标准ACL和扩展ACL的基本区别
在配置路由器或防火墙时，经常会用到访问控制列表（ACL）来管理数据包的通过规则。最常见的两种是标准ACL和扩展ACL。虽然它们目的相似——控制网络流量，但使用方式和功能差别不小。
标准ACL只根据源IP地址进行判断。比如你只想让公司财务部的电脑访问服务器，就可以写一条规则，允许来自财务部门IP段的数据包通过。这种ACL简单直接，适合基础场景。
举个生活中的例子
可以把标准ACL想象成小区门口的门禁系统，只认业主的门禁卡。只要刷卡的人是登记过的住户，就放行，不关心他要去哪栋楼、做什么事。同理，标准ACL只看“你是谁”（源IP），不管“你要干什么”。
扩展ACL能做更精细的控制
而扩展ACL就不一样了，它不仅能看源IP，还能看目标IP、协议类型（比如TCP、UDP）、端口号等。这就像是小区保安不仅查你是不是住户，还要问你去几栋几号、找谁、带没带危险品。
比如你想阻止员工访问网页游戏，但又不影响正常浏览网站，就可以用扩展ACL屏蔽特定端口的游戏服务，比如封掉UDP 53端口防止DNS滥用，或者阻止访问游戏服务器的特定IP和端口组合。
配置上的直观差异
标准ACL编号通常是1-99或1300-1999，写法也简单：
access-list 1 permit 192.168.10.0 0.0.0.255这条命令意思是：允许来自192.168.10.0网段的所有流量。
而扩展ACL编号是100-199或2000-2699，规则更复杂：
access-list 101 deny tcp 192.168.10.0 0.0.0.255 any eq 80这条规则表示：拒绝来自192.168.10.0网段的设备访问任何目标的HTTP服务（端口80）。
部署位置也有讲究
标准ACL因为判断依据少，通常要放在离目标远的地方，也就是靠近源的位置。比如你想拦住某个部门上网，就得在他们连接的路由器接口上应用ACL。
而扩展ACL由于信息全面，可以放在靠近目标的位置，避免不必要的流量进入核心网络。就像公司大门设安检，可疑人员在入口就被拦下，不让他们深入办公区。
实际使用中，如果只是做简单的网络隔离，标准ACL足够用。但要是想实现精细化策略，比如限制特定应用、防病毒传播、控制P2P下载，那就得靠扩展ACL出手了。