IN和OUT其实很好理解；IN是从端口进入路由器的数据包，OUT是从路由器端口进入另一个设备。所以大家理解IN和OUT的时候一定要弄明白IP路由转发的走向，如果不明白走向，出现问题你就无从下手，还有路由器的列表都有一个默认值，一般是否定其他所有IP包。
例如：IP ACCESS-LIST 100
PERMIT IP 202.99.100.0 255.255.255.0 ****
这样其他数据包就屏蔽了。相当于：
PERMIT IP 202.99.100.0 255.255.255.0 ****
DENY IP ANY ANY
其实列表很简单，一个要弄清方向，还要弄清端口，只要明白这两点，做什么样的列表都能解决。
当然，上面的列表可能书写上面有误：
拿个例子来解释一下：
比如有这样一个网络环境，一个路由器E0口下面有一个DNS服务器，只允许外面访问他的DNS服务，而他可以访问任何地方；
我们分析一下，得知在E0口做一个OUT方向的列表（仔细分析便知）。
然后我们这里做拿DNS和ICMP协议为例：
ACCESS-LIST 101 DENY IP ANY ANY HOST（DNS服务器） NEQ 53
ACCESS-LIST 101 DENY ICMP REQUEST ANY ANY HOST
ACCESS-LIST 101 PERMIT IP ANY ANY（必须的，不然E0下面别的机器无法上网）
当然上面的列表可能格式有误，但是条理很清楚。
做这个列表，我们要明白DNS服务器的端口号，还有要理解ICMP的封装格式，这样把列表做出来，我们才能做到，外面的主机只能利用DNS主机的域名服务，不会影响别的主机的通信，另外，DNS服务器能PING到外面的任何主机，而外面的主机PING不到DNS服务器。。希望大家看完这篇文章之后能有所理会。。。 :wink:
|
