单选题在一台Cisco路由器的g3/1端口封禁端口号为139的TCP和端口号为1434的UDP连接，并封禁ICMP协议，只允许212.15.41.0/26子网的ICMP数据包通过路由器，正确的access-list配置是______。

A、 Router(config)#ip access-list extended filterRouter(config-ext-nacl)#permit icmp 212.15.41.0 255.255.255.192 anyRouter(config-ext-nacl)#deny icmp any anyRouter(config-ext-nacl)#deny udp any any eq 1434Router(config-ext-nacl)#deny tcp any any eq 139Router(config-ext-nacl)#permit ip any anyRouter(config-ext-nacl)#exitRouter(config)#interface g3/1Router(coufig-if)#ip access-group filter inRouter(config-if)#ip access-group filter out
B、 Router(config)#ip access-list extended filterRouter(config-ext-nacl)#permiticmp 212.15.41.0 0.0.0.192 anyRouter(config-ext-nacl)#deny icmpany anyRouter(config-ext-nacl)#denyudp any any eq 1434Router(config-ext-nacl)#denytcp any any eq 139Router(config-ext-nacl)#permit ip any anyRouter(config-ext-nacl)#exitRouter(config)#interface g3/1Router(config-if)#ip access-group filter inRouter(config-if)#ip access-group filter out
C、 Router(config)#ip access-list standard filterRouter(config-std-nacl)#permit icmp 212.15.41.0 0.0.0.63 anyRouter(config-std-nacl)#deny icmp any anyRouter(config-std-nacl)#deny udp any any eq 1434Router(config-std-nacl)#deny tcp any any eq 139Router(config-std-nael)#permit ip any anyRouter(config-std-nacl)#exitRouter(config)#interface g3/1Router(config-if)#ip access-group filter inRouter(config-if)#ip access-group filter out
D、 Router(config)#ip access-list extended filterRouter(config-ext-nacl)#permit icmp 212.15.41.0 0.0.0.63 anyRouter(config-ext-nacl)#deny icmp any anyRouter(config-ext-nacl)#deny udp any any eq 1434Router(config-ext-nacl)#deny tcp any any eq 139Router(config-ext-nacl)#permit ip any anyRouter(config-ext-nacl)#exitRouter(config)#interface g3/1Router(config-if)#ip access-group filter inRouter(config-if)#ip access-group filter out

【正确答案】 D

【答案解析】[解析] ①在路由器上使用访问控制列表(Access Control List，ACL)时需要注意ACL语句的顺序，因为路由器执行哪条ACL语句是按照配置的ACL中的条件语句，从第一条开始顺序执行。数据包只有在跟第一个判断条件不匹配时，才能交给ACL中的下一个语句进行比较。
②ip access-list语法格式：ip access-list extended|standard ACL表号或者表名。
③extanded多用于协议端口配置，而standard多用于IP地址配置。
④permit|deny协议名源端地址源端反掩码目的端地址目的端反掩码。
⑤配置完访问控制列表之后，还应该在端口上配置数据包的进和出。其语法格式是：ip access-groupACL表号或表名(该表号或名称应该与第2步中的表号一致)in/out(in代表数据进入，out代表数据的输出)。
选项A中第二行错误，没有使用子网掩码的反码，选项B中第二行错误，子网掩码反码计算错误，应该是0.0.0.63。由于是对协议端口配置，应该使用extanded关键字，C选项错误。故选D选项。