中转访问控制列表:在网络边缘执行过滤　Contents　Introduction　中转过滤器　典型设置　中转　ACL　部分　如何开发中转　ACL　标识必需协议　标识无效数据流　应用　ACL　ACL　示例　ACL　和分段数据包　风险评估　附录　常用协议和应用程序　部署指南　部署示例　Related　Information　Introduction　本文提供了指南和建议的配置技巧,以便在您的网络入口点过滤传输和边缘数据流。传输访问控制　列表(ACL)通过明确地只允许要求的数据流通过您的网络,以增加网络的安全性。　中转过滤器　典型设置　在多数边缘网络环境里,例如典型的企业网络互联网Point　of　Presence,应该用于进入过滤下降未　经授权的流量在网络的边缘。在某些服务提供商配置,边缘或中转流量过滤的此表可能有效也用于　对特定仅允许的协议限制中转流量流到/从用户。本文重点介绍企业部署模型。　此示例描述一个典型的企业　Internet　连接设计。两个边缘路由器(即IR1　和IR2)提供与　Internet　的直接连接。在这两路由器后,一个对防火墙(在本例中的Cisco　PIXes)提供状态检测功能和存取对　于内部网络和非敏感区域(DMZ)。DMZ　包含多种公用服务,如DNS　和Web;这是可从公用　Internet　直接访问的唯一网络。不应该直接地由互联网获取内部网络,但是从内部网络发出的数据　流一定能到达互联网网站。　应该配置边界路由器通过使用Inbound　ACL提供第一个安全级别。ACL允许特别地仅允许的数据流　对DMZ并且允许访问互联网的内部用户的回程数据流。应在输入接口上删除所有未经授权的数据流　。　中转　ACL　部分　一般说来,中转　ACL　由四个部分组成。　丢弃非法来源和信息包和源地址一起在您的网络内属于从进入网络从外部源的地址和special-　use反电子欺骗条目Note: RFC　1918　定义　Internet　上作为无效源地址的保留地址空间。　RFC　3330　定义可能需要过滤的专用地址。　RFC　2827　提供反欺骗指南。　q　明确允许的流向　Internet　的内部连接返回数据流　q　明确允许的发往受保护的内部地址的外部源数据流　q　显式　deny　语句Note: 虽然所有　ACL　都包含隐式　deny　语句,但Cisco　推荐使用显式　d