为什么要有访问控制（Access Control List）？

因为我可能在局域网中提供了一些服务，我只希望合法的用户可以访问，其他非授权用户不能访问。

原理比较简单，通过对数据包里的信息做过滤，实现访问控制。大家也能看出来，这个配置需要工作在路由器上。

基本访问控制列表

基本访问控制，主要是通过IP地址进行控制，在操作上主要有三步：

这里说明一点：基本访问控制列表使用的是 2000 到 2999，高级访问控制列表使用的是3000到3999。

高级访问控制列表

基本访问控制，能够配置的内容比较少，高级访问控制能够配置的内容就比较多了：

规则的写法

	动作	协议类型	可选参数
		tcp	地址：source 源地址 反掩码 destination 目的地址 反掩码
rule	{permit | deny}	ip	端口：source-port {eq|gt|lt|neq} port destination-port {eq|gt|lt|neq} port
		icmp	ICMP: icmp-type 报文类型名
			时间段：time-range time-name(提前定义的)

实战

先啥都不连线，不配置，启动路由器。配置PC的IP地址和路由器网关

[RT1]inter GigabitEthernet 0/0
[RT1-GigabitEthernet0/0]ip add 172.16.1.2 24
[RT1-GigabitEthernet0/0]quit
[RT1]inter GigabitEthernet 0/1
[RT1-GigabitEthernet0/1]ip add 172.16.2.2 24
[RT1-GigabitEthernet0/1]quit
[RT1]inter GigabitEthernet 0/2
[RT1-GigabitEthernet0/2]ip add 172.16.3.2 24
[RT1-GigabitEthernet0/2]quit

配置完后，因为路由器静态路由的功能，能看到互相通了

[RT1]display ip routing-table

Destinations : 16       Routes : 16

Destination/Mask   Proto   Pre Cost        NextHop         Interface
0.0.0.0/32         Direct  0   0           127.0.0.1       InLoop0
127.0.0.0/8        Direct  0   0           127.0.0.1       InLoop0
127.0.0.1/32       Direct  0   0           127.0.0.1       InLoop0
127.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0
172.16.1.0/24      Direct  0   0           172.16.1.2      GE0/0
172.16.1.2/32      Direct  0   0           127.0.0.1       InLoop0
172.16.1.255/32    Direct  0   0           172.16.1.2      GE0/0
172.16.2.0/24      Direct  0   0           172.16.2.2      GE0/1
172.16.2.2/32      Direct  0   0           127.0.0.1       InLoop0
172.16.2.255/32    Direct  0   0           172.16.2.2      GE0/1
172.16.3.0/24      Direct  0   0           172.16.3.2      GE0/2
172.16.3.2/32      Direct  0   0           127.0.0.1       InLoop0
172.16.3.255/32    Direct  0   0           172.16.3.2      GE0/2
224.0.0.0/4        Direct  0   0           0.0.0.0         NULL0
224.0.0.0/24       Direct  0   0           0.0.0.0         NULL0
255.255.255.255/32 Direct  0   0           127.0.0.1       InLoop0

三台机器也可以相互ping通。假设我不想让PC3连到PC2，我可以在路由器的GE0/0添加限制

配置规则

[RT1]acl number 2000
[RT1-acl-ipv4-basic-2000]rule deny source 172.16.1.0 0.0.0.255

在GE0/0启用规则

[RT1]int g0/0
[RT1-GigabitEthernet0/0]firewall packet-filter 2000 inbound

比较尴尬的一点是，HCL上的路由器貌似识别不了firewall的命令，所以本次就不继续演示了。其实命令也展示的差不多了，配置规则，然后再指定接口启用规则就可以了。

总结

路由器的访问控制能力，是否有用或者有用到什么程度得看具体场景。如果是同公司的两个分区（A、B）通过互联网相连，A里的服务只允许B访问，虽然可以通过ACL控制，但不安全啊。意味着只要进入B公司连入内网就可以访问了。