下载文档原格式
访问控制列表AccessList路由器使用访问控制列表（ACL）来识别数据流，然后对其进行过滤、加密、分类或转换，以更好地管理和控制网络的功能。
标准访问列表：编号1-99或1300-1999，只检查分组的源地址，允许或禁止整个协议簇的分组通过。
扩展访问列表：编号100-199或2000-2699，检查分组的源地址、目标地址、协议、端口号和其他参数。
重点：1、入站访问列表的效率比出站访问列表高；2、路由器按顺序自上而下地处理访问列表中的语句；3、将具体条件放在一般性条件前，将常发生的条件放在不常发生的条件前；4、访问列表的最后有一条隐式的deny语句（access-list 1 deny any），分组将被禁止通过；5、新添的语句总被放在访问列表末尾，隐式的前面；6、使用编号访问列表时不能有选择性的删除其中一条语句，但使用名称访问列表可以（IOS11.2以上）；7、在每个接口的每个方向上针对每种协议的访问列表只能有一个，同一个接口上可以有多个访问列表，但必须是针对不同协议的。
等价写法:access-list 1 deny 172.16.4.3 0.0.0.0 = access-list 1 deny host 172.16.4.3 access-list 1 permit 0.0.0.0 255.255.255.255 = access-list permit any拒绝172.16.1.1访问192.168.1.1上的telnet服务，其余主机可以：rt(config)#access-list 101 deny tcp host 172.16.1.1 host 192.168.1.1 eq telnet rt(config)#access-list 101 permit ip any any172.16.x.y,当x为偶数，y为奇数时允许，其他拒绝：rt(config)#access-list 1 permit 172.16.0.1 0.0.254.254rt(config)#access-list 1 deny 172.16.0.0 0.0.255.255命名列表：rt(config)#ip access-list standard list_namert(config-std-nacl)#permit 1.1.0.1 0.0.254.254rt(config-std-nacl)#deny 1.1.0.0 0.0.255.255access-list 有关收藏Chapter9 Managing Traffic with Access ListsIntroduction to Access Lists访问列表(access list,ACL)的主要作用是过滤你不想要的数据包.设置ACL的一些规则:1.按顺序的比较,先比较第一行,再比较第二行..直到最后1行2.从第一行起,直到找到1个符合条件的行;符合以后,其余的行就不再继续比较下去3.默认在每个ACL中最后1行为隐含的拒绝(deny),如果之前没找到1条许可(permit)语句,意味着包将被丢弃.所以每个ACL必须至少要有1行permit语句,除非你想想所有数据包丢弃2种主要的访问列表:1.标准访问列表(standard access lists):只使用源IP地址来做过滤决定2.扩展访问列表(extended access lists):它比较源IP地址和目标IP地址,层3的协议字段,层4端口号来做过滤决定利用ACL来过滤,必须把ACL应用到需要过滤的那个router的接口上,否则ACL是不会起到过滤作用的.而且你还要定义过滤的方向,比如是是想过滤从Internet到你企业网的数据包呢还是想过滤从企业网传出到Internet的数据包呢?方向分为下面2种:1.inbound ACL:先处理,再路由2.outbound ACL:先路由,再处理一些设置ACL的要点:1.每个接口,每个方向,每种协议,你只能设置1个ACL2.组织好你的ACL的顺序,比如测试性的最好放在ACL的最顶部3.你不可能从ACL从除去1行,除去1行意味你将除去整个ACL,命名访问列表(named access lists)例外(稍后介绍命名访问列表)4.默认ACL结尾语句是deny any,所以你要记住的是在ACL里至少要有1条permit语句5.记得创建了ACL后要把它应用在需要过滤的接口上6.ACL是用于过滤经过router的数据包,它并不会过滤router本身所产生的数据包7.尽可能的把IP标准ACL放置在离目标地址近的地方;尽可能的把IP扩展ACL放置在离源地址近的地方Standard Access Lists介绍ACL设置之前先介绍下通配符掩码(wildcard masking).它是由0和255的4个8位位组组成的.0代表必须精确匹配,255代表随意,比如:172.16.30.0 0.0.0.255,这个告诉router前3位的8位位组必须精确匹配,后1位8位位组的值可以为任意值.