English
资源说明：配置思科路由器的自反ACL（Access Control List）是一种有效的网络安全措施，主要用于限制网络流量并提高网络性能。自反ACL可以在不增加过多复杂性的前提下，实现特定的访问控制策略，比如在本例中，我们希望通过它实现内网只能访问外网，而外网无法主动访问内网。
我们需要了解自反ACL的基本原理。自反ACL不同于传统的静态ACL，它动态地根据现有的会话（Session）信息创建规则，只允许已存在的出站流量返回，而不允许新的入站流量。这样，当内网设备发起对外网的连接时，相应的返回数据包可以通过，而外网设备试图连接内网时，会被自反ACL阻止。
配置自反ACL的步骤如下：
1. **配置路由器和默认路由**：
在本实验中，路由器R1和R3配置了各自的接口IP地址，并设置默认路由以确保IP连通性。例如，R1通过S0/0/0接口连接到R2，G0/0接口连接到内网，R2则连接内外网的接口，而R3作为外网的另一端。
2. **创建自反ACL**：
在R2上配置自反ACL。首先定义一个扩展ACL（例如ACLOUT），允许所有TCP和UDP流量通过，并指定反射为REF。然后创建另一个扩展ACL（例如ACLIN），评估REF以应用自反规则。这些ACL随后分别应用到S0/0/1接口的出站（out）和入站（in）方向。
3. **调试和验证**：
可以通过在R1和R3上开启TELNET服务，并尝试从R1 TELNET到R3来测试配置是否正确。在R2上查看访问控制列表（show access-lists）以确认自反ACL是否按预期工作。
自反ACL的特点包括：
- 永远是许可（permit）模式，因为它的目的是允许已存在的流量返回。
- 允许高层Session信息的IP包过滤，这意味着它可以基于会话状态进行决策。
- 自反ACL仅在有流量产生时临时创建，并在会话结束后自动删除，提高了效率。
- 它不直接应用到接口，而是嵌套在扩展访问列表中，然后应用到接口。
在实际网络环境中，自反ACL有助于保护内部网络免受未授权访问，特别是在需要限制外网对内网的访问时。然而，配置自反ACL需要注意，必须确保所有必要的服务和通信路径都已考虑到，以避免意外的网络中断。此外，定期检查和更新ACL配置以适应网络变化和安全需求是至关重要的。
本源码包内暂不包含可直接显示的源代码文件，请下载源码包。
