工控安全是工业控制系统中至关重要的一个领域，它涉及到设备的稳定运行和生产安全。工控设备访问权限配置是保障工控系统安全的关键措施之一，通过精细化的访问控制，可以防止未经授权的访问，减少潜在的安全风险。
工控扩展访问控制列表（ACL）是一种常用的技术，用于限制网络流量并提升工控网络性能。它提供了对工控通信流量的精确控制，能基于源地址、目的地址、端口号和协议来决定哪些数据包被允许通过，哪些被拒绝。标准ACL通常只基于源或目的IP地址做过滤，而工控扩展ACL则更加强大，它允许基于更多的条件进行过滤，如TCP或UDP端口，这使得安全策略的制定更加灵活。例如，可以通过以下命令禁止所有主机通过TCP协议访问192.168.1.1的WWW服务：
```text
Router(config)#access-list 101 deny tcp any host 192.168.1.1 eq www
```
配置好扩展ACL后，需要将其应用到相应的接口上，才能生效。应用命令如下：
```text
Router(config)#interface 接口名
Router(config-if)#ip access-group access-list-number {in|out}
```
`in`表示入站方向，`out`表示出站方向。若需取消应用，只需在接口配置模式下使用`no`命令：
```text
Router(config-if)#no ip access-group access-list-number {in|out}
```
除了数字标识的ACL，还有工控命名访问控制列表，它使用易于理解的名称代替数字，提高了配置的可读性和管理性。创建命名ACL的命令如下：
```text
Router(config)#ip access-list {extended or standard} name 名称
```
删除命名ACL时，可以整组删除或删除单个语句。整组删除的命令为：
```text
Router(config)#no ip access-list {extended or standard} name 名称
```
删除单个语句则需要进入ACL配置模式，并指定要删除的规则：
```text
Router(config-std/exd-xxx)#no ACL语句
```
工控命名访问控制列表的一大优势在于，它可以更方便地管理和调整访问控制策略，对于大型复杂网络，这种灵活性和可管理性的提升尤为关键。
工控设备访问权限配置是工控安全中的基础实践，通过合理配置和应用扩展ACL或命名ACL，可以有效地保护工控网络，防止未授权的访问，增强系统的安全性。理解并熟练掌握这些技术，对于获取工控安全职业证书和实际操作中的安全防护都是非常必要的。