如果你想指定172.16.8.0到172.16.15.0,则通配符掩码为0.0.7.255(15-8=7)配置IP标准ACL,在特权模式下使用access-lists [范围数字] [permit/deny] [any/host]命令.范围数字为1到99和1300到1999;permit/deny分别为允许和拒绝;any为任何主机,host为具体某个主机(需要跟上IP地址)或某1段我们来看1个设置IP标准ACL的实例:router有3个LAN的连接1个Internet的连接.现在,销售部的用户不允许访问金融部的用户,但是允许他们访问市场部和Internet连接.配置如下:Router(config)#access-list 10 deny 172.16.40.0 0.0.0.255Router(config)#access-list 10 permit any注意隐含的deny any,所以末尾这里我们要加上permit any,any等同于0.0.0.0 255.255.255.255.接下来把ACL应用在接口上,之前说过了尽可能的把IP标准ACL放置在离目标地址近的地方,所以使用ip access-group命令把ACL 10放在E1接口,方向为出,即out.如下:Router(config)#int e1Router(config-if)#ip access-group 10 outControlling VTY(Telnet) Access使用IP标准ACL来控制VTY线路的访问.配置步骤如下:1.创建个IP标准ACL来允许某些主机可以telnet2.使用access-class命令来应用ACL到VTY线路上实例如下:Router(config)#access-list 50 permit 172.16.10.3Router(config)#line vty 0 4Router(config-line)#access-class 50 in如上,进入VTY线路模式,应用ACL,方向为进来,即in.因为默认隐含的deny any,所以上面的例子,只允许IP地址为172.16.10.3的主机telnet到router上Extended Access Lists扩展ACL:命令是access-list [ACL号] [permit/deny] [协议] [源地址] [目标地址] [操作符] [端口] [log].ACL号的范围是100到199和2000到2699;协议为TCP,UDP等,操作符号有eq(表等于),gt(大于),lt(小于)和neq(非等于)等等;log为可选,表示符合这个ACL,就记录下这些日志来看1个配置扩展ACL的实例:假如要拒telnet和FTP到绝位于金融部的主机172.16.30.5,配置如下:Router(config)#access-list 110 deny tcp any host 172.16.30.5 eq 21Router(config)#access-list 110 deny tcp any host 172.16.30.5 eq 23Router(config)#access-list 110 permit ip any any记住默认隐含的deny all.应用到E1接口,注意方向为out,如下:Router(config)#int e1Router(config-if)#ip access-group 110 outNamed Access Lists命名访问列表是创建标准和扩展访问列表的另外1种方法.它允许你使用命名的方法来创建和应用标准或者扩展访问列表.使用ip access-list命令来创建,如下:Router(config)#ip access-list ?extended Extended Acclogging Control access list loggingstandard Standard Access ListRouter(config)#ip access-list standard ?<1-99> Standard IP access-list numberWORD Access-list nameRouter(config)#ip access-list standard BlockSalesRouter(config-std-nacl)#?Standard Access List configuration commands:default Set a command to its defaultsdeny Specify packets to rejectexit Exit from access-list configuration modeno Negate a command or set its defaultpermit Specify packets to forwardRouter(config-std-nacl)#deny 172.16.40.0 0.0.0.255Router(config-std-nacl)#permit anyRouter(config-std-nacl)#exitRouter(config)#^ZRouter#sh run(略)!ip access-list standard BlockSalesdeny 172.16.40.0 0.0.0.255permit any!