什么是ACL?
访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。
ACL的原理
对路由器来说有两个方向
出：已经经路由器的处理，正离开路由器接口的数据包
入：已经到达路由器接口的数据包，将被路由器处理
顺序为：自下而上，依次匹配。 默认为拒绝
ACL的使用原则
1、最小特权原则
只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则
所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
3、默认丢弃原则
在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。
一、标准访问列表
访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。
它的具体格式：
access-list access-list-number [permit | deny ] [sourceaddress][wildcard-mask]
access-list-number 为1-99 或者 1300-1999之间的数字，这个是访问列表号。
拿下面这个例子来具体说说
一台路由器，一台PC和一台服务器。分别给PC和服务器配置好IP地址和默认网关。他们分别在不同的网段，配置好服务器是PC和服务器ping通。目的是拒绝192.168.1.0网段的主机从f0/0出去。
配置步骤：
access-list 10 deny 192.168.1.0 0.0.0.255 //丢弃所有来自源地址192.168.1.0的数据包
access-list 10 permit any //使除了1.0网段之外的其他网段可通 （这一步非常重要）
int f0/0 //进入相应端口
ip access-list 10 out //将ACL应用至端口，如无此步骤，那么一切都没用
可见路由器将来自192.168.1.0 的数据拒绝访问了。
有值得注意的地方：
1.标准ACL应配置尽量靠近目的端
2.一定要加permit any使其他网络可通
3.访问列表使从上到下逐条进行匹配的，所以在设置访问列表的时候要注意顺序。如果从第一条匹配到最后一条还是不知道怎么做，路由器就会丢弃这个数据包（默认），也就是为什么要加permit any。
删除已建立的标准ACL
no access-list + [access-list number]
对于标准的ACL 来说，不能删除单个ACL语句，只能删除整个ACL。
二、扩展访问控制列表
上面我们提到的标准访问控制列表是基于IP地址进行过滤的，是最简单的ACL。那么如果我们希望将过滤细到端口怎么办呢？或者希望对数据包的目的地址进行过滤。这时候就需要使用扩展访问控制列表了。使用扩展IP访问列表可以有效的容许用户访问物理LAN而并不容许他使用某个特定服务（例如WWW，FTP等）。扩展访问控制列表使用的ACL号为100到199。
扩展访问控制列表的格式：
access-list access-list number {permit/deny} protocol +源地址+反码 +目标地址+反码+operator operan(It小于，gt大于，eq等于，neq不等于.具体可？)+端口号
注意事项：
1.扩展ACL的列表号范围使100-199或2000-2699
2.因为默认情况下，每个访问控制列表的末尾隐含deny all，所以在每个扩展访问控制列表里面必须有：access-list number permit ip any any
3.不同的服务要使用不同的协议，比如TFTP使用的是UDP协议
例如路由器连接了两个网段（可参照上面的拓扑），禁止192.168.1.0的PC访问192.168.2.0的PC包括服务器，不过唯独可以访问192.168.2.10的www服务（端口号为80），而其它服务不能访问。
配置如下：
access-list 101 permit tcp any 192.168.2.10 0.0.0.255 eq 80 //设置ACL101，允许源地址为任意ip，目的地址为192.168.2.10主机的80端口。思科默认deny 阿拉蕾，此处只写这句就够了。
int f0/0 //进入端口
ip access-group 101 out //将ACL101应用到端口
删除和标准ACL一样，不能单条删除，只能删除整个ACL
三、命名访问控制列表
不管是标准访问控制列表还是扩展访问控制列表都有一个弊端，那就是当设置好ACL的规则后发现其中的某条有问题，希望进行修改或删除的话只能将全部ACL信息都删除。也就是说修改一条或删除一条都会影响到整个ACL列表。这一个缺点影响了我们的工作，为我们带来了繁重的负担。不过我们可以用基于名称的访问控制列表来解决这个问题。
例如：
ip access-list [standard/extened] access-list-name
ip access-list standard killer //建立一个名为killer的标准访问控制列表
使用方法：
ip access-list standard + name
11 permit host + ip //默认第一条是10 ，第二条20
deny any
删除命名ACL，可以向之前的ACL插入ACL，也可以删除单条ACL
ip access-list standard benet
no 11
使用show access-list 可查看配置的ACL信息