访问控制列表：自反ACL（GNS3）
（1）拓扑如下
地址规划如下：
（2）使用RIP协议使PC和路由器之间互通
R1(config)# router rip
R1(config-router)# network 10.0.0.0
R1(config-router)# network 192.41.1.0
R2(config)# router rip
R2(config-router)# network 10.0.0.0
R3(config)# router rip
R3(config-router)# network 10.0.0.0
R3(config-router)# network 192.41.3.0
将PC-A和PC-C路由器关闭路由并加入网关
PC-C(config)#no ip routing
PC-C(config)#int f1/0
PC-C(config-if)#ip address 192.41.3.3 255.255.255.0
PC-C(config-if)#ex
PC-C(config)#ip default-gateway 192.41.3.1
PC-A(config)#no ip routing
PC-A(config)#int f1/0
PC-A(config-if)#ip address 192.41.1.3 255.255.255.0
PC-A(config-if)#ex
PC-C(config)#ip default-gateway 192.41.1.1
测试网络连通性
PC-C ping PC-A
PC-A ping PC-A
实现全网互通，开始配置网络安全
（3）设置vty、enable、console密码（R1为例，R2、R3同样）
R1(config)#line vty 0 4
R1(config-line)#password ciscovtypa55
R1(config-line)#login
R1(config)#enable password ciscoenpa55
R1(config)#line console 0
R1(config-line)#password ciscoconpa55
R1(config-line)#login
（4）自反ACL的配置
配置拒绝外网主动访问内网，但是ICMP可不受限制
R2(config)#ip access-list extended come
R2(config-ext-nacl)#permit icmp any any
被允许的ICMP是不用标记即可进入内网
R2(config-ext-nacl)#permit udp any any
因为使用rip协议配置网络，所以要通过让udp也通过，不然网络不通
R2(config-ext-nacl)#evaluate abc
其它要进入内网的，必须是标记为abc的
R2(config-ext-nacl)#int s0/1
R2(config-if)#ip access-group come in
应用ACL
测试外网PC-C的ICMP访问内网
可以看到，ICMP可任意访问
测试外网PC-C telnet 内网
可以看到，其他流量不能进入内网
测试内网PC-A的ICMP访问外网
可以看到，内网发ICMP到外网，也正常返回了
测试内网PC-A发起telnet到外网
可以看到，其他流量不能进入外网
配置内网向外网发起的telnet被返回
telnet被记录为abc,将会被允许返回
R2(config)#ip access-list extended goto
R2(config-ext-nacl)#permit tcp any any eq telnet reflect abc timeout 60
R2(config-ext-nacl)#permit ip any any
R2(config-ext-nacl)#int s0/1
应用ACL
R2(config-if)#ip access-group goto out
查看PC-A到外网的ICMP
ICMP正常
查看内网PC-A向外网发起telnet
可以看出，此时内网发向外网的telnet因为被标记为abc，所以在回来时，开了缺口，也就可以允许返回了。
查看ACL
从图可以看到，有一条为abc的ACL为允许外网到内网的telnet，正是由于内网发到外网的telnet被标记了，所以也自动产生了允许其返回的ACL，并且后面跟有剩余时间。
自反ACL完成。
原文：https://www.cnblogs.com/ljq123/p/10939441.html