(略)接下来应用到接口上,如下:Router(config)#int 1Router(config-if)#ip access-group BlockSales outRouter(config-if)#^ZRouter#Monitoring Access Lists一些验证ACL的命令,如下:1.show access-list:显示router上配置了的所有的ACL信息,但是不显示哪个接口应用了哪个ACL的信息2.show access-list [number]:显示具体第几号ACL信息,也不显示哪个接口应用了这个ACL3.show ip interface:只显示IP访问列表信息4.show ip interface:显示所有接口的信息和配置的ACL信息5.show ip interface [接口号]:显示具体某个接口的信息和配置的ACL信息6.show running-config:显示DRAM信息和ACL信息,以及接口对ACL的应用信息.关于RIP路由选择信息协议（Routing Information Protocol）是一种距离矢量路由选择协议，使用跳数作为度量值来选择路径，最大跳数15跳，最多6条路径间负载均衡。
acl基本类型
ACL（Access Control List） Access Control List，中文名叫访问控制列表，一般也叫做权限控制列表，是管理读写权限的有效手段，是访问控制的重要方式，主要有以下几种基本类型：
1、文件访问控制列表：文件访问控制列表（FACL）是权限控制列表的一种形式，它定义了文件的操作，包括读，写，执行，删除等。
2、程序访问控制列表：程序访问控制列表（PACL）是关于程序的操作权限的控制列表，包括对程序的启动，停止，重启等操作的权限控制。
3、设备访问控制列表：设备访问控制列表（DACL）是用来控制设备的操作权限，比如USB设备，网络设备等。
4、网络访问控制列表：网络访问控制列表（NACL）是对网络上的流量进行控制的方式，像IP访问控制列表（IPARL）等都是其中的一种实现形式。
5、数据库访问控制列表：数据库访问控制列表（DACL）是数据库专用的权限控制列表，它控制着访问数据库的用户能够做什么以及不能做什么的操作。
- 1 -。
访问控制列表实验报告介绍访问控制列表（Access Control List）是一种用于网络安全的重要工具。
它用于限制用户或设备对网络资源的访问权限，以保护网络的安全和保密性。
在本实验中，我们将学习如何配置和管理访问控制列表，并通过实际的示例来演示ACL的工作原理和应用。
实验目标本实验的目标是帮助学生理解访问控制列表的基本概念和配置方法。
具体而言，我们将关注以下方面：1.访问控制列表的作用和用途；2.如何配置和管理访问控制列表；3.不同类型的访问控制列表及其应用场景。
实验步骤步骤一：了解访问控制列表访问控制列表是一种在路由器或交换机上配置的规则集合，用于控制网络流量的访问权限。
它基于源地址、目的地址、协议类型等条件来限制特定用户或设备对网络资源的访问权限。
ACL可以分为两种类型：标准ACL和扩展ACL。
标准ACL仅使用源地址作为匹配条件，而扩展ACL可以使用更多的条件来进行匹配，例如源地址、目的地址、协议类型、端口号等。
步骤二：配置访问控制列表在这个实验中，我们将使用一台路由器进行ACL的配置示例。
以下是一些基本的ACL配置命令：Router(config)# access-list 1 permit 192.168.0.0 0.0.255.255上述命令创建了一个标准ACL，允许所有源地址为192.168.0.0/16的流量通过。
Router(config)# access-list 2 permit tcp any host 192.168.1.1 eq 80上述命令创建了一个扩展ACL，允许任何源地址的TCP流量通过到目的地址为192.168.1.1、目的端口号为80的主机。
步骤三：应用访问控制列表完成ACL的配置后，我们需要将其应用到实际的接口或接口组上。
以下是一些基本的ACL应用命令：Router(config-if)# ip access-group 1 in上述命令将ACL 1应用到接口的入方向，用于限制进入该接口的流量。
