当应用中转　ACL　时,请牢记这些建议。　log　关键字可用于提供有关给定协议的源和目标的其他详细信息。虽然使用日志关键字增量　CPU利用率的此关键字提供重要的见解到ACL命中详细资料,对ACL条目的额外的命中。与日　志记录相关的性能影响因平台而异。　q　对于因管理原因而被　ACL　拒绝的数据包,将生成　ICMP　不可达消息。这可能会影响路由器和链　路性能。请考虑使用　no　ip　unreachables　命令,以便在部署有中转(边缘)ACL　的接口上禁用　Ip　不可达功能。　q　开始时可以使用所有　permit　语句部署此　ACL,以便确保不会拒绝企业合法数据流。一旦企业合　法数据流被识别并且占了,特定拒绝元素可以被配置。　q　ACL　和分段数据包　ACL　含有一个　fragments　关键字,用于启用专门的分段数据包处理行为。通常情况下,在不考虑　ACL　中的第　4　层信息时,与第　3　层语句匹配的非初始分段(协议、源地址和目标地址)均受匹配条　目的　permit　或deny　语句的影响。注意使用片段关键字能强制ACL对拒绝或允许与更多粒度的非初　始片段。　过滤片段添加一个另外的层防护使用仅非初始片段的拒绝服务攻击(例如FO　>　0)。在ACL　的开头处　针对非初始分段使用　deny　语句可以拒绝所有非初始分段访问路由器。在少见情况下,如果拒绝片　段语句存在于ACL,有效的会话也许要求分段并且被过滤。可能导致分段的情况包括使用数字证书　进行　ISAKMP　身份验证和使用　IPSec　NAT　Traversal。　例如,请考虑此处显示的部分　ACL。　access-list　110　deny　tcp　any　Internet　routable　subnet　fragments　access-list　110　deny　udp　any　Internet　routable　subnet　fragments　access-list　110　deny　icmp　any　Internet　routable　subnet　fragments　　而不分段的信息包或初始分段通过对未受影响的ACL的下条线路拒绝片段语句,添加这些条目到　ACL的初期拒绝对网络的所有非初始片段访问。由于每个协议(UDP、TCP　和ICMP)都会增加　ACL　上的单独计数,上述　ACL　代码片断还能有助