自反ACL详解

----------RA(s0/0)------------(s0/0)RB-------------

1，什么情况下用自反ACL：
　 根据路由特性，当路由不设置任何ACL情况下，二个路由间互访是不受约束的。当RA(s0/0)设置IN方向permit时，默认其他是拒决的。换句话说，当RA，RB都不设置ACL时，RA能够得到RB的ICMP的响应包。但是，如果RA(s0/0)设置IN方向的permit时，RB的回应包就会被RA(s0/0)组断。这时需要在RA(s0/0)设置自反。

2，自反访问表的基本的工作原理是：
　 只能由内部网络始发的，外部网络的响应流量可以进入，
　 由外部网络始发的流量如果没有明确的允许，是禁止进入的。
　

允许由内部192.168.10.0/24始发的HTTP，SMTP, TCP流量可以出去, 其余的流量全部拒绝。

RA:
!
ip access-list extended OUTBOUND
permit tcp 192.168.10.0 0.0.0.255 any eq www reflect CISCO
permit tcp 192.168.10.0 0.0.0.255 any eq smtp reflect CISCO
permit tcp 192.168.10.0 0.0.0.255 any eq reflect CISCO
!
!
ip access-list extended INBOUND
permit tcp any eq ftp-data 192.168.10.0 0.0.0.255
evaluate CISCO
!
int s0
ip access-group OUBOUND out
ip access-group INBOUND in
!
ip reflexive-list timeout 300 (设置临时性访问条目的生存期，缺省为300秒)