的最小的权限。
也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则所有的网络层访问权限控制。
也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
3、默认丢弃原则在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY,也就是丢弃所有不符合条件的数据包。
这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。
由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。
因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
一、标准访问列表(标准ACL)访问控制列表ACL分很多种，不同场合应用不同种类的ACL.其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL.它的具体格式：access-list access-list-number [permit | deny ] [sourceaddress][wildcard-mask]access-list-number 为1-99 或者1300-1999之间的数字，这个是访问列表号。
acl规则的配置命令-回复ACL（Access Control List）是一种网络安全应用程序，用于控制数据包的流动。
通过使用ACL，可以定义哪些网络流量被允许通过网络设备，并决定禁止的流量。
在本篇文章中，我们将详细介绍ACL规则的配置命令，并提供一步一步的指导。
一、了解ACL规则ACL规则用于限制或允许特定类型的网络流量通过网络设备。
每个规则由一个或多个条件组成，如果数据包满足这些条件，则会采取指定的操作。
这些条件通常包括源IP地址，目标IP地址，传输层协议等。
在进行ACL规则的配置之前，我们需要明确以下几点：1. 应用范围：我们需要确定ACL规则应用的范围，例如用于路由器的入口或出口，或者用于防火墙等设备。
2. 数据包类型：我们需要确定要过滤的数据包类型，例如IP数据包，ICMP 数据包等。
3. 预期操作：我们需要明确对数据包的操作，是允许通过还是禁止。
二、配置ACL规则以下是一些常用的配置ACL规则的命令：1. 进入特定接口的配置模式：# interface interface_name这个命令用于进入特定接口的配置模式，以便配置该接口的ACL规则。
2. 创建一个扩展ACL规则：# access-list acl_number {permit deny} protocol sourcesource_wildcard destination destination_wildcard [option]这个命令用于创建一个扩展ACL规则，acl_number是规则的编号，后面是规则的定义，包括协议类型、源IP地址、目标IP地址等。
permit表示允许通过，deny表示禁止通过。
3. 将ACL规则应用到接口：# ip access-group acl_number {in out}这个命令用于将ACL规则应用到指定接口，in表示入口方向，out表示出口方向。
4. 检查ACL规则：# show access-lists这个命令用于检查已配置的ACL规则，可以查看ACL规则的编号、具体条件和操作。
IP访问控制列表算是Cisco IOS一个内在的security feature，以下是对常用的动态访问控制列表做了个总结。
Pt.1 Lock-and-Key SecurityLock-and-Key Overviewlock-and-key动态ACL使用IP动态扩展ACL过滤IP流量。
当配置了lock-and-key动态ACL 之后，临时被拒绝掉的IP流量可以获得暂时性的许可。
lock-and-key动态ACL临时修改路由器接口下已经存在的ACL，来允许IP流量到达目标设备。
之后lock-and-key动态ACL把接口状态还原。
通过lock-and-key动态ACL获得访问目标设备权限的用户，首先要开启到路由器的telnet 会话。
接着lock-and-key动态ACL自动对用户进行认证。
如果认证通过，那么用户就获得了临时性的访问权限。
Configuring Lock-and-Key配置lock-and-key动态ACL的步骤如下：1.设置动态ACL：BitsCN(config)#access-list {access-list-number} [dynamic dynamic-name [timeout minutes]] {deny|permit} telnet {source source-wildcard destination destination-wildcard}2.扩展动态ACL的绝对计时器。