第2章访问控制列表（一）➢TCP和UDP协议TCP/IP协议族的传输层协议主要有两个：TCP（Transmission ，传输控制协议）和UDP（User Datagram Protocol，用户数据抱协议）。
➢TCP协议TCP是面向连接的、可靠的进程到进程通信的协议。
TCP提供全双工服务，即数据可在同一时间双向传输，每一个TCP都有发送缓存和接受缓存，用来临时存储数据。
1.TCP报文段TCP将若干个字节构成一个分组，叫做报文段（Segment）。
TCP报文段封装在IP数据段中。
首部长度为20-60字节，以下是各个字段的含义：➢源端口：它是16位字段，为发送方进程对应的端口号➢目标端口号：它是16位字段，对应的是接收端的进程，接收端收到数据段后，根据这个端口号来确定把数据送给哪个应用程序的进程。
➢序号：当TCP从进程接收数据字节时，就把它们存储在发送缓存中，并对每一个字节进行编号。
编号的特点如下所述：◆编号不一定从0开始，一般会产尘一个随机数作为第1个字节的编号，称为初始序号（ISN），范围是0~232-1。
◆TCP每一个方向的编号是互相独立的。
◆当字节都被编上号后，TCP就给每一个报文段指派一个序号，序号就是该报文段中第1个字节的编号。
当数据到达目的地后，接收端会按照这个序号把数据重新排列，保证数据的正确性。
➢确认号：确认号是对发送端的确认信息，用它来告诉发送端这个序号之前的数据段都已经收到，比如确认号是X，就是表示前X-1个数据段都已经收到。
➢首部长度：用它可以确定首部数据结构的字节长度。
一般情况下TCP首部是20字节，但首部长度最大可以扩展为60字节。
➢保留：这部分保留位作为今后扩展功能用，现在还没有使用到。
➢控制位：这六位有很重要的作用，TCP的连接、传输和断开都是受六个控制为的指挥。
各位含义如下：◆URG：紧急指针有效位。
（指定一个包快速传送（重要数据优先传送））◆ACK：只有当ACK=1时，确认序列号字段才有效。
网络防火墙是保护网络安全的重要工具，它通过设置访问控制列表（ACL）来限制网络流量，防止未经授权的访问和攻击。
本文将从什么是ACL、为何需要ACL以及如何设置ACL三个方面来讨论如何设置网络防火墙的访问控制列表。
一、什么是ACL访问控制列表（ACL）是一种网络安全策略，用于控制网络流量的流动。
它通过规定哪些网络流量可以通过网络防火墙进入网络或离开网络，从而保护网络的安全。
ACL可以基于多个因素进行限制，例如源IP地址、目标IP地址、协议类型、源端口号、目标端口号等。
二、为何需要ACL1.控制访问权限：ACL可以限制特定IP地址或IP地址范围的访问权限，从而保护网络资源免受未经授权的访问。
2.防止网络攻击：ACL可以阻止恶意流量和入侵尝试，有效减少网络攻击的风险。
3.提高网络性能：通过限制特定流量的访问权限，可以减少网络拥堵和带宽占用，提高网络的响应速度和性能。
三、如何设置ACL1.了解网络拓扑：在设置ACL之前，需要全面了解网络拓扑结构和网络设备的配置。
确定哪些设备需要受ACL控制，并了解它们之间的通信需求。
2.确定ACL的目标：在设置ACL之前，需要明确ACL的目标和限制范围。
例如，限制特定IP地址或IP地址范围的访问权限，限制特定协议或端口号的流量等。
3.编写ACL规则：根据确定的目标和限制范围，编写ACL规则。
ACL规则应包括源IP地址、目标IP地址、协议类型、源端口号、目标端口号等信息。
根据具体需求，可以编写多条规则，实现更精细的访问限制。
4.优化ACL规则：编写ACL规则后，需要对规则进行优化。
避免使用过于宽泛的规则，可以根据实际需求进行调整和优化。
同时，还需要将最常用的规则放在前面，以提高访问控制的效率。
5.配置ACL规则：配置ACL规则时，需要将规则应用到网络设备上。
根据网络设备的型号和配置界面，选择合适的方式进行配置。
通常可以通过命令行界面或图形界面来进行配置。
6.测试和监控ACL：在配置ACL后，需要进行测试和监控。
ACL访问控制1. 什么是访问控制列表指根据事先设定好的一系列的规则，对进出路由器或者三层交换机的数据包进行检测，实现对网络的访问控制管理、流量管理等。
访问控制列表的种类2. 目前主要有三种访问控制列表（ACL）：标准ACL扩展ACL命名ACL主要动作为允许（Permit）和拒绝（deny）。
主要应用方法：入栈（In）和出栈（Out）应用。
2.1 标准ACL标准访问控制列表匹配IP包中的源地址或源地址中的一部分，可对匹配的包采取拒绝或允许两个操作。
编号范围是从1到99。
Route(config)#access-list 1 deny 192.168.1.0 0.0.0.2552.2 扩展ACL扩展IP访问控制列表比标准IP访问控制列表具有更多的匹配项，包括协议类型、源地址、目的地址、源端口、目的端口、建立连接的和IP优先级等。
编号范围是从100到199。
