access-list-number；定义访问控制列表的编号，取值范围为1~99.
deny或permit指定了允许还是拒绝数据包。
source：发送数据包的主机地址。
source-wildcard：发送数据包的主机同配方掩码。
注：255.255.255.255等同于any；0.0.0.0等同于host。
标准访问控制列表案例：
需求分析：
禁止主机PC2访问主机PC1，而允许所有其他的流量
在哪个接口应用标准ACL
应用在入方向还是出方向
R1(config)# access-list 1 deny host 192.168.2.2
R1(config)# access-list 1 permit any
R1(config)# int f0/1
R1(config-if)# ip access-group 1 in
创建扩展访问控制列表：
Router（config）access-list access-list-number ｛deny |permit｝protocol ｛source [source-wildcard] | any} destination [destination-wildcard] | any} [protocol-specific options] [established] [log]
参数说明如下。
access-list-number：定义访问列表的编号，取值范围为1--~199.
deny或permit指定了允许还是拒绝数据包。
protocol：协议，如IP、TCP、UDP、ICMP、OSPF等。
source、destination、destination-wildcard：源地址和目标地址。
source-wildcard：通配符掩码。
protocol-specific option：指定协议选项，用it、eq、gt、neq（小于、等于、大于、不等于）加端口号来指定，如eq 80。
扩展访问控制列表案例：
案例1：
Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
Router(config)# access-list 101 deny ip any any
案例2：
Router(config)# access-list 101 deny tcp 192.168.1.0 0.0.0.255 host 192.168.2.2 eq 21
Router(config)# access-list 101 permit ip any any
案例3：
Router(config)# access-list 101 deny icmp 192.168.1.0 0.0.0.255 host 192.168.2.2 echo
Router(config)# access-list 101 permit ip any any
案例4：
- 需求描述:允许PC1访问Web服务器的WWW服务禁止PC1访问Web服务器的其它服务允许主机PC1访问网络192.168.2.0/24
- 分析在哪个接口应用扩展ACL应用在入站接口还是出站接口应用在哪台路由器上
- 配置扩展ACL并应用到接口上R1(config)# access-list 101 permit tcp host 192.168.1.1 host 192.168.3.1 eq wwwR1(config)# access-list 101 deny ip host 192.168.1.1 host 192.168.3.1R1(config)# access-list 101 permit ip host 192.168.1.1 192.168.2.0 0.0.0.255R1(config)# int f0/0R1(config-if)# ip access-group 101 in7.2.2.5配置cisco PIX防火墙（1）配置防火墙接口的名字，并制定安全级别（nameif）Firewall（config）#nameif hardware_id interface security_level（2）配置网络接口参数（interface）：配置接口的参数，如双工、速率、启动或停用。Firewall（config）#interface hardware_id [hardware_speed] [shutdown]（3）配置内外网卡的IP地址(ip address)：用手动配置一个接口上的IP地址，将一个逻辑地址添加到一个硬件ID上。Firewall（config）#ip address if_name ip_address [netmask]（4）制定外部地址的范围（floble）：把内网的IP地址翻译成外网的IP地址或一段地址范围。Firewall（config）#global (if_name) nat_id ip_address-ip_address [netmask global_mask]（5）配置地址轮换（NAT）：将内网的私有IP地址转换为外网的公有IP地址。Firewall（config）#nat （if_name) nat_id local_ip [netmask]（6）设置指向内网和外网的静态路由（route）：route告诉我们要在哪个特定的网口转发，并指定哪个网络地址。Firewall（config）#route （if_name) 0 0 gateway_ip [metric]（7）设置某些控制选项（conduit）：用于允许数据包从较低安全级别流向较高安全级别。Firewall（config）#conduit global_ip port [-port] priotocol foreign_ip [netmask]（8）设置telnet选项（telnet）：在默认情况下，PIX的以太网口是不允许telnet的，配置只能通过console口，这一点与路由器有区别。可以通过telnet命令指定那些计算机能够用telnet登录防火墙。Firewall（config）#telnet local_ip [netmask]（9）保存配置（write memory）：将运行的配置文件保存到NVRAN中。Firewall（config）#write memory（10）测试命令。Firewall（config）#pingFirewall（config）#show interfaceFirewall（config）#show staticFirewall（config）#show terminal7.2.3 入侵检测和处理策略7.2.3.1 入侵检测系统简介1.入侵检测系统的概念入侵检测系统IDS。2.入侵检测系统的功能