可选：BitsCN(config)# access-list dynamic-extend3.定义需要应用ACL的接口：BitsCN(config)#interface {interface}4.应用ACL：BitsCN(config-if)#ip access-group {ACL}5.定义VTY线路：BitsCN(config)#line vty {line-number [ending-line-number]}6.对用户进行认证：BitsCN(config)#username {username} password {password}7.采用TACACS认证或本地认证方式。
交换机ACL原理及配置详解ACL原理：1.ACL是根据网络层和传输层的源IP地址、目标IP地址、源端口和目标端口来过滤和控制数据包的流动。
ACL通常运行在网络设备如路由器和交换机上。
2.数据包进入路由器或交换机时，会依次通过ACL规则进行匹配，如果匹配成功，则根据规则进行相应的操作，如允许或阻止数据包的流动。
3.ACL规则通常由管理员根据特定的网络需求来制定，这些规则可以基于用户、服务、时间、应用程序和网络地址等多个因素进行设置。
4.ACL可以分为两类：标准ACL和扩展ACL。
标准ACL基于源IP地址来匹配和过滤数据包，而扩展ACL可以基于源IP地址、目标IP地址，以及源和目标端口来匹配和过滤数据包。
5.ACL规则通常包括一个许可或拒绝的操作，如果数据包匹配了ACL规则，则可以允许数据包继续传输，或者阻止数据包通过。
6.ACL可以应用在接口的入向或出向方向上，以实现不同方向上的数据过滤。
ACL配置详解：1.登录到交换机的命令行界面，进入特权模式。
2.进入接口配置模式，选择你要配置ACL的接口。
3. 使用命令`access-list`建立ACL列表，并设置允许或拒绝的条件。
例如：```access-list 10 permit 192.168.0.0 0.0.0.255```这个命令将允许源IP地址在192.168.0.0/24范围内的数据包通过。
4. 将ACL应用于接口，以实现过滤。
使用命令`ip access-group`将ACL应用于接口的入向或出向方向上。
例如：```ip access-group 10 in```这个命令将ACL10应用于接口的入向方向。
5.对于扩展ACL，可以使用更复杂的规则进行配置。
例如：```access-list 101 permit tcp any host 192.168.0.1 eq 80```这个命令将允许任何TCP数据包从任意源IP地址流向目标IP地址为192.168.0.1的主机，并且端口号为80。
标准ACL、扩展ACL和命名ACL的配置详解访问控制列表(ACL)是应⽤在路由器接⼝的指令列表(即规则)。
这些指令列表⽤来告诉路由器，那些数据包可以接受，那些数据包需要拒绝。
访问控制列表(ACL)的⼯作原理ACL使⽤包过滤技术，在路由器上读取OSI七层模型的第3层和第4层包头中的信息。
如源地址，⽬标地址，源端⼝，⽬标端⼝等，根据预先定义好的规则，对包进⾏过滤，从⽽达到访问控制的⽬的。
ACl是⼀组规则的集合，它应⽤在路由器的某个接⼝上。
对路由器接⼝⽽⾔，访问控制列表有两个⽅向。
出：已经过路由器的处理，正离开路由器的数据包。
⼊：已到达路由器接⼝的数据包。
将被路由器处理。
如果对路由器的某接⼝应⽤了ACL，那么路由器对数据包应⽤该组规则进⾏顺序匹配，使⽤匹配即停⽌的，不匹配则使⽤默认规则的⽅式来过滤数据包。
如下图：访问控制列表的类型标准访问控制列表：根据数据包的源IP地址来允许或拒绝数据包，标准访问控制列表的访问控制列表号是1-99。
扩展访问控制列表：根据数据包的源IP地址，⽬的IP地址，指定协议，端⼝和标志，来允许或拒绝数据包。
扩展访问控制列表的访问控制列表号是100-199配置标准控制列表创建标准ACL的语法如下：Router(config)#access-list access-list-number {permit|deny} source [souce-wildcard]下⾯是命令参数的详细说明access-list-number：访问控制列表号，标准ACL取值是1-99。
permit|deny：如果满⾜规则，则允许/拒绝通过。
source：数据包的源地址，可以是主机地址，也可以是⽹络地址。
source-wildcard：通配符掩码，也叫做反码，即⼦⽹掩码去反值。
如：正常⼦⽹掩码255.255.255.0取反则是0.0.0.255。
删除已建⽴的标准ACL语法如下：Router(config)#no access-list access-list-number列如：创建⼀个ACL允许192.168.1.0⽹段的所有主机。