Route(config)#access-list 101 deny 192.168.1.0 0.0.0.255 202.114.254.0 0.0.0.2552.3 命名的访问控制列表所谓命名的访问控制列表是以列表名代替列表编号来定义IP访问控制列表。
(1). 标准的命名访问控制列表Route(config)#ip access-list standard list-nameRoute(config-std-nacl)#(2). 扩展的命名访问控制列表route(config)ip access-list extended list-nameroute(config-ext-nacl)#2.4 基于时间的访问控制列表基于时间的访问控制列表由两部分组成，第一部分是定义时间段，第二部分是用扩展访问控制列表定义规则。
这里我们主要讲解下定义时间段，具体格式如下：time-range 时间段名称absolute start [小时：分钟] [日月年] [end] [小时：分钟] [日月年] 例如：time-range softerabsolute start 0:00 1 may 2005 end 12:00 1 june 2005 意思是定义了一个时间段，名称为softer，并且设置了这个时间段的起始时间为2005年5月1日零点,结束时间为2005年6月1日中午12点。
acl访问控制列表规则
ACL（Access Control List，访问控制列表）是用于对网络通信进行访问控制的一种授权机制。
ACL规则是ACL中使用的配置项，用于确定允许或拒绝特定类型的网络通信。
ACL规则可以应用于路由器、防火墙、交换机等网络设备上的接口，以过滤或限制通过该接口的网络流量。
具体规则可根据需求而定，以下是一些常见的ACL访问控制列表规则：
1. 允许特定源IP地址或地址范围访问网络：通过指定源IP地址或地址范围，ACL可以允许来自指定源IP的流量通过，其他源IP的流量将被拒绝。
2. 允许特定目标IP地址或地址范围访问网络：通过指定目标IP地址或地址范围，ACL可以允许访问指定目标IP的流量通过，其他目标IP的流量将被拒绝。
3. 允许特定协议类型的流量通过：ACL可以限制只允许特定类型的协议通过，例如允许只允许HTTP或FTP流量通过，其他协议的流量将被拒绝。
4. 允许特定端口或端口范围的流量通过：ACL可以指定特定的数据包端口或端口范围，只允许使用指定端口的流量通过。
例如，允许只允许指定端口的Web流量通过，其他端口的流量将被拒绝。
5. 拒绝或限制特定协议或应用程序的流量：ACL可以用于拦
截或限制特定协议或应用程序的流量。
例如，可以设置ACL
规则拒绝P2P文件共享的流量。
6. 实施流量限制或限额：ACL可以用于设置流量限制或限额，以限制特定用户、IP地址或网络的流量。
例如，可以设置
ACL规则限制每个用户每天只能下载一定数量的数据。
总之，ACL访问控制列表规则可以根据网络管理员的需求来
灵活配置，以控制和管理网络流量。
访问控制列表实验报告《访问控制列表实验报告》摘要：本实验旨在通过实际操作，了解和掌握访问控制列表（ACL）的基本概念和应用。
通过对ACL的配置和管理，实现对网络资源的访问控制和权限管理。
本文将详细介绍实验的目的、实验环境、实验步骤和实验结果，并对实验过程中遇到的问题和解决方案进行总结和分析。
1. 实验目的访问控制列表（ACL）是一种用于控制网络资源访问权限的重要机制，通过ACL可以对网络流量进行过滤和控制，保护网络安全。
本实验旨在通过实际操作，掌握ACL的基本概念和配置方法，实现对网络资源的访问控制和权限管理。
2. 实验环境本次实验使用了一台路由器和多台计算机组成的局域网，通过路由器进行网络流量的控制和管理。
实验中使用了Cisco路由器，并配置了基本的网络环境和访问控制列表。
3. 实验步骤（1）配置路由器基本网络环境，包括IP地址、子网掩码等；（2）创建访问控制列表，并定义访问控制规则；（3）将访问控制列表应用到路由器的接口上，实现对网络流量的控制和管理；（4）测试ACL的效果，验证ACL对网络流量的过滤和控制。
4. 实验结果通过实验操作，成功创建了访问控制列表，并将其应用到路由器的接口上。
在测试过程中，发现ACL可以有效地对网络流量进行过滤和控制，实现了对特定IP地址或端口的访问限制。
5. 问题与解决在实验过程中，遇到了一些配置和测试中的问题，如ACL规则的定义和应用不当导致网络流量无法正常通过等。
通过查阅资料和与实验指导老师讨论，最终找到了解决方案，并成功完成了实验目标。
6. 总结与展望本次实验通过实际操作，加深了对访问控制列表的理解和应用，掌握了ACL的配置和管理技术。
ACL作为网络安全的重要手段，对于保护网络资源和数据具有重要意义。
未来，可以进一步学习和探索ACL在实际网络环境中的应用，提高网络安全性和管理效率。
