访问控制列表 (ACL) 是网络安全中使用的重要工具，用于控制对网络资源的访问。在 Cisco 路由器和交换机中，有两种类型的 ACL：标准 ACL 和扩展 ACL。
标准 ACL
标准 ACL 基于源 IP 地址过滤数据包。它们使用 32 位掩码来匹配源 IP 地址的特定部分，并且仅支持单个 IP 地址或连续 IP 地址范围。
标准 ACL 的特点：
- 基于源 IP 地址过滤数据包
- 使用 32 位掩码进行匹配
- 只支持单个 IP 地址或连续 IP 地址范围
- 编号从 1 到 99
- 每条规则最多可指定 255 个动作（允许或拒绝）
扩展 ACL
扩展 ACL 比标准 ACL 更灵活和强大。它们可以基于源 IP 地址、目标 IP 地址、协议、源端口和目标端口过滤数据包。此外，它们支持更广泛的匹配选项，包括通配符、范围和按位比较。
扩展 ACL 的特点：
- 可以基于源 IP 地址、目标 IP 地址、协议、源端口和目标端口过滤数据包
- 支持通配符、范围和按位比较
- 编号从 100 到 199
- 每条规则最多可指定 255 个动作（允许或拒绝）
标准 ACL 和扩展 ACL 的比较
下表比较了标准 ACL 和扩展 ACL 的主要特性：
| 特征 | 标准 ACL | 扩展 ACL |
|---|---|---|
| 匹配条件 | 源 IP 地址 | 源 IP 地址、目标 IP 地址、协议、源端口、目标端口 |
| 匹配选项 | 32 位掩码 | 通配符、范围、按位比较 |
| 编号范围 | 1-99 | 100-199 |
| 每条规则的最大动作数 | 255 | 255 |
使用标准 ACL 和扩展 ACL
标准 ACL 通常用于简单的访问控制场景，例如允许或拒绝特定 IP 地址范围访问网络。扩展 ACL 适用于更复杂的场景，例如基于端口或协议过滤数据包，或创建更细粒度的访问控制规则。
举个例子
假设您想允许来自特定子网（例如 192.168.1.0/24）的计算机访问您的网络，但拒绝来自其他所有来源的计算机访问。您可以使用以下标准 ACL：
access-list 1 permit ip 192.168.1.0 0.0.0.255
access-list 1 deny ip any any
或者，您可以使用以下扩展 ACL：
access-list 101 permit ip 192.168.1.0 0.0.0.255 any
access-list 101 deny ip any any any
结论
标准 ACL 和扩展 ACL 是用于控制网络访问的两种不同类型的访问控制列表。标准 ACL 基于源 IP 地址进行简单的过滤，而扩展 ACL 提供更灵活的过滤选项，包括目标 IP 地址、协议和端口。根据您要实现的安全级别和访问控制要求，选择合适的 ACL 类型至关重要。
