自反ACL

Ping 通截圖

1. 配置拒絕外網主動訪問內網

（1）配置容許ICMP能夠不用標記就進入內網，其它的必須被標記才返回

r1(config)#ip access-list extended come

r1(config-ext-nacl)#permit icmp any any         被容許的ICMP是不用標記便可進入內網的

r1(config-ext-nacl)#evaluate abc                其它要進入內網的，必須是標記爲abc的

r1(config)#int f0/1

r1(config-if)#ip access-group come in

測試外網R4的ICMP訪問內網

測試外網R4 telnet內網

說明：能夠看到，除ICMP以外，其它流量是不能進入內網的。

（1） 測試內網R2的ICMP訪問外網

（2） 測試內網R2發起telnet到外網

1. 配置內網向外網發起的telnet被返回

（1）配置內網出去時，telnet被記錄爲abc,將會被容許返回

r1(config)#ip access-list extended  goto

r1(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60   telnet已記爲abc

r1(config-ext-nacl)#permit ip any any  

 r1(config)#int f0/1

r1(config-if)#ip access-group goto out

查看R2到外網的ICMP

查看內網向外網發起telnet

查看ACL

能夠看到，有一條爲abc的ACL爲容許外網到內網的telnet，正是因爲內網發到外網的telnet被標記了，因此也自動產生了容許其返回的ACL，而且後面跟有剩餘時間。