通过本次实验，对访问控制列表有了更深入的了解，掌握了其基本配置和应用方法，为今后的网络管理和安全工作奠定了基础。
网络安全保障的第一道关卡访问列表的种类划分标准IP访问表扩展的IP访问控制列表管理和使用访问表网络安全保障的第一道关卡对于许多网管员来说，配置路由器的访问控制列表是一件经常性的工作，可以说，路由器的访问控制列表是网络安全保障的第一道关卡。
访问列表提供了一种机制，它可以控制和过滤通过路由器的不同接口去往不同方向的信息流。
这种机制允许用户使用访问表来管理信息流，以制定公司内部网络的相关策略。
这些策略可以描述安全功能，并且反映流量的优先级别。
例如，某个组织可能希望允许或拒绝Internet对内部Web服务器的访问，或者允许内部局域网上一个或多个工作站能够将数据流发到广域网上。
这些情形，以及其他的一些功能都可以通过访问表来达到目的。
访问列表的种类划分目前的路由器一般都支持两种类型的访问表：基本访问表和扩展访问表。
基本访问表控制基于网络地址的信息流，且只允许过滤源地址。
扩展访问表通过网络地址和传输中的数据类型进行信息流控制，允许过滤源地址、目的地址和上层应用数据。
表1列出了路由器所支持的不同访问表的号码范围。
由于篇幅所限，本文只对标准访问列表和扩展访问列表进行讨论。
标准IP访问表标准IP访问表的基本格式为：access-list [list number][permit|deny][host/any][sourceaddress][wildcard-mask][log]下面对标准IP访问表基本格式中的各项参数进行解释：1.list number-表号范围标准IP访问表的表号标识是从1到99。
2.permit/deny允许或拒绝关键字permit和deny用来表示满足访问表项的报文是允许通过接口，还是要过滤掉。
permit表示允许报文通过接口，而deny表示匹配标准IP访问表源地址的报文要被丢弃掉。
3.source address源地址对于标准的IP访问表，源地址是主机或一组主机的点分十进制表示，如:198.78.46.8。
4.host/any主机匹配host和any分别用于指定单个主机和所有主机。
host表示一种精确的匹配，其屏蔽码为0.0.0.0。
例如，假定我们希望允许从198.78.46.8来的报文，则使用标准的访问控制列表语句如下:access-list 1 permit 198.78.46.8 0.0.0.0如果采用关键字host，则也可以用下面的语句来代替：access-list 1 permit host 198.78.46.8也就是说，host是0.0.0.O通配符屏蔽码的简写。
与此相对照，any是源地证/目标地址0.O.O.O/255.255.255.255的简写。
假定我们要拒绝从源地址198.78.46.8来的报文，并且要允许从其他源地址来的报文，标准的IP访问表可以使用下面的语句达到这个目的:access-list 1 deny host 198.78.46.8access-list 1 permit any注意，这两条语句的顺序访问表语句的处理顺序是由上到下的。
如果我们将两个语句顺序颠倒，将permit语句放在deny语句的前面，则我们将不能过滤来自主机地址198.78.46.8的报文，因为permit语句将允许所有的报文通过。
所以说访问表中的语句顺序是很重要的因为不合理语句顺序将会在网络中产生安全漏洞，或者使得用户不能很好地利用公司的网络策略。
5.wi1dcardmask通配符屏蔽码Cisco访问表功能所支持的通配符屏蔽码与子网屏蔽码的方式是刚好相反的，也就是说，二进制的O 表示一个"匹配"条件，二进制的1表示一个"不关心"条件。
假设组织机构拥有一个C类网络198.78.46.0，若不使用子网，则当配置网络中的每一个工作站时，使用于网屏蔽码255.255.255.O。
在这种情况下，1表示一个 "匹配"，而0表示一个"不关心"的条件。
因为Cisco通配符屏蔽码与子网屏蔽码是相反的，所以匹配源网络地址198.78.46.0中的所有报文的通配符屏蔽码为:0.0.O.255。
6.Log日志记录log关键字只在IOS版本11.3中存在。
如果该关键字用于访问表中，则对那些能够匹配访问表中的permit 和deny语句的报文进行日志记录。
日志信息包含访问表号、报文的允许或拒绝、源IP地址以及在显示了第一个匹配以来每5分钟间隔内的报文数目。
使用log关键字，会使控制台日志提供测试和报警两种功能。
系统管理员可以使用日志来观察不同活动下的报文匹配情况，从而可以测试不同访问表的设计情况。
当其用于报警时，管理员可以察看显示结果，以定位那些多次尝试活动被拒绝的访问表语句。
执行一个访问表语句的多次尝试活动被拒绝，很可能表明有潜在的黑客攻击活动。
扩展的IP访问控制列表顾名思义，扩展的IP访问表用于扩展报文过滤能力。