路由器配置ACL详解如果有人说路由交换设备主要就是路由和交换的功能，仅仅在路由交换数据包时应用的话他一定是个门外汉。
如果仅仅为了交换数据包我们使用普通的HUB就能胜任，如果只是使用路由功能我们完全可以选择一台WINDOWS服务器来做远程路由访问配置。
实际上路由器和交换机还有一个用途，那就是网络管理，学会通过硬件设备来方便有效的管理网络是每个网络管理员必须掌握的技能。
今天我们就为大家简单介绍访问控制列表在CISCO路由交换设备上的配置方法与命令。
什么是ACL？访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
访问控制列表使用原则由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。
在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。
1、最小特权原则只给受控对象完成任务所必须的最小的权限。
也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则所有的网络层访问权限控制。
也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
3、默认丢弃原则在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。
这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。
由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。
路由器配置ACL详解1. 概述本文档旨在提供关于路由器访问控制列表（Access Control List，简称 ACL）的详细说明和使用指南。
通过正确配置 ACL，可以实现对网络流量进行精确的过滤和管理。
2. 路由器基础知识回顾在开始学习如何配置 ACL 前，请先了解以下几个与路由器相关的基础概念：- IP 地址：IP 地址是用来唯一标识设备或主机在互联网上位置的数字地址。
- 子网掩码：子网掩码用于划分一个 IP 网络中哪些位表示网络部分、哪些位表示主机部分。
- 默认网关：默认网关是当目标 IP 不属于同一局域网时数据包将被发送到该地址所代表的下一跳设备。
3. 访问控制列表介绍访问控制列表（ACL）允许管理员根据特定条件限制进出某个接口或者 VLAN 的数据流动。
它可应用于不同层次协议，并且能够定义多种类型规则以适配各类需求。
4. 配置步骤及示例a) 创建并命名一个扩展型 IPv4 或 IPv6 的访问清单。
b) 定义访问清单的规则，包括源地址、目标地址和允许/禁止等条件。
c) 将 ACL 应用到特定接口或 VLAN 上。
示例：```ip access-list extended MY_ACLpermit tcp any host 192.168.1.100 eq 80deny icmp any any echo-replyinterface GigabitEthernet0/0ip address 192.168.1.1 255.255..255.ipv6 address FE80::2 link-localipv6 enableinterface GigabitEthernet0/1description LAN Connectionswitchport mode trunkswitchport trunk allowed vlan allno shutdown```5．ACL 规则类型详解- 标准型 IPv4 访问控制列表：基于源 IP 地址进行过滤。
ACL配置全解ACL(Access Control List，访问控制列表)技术从来都是一把双刃剑，网络应用与互联网的普及在大幅提高企业的生产经营效率的同时，也带来了诸如数据的安全性，员工利用互联网做与工作不相干事等负面影响。
如何将一个网络有效的管理起来，尽可能的降低网络所带来的负面影响就成了摆在网络管理员面前的一个重要课题。
A公司的某位可怜的网管目前就面临了一堆这样的问题。
A公司建设了一个企业网，并通过一台路由器接入到互联网。
在网络核心使用一台基于IOS的多层交换机，所有的二层交换机也为可管理的基于IOS的交换机，在公司内部使用了VLAN技术，按照功能的不同分为了6个VLAN。
分别是网络设备与网管(VLAN1，10.1.1.0/24)、内部服务器(VLAN2)、Internet连接(VLAN3)、财务部（VLAN4）、市场部(VLAN5)、研发部门（VLAN6），出口路由器上Fa0/0接公司内部网，通过s0/0连接到Internet。
