请使用show　access-list命令显示一计数访问控制项　(ACE)命中识别必需的协议。在为意外协议创建显式　permit　语句之前,请调查并了解任何可疑　或意外结果。　q　使用　NetFlow　交换功能。Netflow　是一个交换功能,启用该功能可提供详细的流信息。如果在　边缘路由器上启用了　Netflow,show　ip　cache　flow　命令将提供　Netflow　记录的协议的列表。　Netflow不能识别所有协议,因此必须与其他一道使用此技术。　q　标识无效数据流　除直接保护之外,传输ACL在互联网应该也提供第一个防御范围对无效的数据流特定类型的。　拒绝　RFC　1918　空间。　q　丢弃信息包和属于special-use地址空间的源地址一起,如对RFC　3330定义。　q　根据　RFC　2827　应用反欺骗过滤器;您的地址空间不应该是信息包的来源从您的自治系统　(AS)之外。　q　要考虑的其他数据流类型包括:　需要与边缘路由器通信的外部协议和　IP　地址服务提供商　IP　地址的　ICMP路由协议IPSec　VPN(如果将边缘路由器用作终端)　q　明确允许的流向　Internet　的内部连接返回数据流特定互联网控制消息协议(ICMP)类型　outbound域名系统(DNS)查询回复已建立的　TCP用户数据报协议(UDP)回程数据流FTP数据连　接TFTP　数据连接多媒体连接　q　明确允许的发往受保护的内部地址的外部源数据流VPN　数据流Internet　安全关联和密钥管理协　议(ISAKMP)网络地址转换(NAT)穿越专用封装封装安全有效载荷(ESP)认证报头(AH)Web　服务　器的　HTTP对Web服务器的安全套接字层SSLFTP　服务器的　FTP入站　FTP　数据连接入站　FTP　被动　(pasv)　数据连接简单邮件传输协议(SMTP)其他应用程序和服务器入站　DNS　查询入站　DNS　区域传输　q　应用　ACL　最近被修建的ACL应该是应用入站