什么是自反ACL

自反 ACL 允许最近出站数据包的目的地发出的应答流量回到该出站数据包的源地址。这样您可以更加严格地控制哪些流量能进入您的网络，并提升了扩展访问列表的能力。

网络管理员使用自反 ACL 来允许从内部网络发起的会话的 IP 流量，同时拒绝外部网络发起的 IP 流量。此类 ACL 使路由器能动态管理会话流量。路由器检查出站流量，当发现新的连接时，便会在临时 ACL 中添加条目以允许应答流量进入。自反 ACL 仅包含临时条目。当新的 IP 会话开始时（例如，数据包出站），这些条目会自动创建，并在会话结束时自动删除。

与前面介绍的带 established 参数的扩展 ACL 相比，自反 ACL 能够提供更为强大的会话过滤。尽管在概念上与 established 参数相似，但自反 ACL 还可用于不含 ACK 或 RST 位的 UDP 和 ICMP。established 选项还不能用于会动态修改会话流量源端口的应用程序。permit established 语句仅检查 ACK 和 RST 位，而不检查源和目的地址。

自反 ACL 不能直接应用到接口，而是“嵌套”在接口所使用的扩展命名 IP ACL 中。

自反 ACL 仅可在扩展命名 IP ACL 中定义。自反 ACL 不能在编号 ACL 或标准命名 ACL 中定义，也不能在其它协议 ACL 中定义。自反 ACL 可以与其它标准和静态扩展 ACL 一同使用。

自反ACL的优点

自反 ACL 具有以下优点：

帮助保护您的网络免遭网络黑客攻击，并可内嵌在防火墙防护中。

提供一定级别的安全性，防御欺骗攻击和某些 DoS 攻击。自反 ACL 方式较难以欺骗，因为允许通过的数据包需要满足更多的过滤条件。例如，源和目的地址及端口号都会检查到，而不只是 ACK 和 RST 位。

此类 ACL 使用简单。与基本 ACL 相比，它可对进入网络的数据包实施更强的控制。