每个网段的三层设备（也就是客户机上的缺省网关）地址都从高位向下分配，所有的其它节点地址均从低位向上分配。
该网络的拓朴如下图所示：自从网络建成后麻烦就一直没断过，一会儿有人试图登录网络设备要捣乱；一会儿领导又在抱怨说互联网开通后，员工成天就知道泡网；一会儿财务的人又说研发部门的员工看了不该看的数据。
这些抱怨都找这位可怜的网管，搞得他头都大了。
那有什么办法能够解决这些问题呢？答案就是使用网络层的访问限制控制技术――访问控制列表（下文简称ACL）。
那么，什么是ACL呢？ACL是种什么样的技术，它能做什么，又存在一些什么样的局限性呢？ACL的基本原理、功能与局限性网络中常说的ACL是Cisco IOS所提供的一种访问控制技术，初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机如2950之类也开始提供ACL 的支持。
只不过支持的特性不是那么完善而已。
在其它厂商的路由器或多层交换机上也提供类似的技术，不过名称和配置方式都可能有细微的差别。
本文所有的配置实例均基于Cisco IOS的ACL进行编写。
基本原理：ACL使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址、目的地址、源端口、目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
功能：网络中的节点资源节点和用户节点两大类，其中资源节点提供服务或数据，用户节点访问资源节点所提供的服务与数据。
ACL的主要功能就是一方面保护资源节点，阻止非法用户对资源节点的访问，另一方面限制特定的用户节点所能具备的访问权限。
配置ACL的基本原则：在实施ACL的过程中，应当遵循如下两个基本原则：u 最小特权原则：只给受控对象完成任务所必须的最小的权限u 最靠近受控对象原则：所有的网络层访问权限控制局限性：由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。
因此，要达到end to end的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
ACL配置技术详解“说那么多废话做什么，赶快开始进行配置吧。
”，A公司的网管说。
呵呵，并不是我想说那么多废话，因为理解这些基础的概念与简单的原理对后续的配置和排错都是相当有用的。
说说看，你的第一个需求是什么。
“做为一个网管，我不期望普通用户能telnet到网络设备”――ACL基础“补充一点，要求能够从我现在的机器(研发VLAN的10.1.6.66)上telnet到网络设备上去。
”。
hamm，是个不错的主意，谁都不希望有人在自己的花园中撤野。
让我们分析一下，在A公司的网络中，除出口路由器外，其它所有的网络设备段的是放在Vlan1中，那个我只需要在到VLAN 1的路由器接口上配置只允许源地址为10.1.6.66的包通过，其它的包通通过滤掉。
这中只管源IP地址的ACL就叫做标准IP ACL：我们在SWA上进行如下的配置：access-list 1 permit host 10.1.6.66access-list 1 deny anyint vlan 1ip access-group 1 out这几条命令中的相应关键字的意义如下：access-list：配置均ACL的关键字，所有的ACL均使用这个命令进行配置。
access-list后面的1：ACL号，ACL号相同的所有ACL形成一个组。
在判断一个包时，使用同一组中的条目从上到下逐一进行判断，一遇到满足的条目就终止对该包的判断。
1-99为标准的IP ACL号，标准IP ACL由于只读取IP包头的源地址部分，消耗资源少。
permit/deny：操作。
Permit是允许通过，deny是丢弃包。
host 10.1.6.66/any：匹配条件，等同于10.1.6.66 0.0.0.0。
刚才说过，标准的ACL只限制源地址。
Host 10.1.6.66(10.1.6.66 0.0.0.0)的意思是只匹配源地址为10.1.6.66的包。
0.0.0.0是wildcards，某位的wildcards为0表示IP地址的对应位必须符合，为1表示IP地址的对应位不管是什么都行。
简单点说，就是255.255.255.255减去子网掩码后的值，0.0.0.0的wildcards就是意味着IP地址必须符合10.1.6.66，可以简称为host 10.1.6.66。
any表示匹配所有地址。
注意：IOS中的ACL均使用wildcards，并且会用wildcards 对IP地址进行严格的对齐，如你输入一条access-list 1 permit 10.1.1.129 0.0.0.31，在你show access-list看时，会变成access-list 1 permit 10.1.1.128 0.0.0.31，PIXOS中的ACL均使用subnet masks，并且不会进行对齐操作。
