一：不区分数字和命名：ciscoasa(config)# access-list out permit  tcp host 192.168.1.0 eq 23 ho

二：正掩码：和router不一样，如果写反掩码ASA会报错，但是router不会

三：ACL只对穿越流量起作用，不影响抵达自身的流量

四：ACL产生log，permit默认无记录，deny的流量产生log，logID号106023，通过

ciscoasa(config)# logging message 106023 level notifications更改默认级别

五：ACL里的ACE简称是ACL的列表项，可以支持标记

六：icmp命令，先说一下防火墙的包进入接口后检查状态化信息，如果是已有列表，则不参考ACL的定义，直接执行出街口转发，所以当实验时ASA尽管deny所有，可是已放行telnet流量依然可以实现，而ICMP是一个不维持状态化信息的，所以每次抵达ASA都要去参考ACL定义

七：url 过滤有三种

    前两种是厂商服务器，websense和N2H2，还有一种是防火墙上可扩建的模块CSC-SSM，可以利用这个技术，对访问的地址，进行过滤，结合时间ACL定义上网时间