ACL葵花宝典
访问控制列表使用原则
由于ACL涉及的配置命令很灵活，功能也很强大，所以我们不能只通过一个小小的例子就完全掌握全部ACL的配置。在介绍例子前为大家将ACL设置原则罗列出来，方便各位读者更好的消化ACL知识。
1、最小特权原则
只给受控对象完成任务所必须的最小的权限。也就是说被控制的总规则是各个规则的交集，只满足部分条件的是不容许通过规则的。
2、最靠近受控对象原则
所有的网络层访问权限控制。也就是说在检查规则时是采用自上而下在ACL中一条条检测的，只要发现符合条件了就立刻转发，而不继续检测下面的ACL语句。
3、默认丢弃原则
在CISCO路由交换设备中默认最后一句为ACL中加入了DENY ANY ANY，也就是丢弃所有不符合条件的数据包。这一点要特别注意，虽然我们可以修改这个默认，但未改前一定要引起重视。
由于ACL是使用包过滤技术来实现的，过滤的依据又仅仅只是第三层和第四层包头中的部分信息，这种技术具有一些固有的局限性，如无法识别到具体的人，无法识别到应用内部的权限级别等。因此，要达到端到端的权限控制目的，需要和系统级及应用级的访问权限控制结合使用。
分类
标准访问控制列表
扩展访问控制列表
基于名称的访问控制列表
反向访问控制列表
基于时间的访问控制列表
HSRP主要命令
R1(config)#interface g0/0
R1(config-if)#standby 1 ip 192.168.13.254
//启用 HSRP 功能，并设置虚拟IP 地址，1 为standby 的组号。相同组号的路由器属于同
一个HSRP 组，所有属于同一个HSRP 组的路由器的虚拟地址必须一致
R1(config-if)#standby 1 priority 120
//配置HSRP 的优先级，如果不设置该项，缺省优先级为100，该值大抢占为活动路由器的
优先权越高。
R1(config-if)#standby 1 preempt
//该设置允许该路由器在优先级是最高时成为活动路由器。如果不设置，即使该路由器权值
再高，也不会成为活动路由器。
R1(config-if)#standby 1 timers 3 10
//其中3 为HELLO time，表示路由器每间隔多长时间发送HELLO 信息。10 为HOLD time，
表示在多长时间内同组的其它路由器没有收到活动路由器的信息，则认为活动路由器故障。
该设置的缺省值分别为3 秒和10 秒。如果要更改缺省值，所有同HSRP 组的路由器的该项设
置必须一致。
R1(config-if)#standby 1 authentication md5 key-string cisco
//以上是配置认证密码，防止非法设备加入到HSRP 组中，同一个组的密码必须一致。
R1(config)#int g0/0
R1(config-if)#standby 1 track s0/0/0 30
//以上表明跟踪的是s0/0/0 接口，如果该接口故障，优先级降低30。降低的值应该选取合