更为详细的关于IP V4地址的资料可以参见拙著《IP V4基础知识》/showarticle.php?s=&ar ticleid=60 一文int vlan1///ip access-group 1 out：这两句将access-list 1应用到vlan1接口的out方向。
其中1是ACL号，和相应的ACL进行关联。
Out是对路由器该接口上哪个方向的包进行过滤，可以有in和out两种选择。
注意：这里的in/out都是站在路由器或三层模块（以后简称R）上看的，in表示从该接口进入R的包，out表示从该接口出去的包。
好了，这就是一个最基本的ACL的配置方法。
什么，你说普通用户还能telnet到RTA？那你在int vlan3上现加一个ip access-group 1 out吧。
Hammmm，等等，你这样加上去普通用户就访问不了internet了。
让我们把刚才的ACL去掉，重新写一个。
回忆一下，我们的目的是除了10.1.6.66能够进行telnet操作外，其它用户都不允许进行telnet操作。
刚才我们说过，标准的IP ACL只能控制源IP地址，不能控制到端口。
要控制到第四层的端口，就需要使用到：扩展的IP ACL的配置先看看配置实例吧。
在SWA上进行如下配置：int vlan 1no ip access-group 1 outexitno access-list 1access-list 101 permit tcp host 10.1.6.66 any eq telnet access-list 101 deny tcp any any eq telnetint vlan 1ip access-group 101 outint vlan 3ip access-group 101 out你应该注意到到这里的ACL有一些变化了，现在对变化的部分做一些说明：access-list 101：注意这里的101，和刚才的标准ACL中的1一样，101是ACL号，表示这是一个扩展的IP ACL。
扩展的IP ACL号范围是100-199，扩展的IP ACL可以控制源IP、目的IP、源端口、目的端口等，能实现相当精细的控制，扩展ACL不仅读取IP包头的源地址/目的地址，还要读取第四层包头中的源端口和目的端口，扩展的IP ACL在没有硬件ACL加速情况下，会消耗大量的CPU资源。
int vlan 1 no ip access-group 1 outExitno access-list 1：取消access-list 1，对于非命名的ACL，可以只需要这一句就可以全部取消。
注意，在取消或修改一个ACL前，必须先在它所应用的接口上先把应用给no掉，否则会导致相当严重的后果。
tcp host 10.1.6.66 any eq telnet：匹配条件。
完整格式为：协议源地址源wildcards [关系] [源端口] 目的地址目的wildcards [关系] [目的端口]。
其中协议可以是IP、TCP、UDP、EIGRP等，[]内为可选字段。
仅在协议为tcp/udp等具备端口号的协议才有用。
关系可以是eq(等于)、neq（不等于）、lt(大于)、range（范围）等。
端口一般为数字的1-65535，对于周知端口，如23(服务名为telnet)等可以用服务名代替。
源端口和目的端口不定义时表示所有端口。
把这个ACL应用上去后，用户们开始打电话来骂娘了，因为他们都访问不了Internet了，是哪里出了问题了呢？注意：所有的ACL，缺省情况下，从安全角度考虑，最后都会隐含一句deny any(标准ACL)或deny ip any any（扩展IP ACL）。
所以在不了解业务会使用到哪些端口的情况下，最好在ACL的最后加上一句permit ip any any，在这里就是access-list 101 permit ip any any。
现在用户倒是能够访问Internet了，但我们的可怜的网管却发现普通用户还是能够telnet到他的SWA上面，因为SWA 上面有很多个网络接口，而且使用扩展的ACL会消耗很多的资源。
有什么简单的办法能够控制用户对网络设备的Telnet 访问，而又不消耗太多的资源呢？这就需要使用到：对网络设备自身的访问如何进行控制的技术让我们先把刚才配置的ACL都取掉(具体配置略，不然读者会以为我在骗稿费了。
)，再在每台网络设备上均进行如下配置：access-list 1 permit host 10.1.6.66line vty 0 4(部分设备是15)access-class 1 in这样就行了，telnet都是访问的设备上的line vty，在line vty 下面使用access-class与ACL组进行关联，in关键字表示控制进入的连接。
