172.16.3.0172.16.4.0
|  |
|  |
| E0 E1|
|-------------Route---------------|  172.16.4.16
A------|  |-------B
|  <--------  |

我們采用如圖所示的網絡結構。路由器連接了二個網段，分別為172.16.4.0/24,172.16.3.0/24。在172.16.4.0/24網段中的計算機都是服務器，我們通過反向ACL設置保護這些服務器免受來自172.16.3.0這個網段的病毒攻擊。

配置實例：禁止病毒從172.16.3.0/24這個網段傳播到172.16.4.0/24這個服務器網段。

 路由器配置命令：

access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.0 0.0.0.255 established 定義ACL101，容許所有來自172.16.3.0網段的計算機訪問172.16.4.0網段中的計算機，前提是TCP連接已經建立了的。當TCP連接沒有建立的話是不容許172.16.3.0訪問172.16.4.0的。

int e 1 進入E1端口

ip access-group 101 out 將ACL101宣告出去

設置完畢后病毒就不會輕易的從172.16.3.0傳播到172.16.4.0的服務器區了。因為病毒要想傳播都是主動進行TCP連接的，由于路由器上采用反向ACL禁止了172.16.3.0網段的TCP主動連接，因此病毒無法順利傳播。

 小提示：檢驗反向ACL是否順利配置的一個簡單方法就是拿172.16.4.0里的一臺服務器PING在172.16.3.0中的計算機，如果可以PING通的話再用172.16.3.0那臺計算機PING172.16.4.0的服務器，PING不通則說明ACL配置成功。

通過上文配置的反向ACL會出現一個問題，那就是172.16.3.0的計算機不能訪問服務器的服務了，假如圖中172.16.4.13提供了WWW服務的話也不能正常訪問。解決的方法是在ESTABLISHED那句前頭再添加一個擴展ACL規則，例如：access-list 101 permit tcp 172.16.3.0 0.0.0.255 172.16.4.13 0.0.0.0 eq www

這樣根據“最靠近受控對象原則”即在檢查ACL規則時是采用自上而下在ACL中一條條檢測的，只要發現符合條件了就立刻轉發，而不繼續檢測下面的ACL語句。172.16.3.0的計算機就可以正常訪問該服務器的WWW服務了，而下面的ESTABLISHED防病毒命令還可以正常生效。

筆者所在公司就使用的這種反向ACL的方式進行防病毒的，運行了一年多效果很不錯，也非常穩定。

【相關文章】

• 專題：訪問控制列表(ACL)介紹

• 設置服務器的訪問控

• VLAN 之間的訪問控制