自反acl
原理:通过对经过该端口的请求数据包打上标记,对回复的数据包进行检测,据有该标记的数据包允许通过,否则被拒绝。
拓扑图
测试连通性
R2 telnet R4
配置命令
在检测连通性,确保无误后,配置acl
r1(config)#ip access-list extended come
r1(config-ext-nacl)#permit icmp any any 被允许的ICMP是不用标记即可进入内网的
r1(config-ext-nacl)#evaluate abc 其它要进入内网的,必须是标记为ab
r1(config)#ip access-list extended goto
r1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60 telnet已记为abc
r1(config-ext-nacl)#permit ip any any
应用ACL
r1(config)#int f0/1
r1(config-if)#ip access-group goto out
测试结果
R2 PING R4
ICMP允许通过
R2 telnet R4
可见,内网向外网发送的telnet因被标记了abc所以被允许返回了
R4 telnet R2
查看acl表