一个扩展的IP访问表允许用户根据如下内容过滤报文:源和目的地址、协议、源和目的端口以及在特定报文字段中允许进行特殊位比较等等。
一个扩展的IP访问表的一般语法格或如下所示:下面简要介绍各个关键字的功能:1.list number表号范围扩展IP访问表的表号标识从l00到199。
2.protocol-协议协议项定义了需要被过滤的协议，例如IP、TCP、UDP、1CMP等等。
协议选项是很重要的，因为在TCP/IP协议栈中的各种协议之间有很密切的关系，如果管理员希望根据特殊协议进行报文过滤，就要指定该协议。
另外，管理员应该注意将相对重要的过滤项放在靠前的位置。
如果管理员设置的命令中，允许IP地址的语句放在拒绝TCP地址的语句前面，则后一个语句根本不起作用。
但是如果将这两条语句换一下位置，则在允许该地址上的其他协议的同时，拒绝了TCP协议。
3.源端口号和目的端口号源端口号可以用几种不同的方法来指定。
它可以显式地指定，使用一个数字或者使用一个可识别的助记符。
例如，我们可以使用80或者http来指定Web的超文本传输协议。
对于TCP和UDP，读者可以使用操作符 "<"(小于)、">"(大于)"="(等于)以及""(不等于)来进行设置。
目的端口号的指定方法与源端口号的指定方法相同。
读者可以使用数字、助记符或者使用操作符与数字或助记符相结合的格式来指定一个端口范围。
下面的实例说明了扩展IP访问表中部分关键字使用方法:access-list 101 permit tcp any host 198.78.46.8 eq smtpaccess-list 101 permit tcp any host 198.78.46.3 eq www第一个语句允许来自任何主机的TCP报文到达特定主机198.78.46.8的smtp服务端口(25)第二个语句允许任何来自任何主机的TCP报文到达指定的主机198.78.46.3的www或http服务端口(80)。
4.选项扩展的IP访问表支持很多选项。
其中一个常用的选项有log，它已在前面讨论标准访问表时介绍过了。
另一个常用的选项是fistahlishfid，该选项只用于TCP协议并且只在TCP通信流的一个方向上来响应由另一端发起的会话。
为了实现该功能，使用estab1ished选项的访问表语句检查每个 TCP报文，以确定报文的ACK或RST位是否已设置。
例如，考虑如下扩展的IP访问表语句:access-list 101 permit tcp any host 198.78.46.8 established该语句的作用是:只要报文的ACK和RST位被设置，该访问表语句就允许来自任何源地址的TCP报文流到指定的主机198.78.46.8。
这意味着主机198.78.46.8此前必须发起TCP会话。
5.其他关键字deny/permit、源地址和通配符屏蔽码、目的地址和通配符屏蔽码以及host/any的使用均与标准IP访问表中的相同。
表2是对部分关键字的具体解释。
表 2：管理和使用访问表在一个接口上配置访问表需要三个步骤：(1)定义访问表(2)指定访问表所应用的接口(3)定义访问表作用于接口上的方向。
我们已经讨论了如何定义标准的和扩展的IP访问表，下面将讨论如何指定访问表所用的接口以及接口应用的方向。
一般地，采用interface命令指定一个接口。
例如，为了将访问表应用于串口0，应使用如下命令指定此端口:interface serial0类似地，为将访问表应用于路由器的以太网端口上时，假定端口为Ethernet0，则应使用如下命令来指定此端口：interface ethernet0在上述三个步骤中的第三步是定义访问表所应用的接口方向，通常使用ip access-group命令来指定。
其中，列表号标识访问表，而关键字in或out则指明访问表所使用的方向。
方向用于指出是在报文进入或离开路由器接口时对其进行过滤。
如下的实例将这三个步骤综合在一起：intface serial0ip access-group 107 inaccess-list 107 remark allow traffic to tom＇s pcaccess-list 107 ip any host 198.78.46.8access-list 107 remark allow only web traffic to webserveraccess-list 107 tcp any host 198.78.46.12 eq 80access-list 107 remark block everything elseaccess-list 107 deny any any在本例中，先使用interface命令指定串行端口0，并使用ipaccess-group命令来将访问表l07中的语句应用于串行接口的向内方向上。
最后，输入6个访问表语句，其中三条访问表语句使用关键字rema。
