自反acl相关问题？

bdc

RA(config)# ip access-list extended REFIN

RA(config-ext-nacl)# permit ip 192.168.1.0 0.0.0.255 any reflect aclip

这条命令自反以后是什么样的。怎么个自反法，是permit换成deny，源ip换成目的ip吗，还有隐藏的deny IP any any 自反吗？  

michael_kui

自反ACL是需要两条ACL的，去一个ACL1，回来一个ACL2。ACL1里的主机A在经过路由器时，会在ACL2上里面自动生成一个允许A返回时通过的ACL命令，这条命令就是自反的。如：

michael_kui

Ip access-list extended Boss
Permit ip 23.1.1.0 0.0.0.255 12.1.1.0 0.0.0.255 reflect DH                                                                                                                                                                           
Ip access-list extended Employee
Permit ip host 12.1.1.1 host 12.1.1.2
Evaluate DH
Interface fa 0/0
Ip access-group Boss out
Ip access-group Employee in

michael_kui

当Boss访问Employee时，在access-list extended Employee里面就会自动生成一个permit ip 12.1.1.0 0.0.0.255  23.1.1.0 0.0.0.255的命令行