所謂的自反訪問列表，英文名為Reflexive Access Lists，自反訪問列表會根據(jù)一個方向的訪問控制列表，自動創(chuàng)建出一個反方向的控制列表，是和原來的控制列表－IP的源地址和目的地址顛倒，并且源端口號和目的端口號完全相反的一個列表，并且還有一定的時間限制，超時后，這個新創(chuàng)建的列表就會消失，大大增加了安全性。 一、簡單示例 ip access-list extended abc deny icmp any 192.168.1.0 0.0.0.255 permit ip any any exit int s0/0 ip access-group abc in 上述是禁止外網(wǎng)去ping內(nèi)網(wǎng)的192.168.1.0/24這個網(wǎng)段，這時如果你想從192.168.1.1去ping外網(wǎng)也是ping不通的，因為通信都是雙向的，限制住一面的流量就都不通了。 二、自反ACL ip access-list extended refin permit ospf any any evaluate abc exit ip access-list extended refout permit ip any any reflect abc exit int s0/0 ip access-group refin in ip access-group rofut out exit ip reflexive-list timeout 60 1、在接口的in方向上只允許了一個ospf協(xié)議，其他訪問都禁止了，也就是不允許外網(wǎng)訪問內(nèi)網(wǎng)，evaluate abc嵌套了一個反射ACL，名稱為abc。 2、在接口的out方向上，允許所有的訪問，可以出去但是回不來，所以在permit ip any any 后加上了一個reflect abc，此時任何從內(nèi)網(wǎng)發(fā)起的流量如果它匹配這條permit ip any any reflect abc語句的話，則自動在refin的列表中創(chuàng)建一條動態(tài)的permit語句。 3、自反ACL一直是permit的，ip reflexive-list timeout 60 設(shè)置的是反射出來的條目的有效時間。
