permit ip any any
int vlan 4
ip access-group fi-main in
ip access-list extend fi-access-limit
evaluate r-main
deny ip any 10.1.4.0 0.0.0.255
permit ip any any
int vlan 5
ip access-group fi-access-limit in
int vlan 6
ip access-group fi-access-limit in
现在对反向ACL新增加的内容一一解释如下：
新增了一个ACL(fi-main)并应用在具备访问权限的接口下(财务部所在的vlan4)的in方向，使用该acl中具备reflect关键字的acl条目来捕获建立反向ACL条目所需要的信息。我们将该ACL称为主ACL。
reflect r-main timeout xxx：其中的reflect关键字表明该条目能够用于捕获建立反向的ACL条目所需要的信息。r-main是reflect组的名字，具备相同reflect组名字的任何的ACL条目为一个reflect组。timeout xxx表明由这条ACL条目所建立起来的反向ACL条目在没有流量的情况下，多长时间后会消失（缺省值为300秒），单位为秒。
evaluate r-main：我们注意到在fi-access-limit(我们把他称为反ACL)增加了这样一句，这一句的意思是有符合r-main这个reflect组中所定义的acl条目的流量发生时，在evaluate语句所在的当前位置动态生成一条反向的permit语句。
反向ACL的局限性：
必须使用命名的ACL，其实这不能叫局限性，应该算注意事项吧；
对多通道应用程式如h323之类无法提供支持。
好了，到现在我们从IP ACL的基础知识讲起，中间讲述了标准的IP ACL、扩展的IP ACL、基于名字的ACL、基于时间的ACL、反向ACL等诸多内容，这些ACL在ios的基本IP特性集中都能提供支持，在一般的企业网或校园网中也应该完全够用了。假如各位看官还需要了解更加深入的知识，如CBAC之类能够为多通道应用程式提供良好支持的配置技术的，请参考《Cisco IOS Security Configuration Guide，Part 3: Traffic Filtering and Firewalls》。
“站住！”，70正想开溜，只听那网管一声大吼，“有什么办法能知道ACL都过滤了从哪儿来，到哪儿去的流量？？”。呵呵，刚才忘记说了，您只需要在需要记录的acl条目的最后加一个log关键字，这样在有符合该ACL条目数据包时，就会产生一条日志信息发到您的设备所定义的日志服务器上去。谢谢大家的捧场，本文到此为止。
文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!
