为什么要有访问控制（Access Control List）？
因为我可能在局域网中提供了一些服务，我只希望合法的用户可以访问，其他非授权用户不能访问。
原理比较简单，通过对数据包里的信息做过滤，实现访问控制。大家也能看出来，这个配置需要工作在路由器上。
基本访问控制列表
基本访问控制，主要是通过IP地址进行控制，在操作上主要有三步：
这里说明一点：基本访问控制列表使用的是 2000 到 2999，高级访问控制列表使用的是3000到3999。
高级访问控制列表
基本访问控制，能够配置的内容比较少，高级访问控制能够配置的内容就比较多了：
规则的写法
| 动作 | 协议类型 | 可选参数 | |
|---|---|---|---|
| tcp | 地址：source 源地址 反掩码 destination 目的地址 反掩码 | ||
| rule | {permit | deny} | ip | 端口：source-port {eq|gt|lt|neq} port destination-port {eq|gt|lt|neq} port |
| icmp | ICMP: icmp-type 报文类型名 | ||
| 时间段：time-range time-name(提前定义的) |
实战
先啥都不连线，不配置，启动路由器。配置PC的IP地址和路由器网关
[RT1]inter GigabitEthernet 0/0
[RT1-GigabitEthernet0/0]ip add 172.16.1.2 24
[RT1-GigabitEthernet0/0]quit
[RT1]inter GigabitEthernet 0/1
[RT1-GigabitEthernet0/1]ip add 172.16.2.2 24
[RT1-GigabitEthernet0/1]quit
[RT1]inter GigabitEthernet 0/2
[RT1-GigabitEthernet0/2]ip add 172.16.3.2 24
[RT1-GigabitEthernet0/2]quit
配置完后，因为路由器静态路由的功能，能看到互相通了
[RT1]display ip routing-table
Destinations : 16 Routes : 16
Destination/Mask Proto Pre Cost NextHop Interface
0.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0
127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0
127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0
127.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
172.16.1.0/24 Direct 0 0 172.16.1.2 GE0/0
172.16.1.2/32 Direct 0 0 127.0.0.1 InLoop0
172.16.1.255/32 Direct 0 0 172.16.1.2 GE0/0
172.16.2.0/24 Direct 0 0 172.16.2.2 GE0/1
172.16.2.2/32 Direct 0 0 127.0.0.1 InLoop0
172.16.2.255/32 Direct 0 0 172.16.2.2 GE0/1
172.16.3.0/24 Direct 0 0 172.16.3.2 GE0/2
172.16.3.2/32 Direct 0 0 127.0.0.1 InLoop0
172.16.3.255/32 Direct 0 0 172.16.3.2 GE0/2
224.0.0.0/4 Direct 0 0 0.0.0.0 NULL0
224.0.0.0/24 Direct 0 0 0.0.0.0 NULL0
255.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
三台机器也可以相互ping通。假设我不想让PC3连到PC2，我可以在路由器的GE0/0添加限制
配置规则
[RT1]acl number 2000
[RT1-acl-ipv4-basic-2000]rule deny source 172.16.1.0 0.0.0.255
在GE0/0启用规则
[RT1]int g0/0
[RT1-GigabitEthernet0/0]firewall packet-filter 2000 inbound
比较尴尬的一点是，HCL上的路由器貌似识别不了firewall的命令，所以本次就不继续演示了。其实命令也展示的差不多了，配置规则，然后再指定接口启用规则就可以了。
总结
路由器的访问控制能力，是否有用或者有用到什么程度得看具体场景。如果是同公司的两个分区（A、B）通过互联网相连，A里的服务只允许B访问，虽然可以通过ACL控制，但不安全啊。意味着只要进入B公司连入内网就可以访问了。
