思科acl控制端口(思科acl应用到端口命令)

楼主，你好根据你的要求，我就随意画了一个拓扑图，非常简单的单臂路由，VLAN 10不能访问VLAN20 VLAN 30VLAN 20 VLAN 30可以互访VLAN 10 ,VLAN 20,VLAN30,采用PAT端口转换方式上网，PAT我就不配置了ACL如下：Router：ip access-list extended testdeny ip host 192.168.10.2 host 192.168.20.2deny ip host 192.168.10.2 host 192.168.30.2permit ip any anyinterface GigabitEthernet0/0.10encapsulation dot1Q 10ip address 192.168.10.1 255.255.255.0ip access-group test in有不懂欢迎继续提问。

第一阶段实验：配置实验环境，网络能正常通信 R1的配置：复制代码代码如下:R1>enR1#conf tR1（config）#int f0/0R1（config-if）#ip addr 10.0.0.1 255.255.255.252R1（config-if）#no shutR1（config-if）#int loopback 0R1（config-if）#ip addr 123.0.1.1 255.255.255.0R1（config-if）#int loopback 1R1（config-if）#ip addr 1.1.1.1 255.255.255.255R1（config-if）#exitR1（config）#ip route 192.168.0.0 255.255.0.0 10.0.0.2R1（config）#username benet password testR1（config）#line vty 0 4R1（config-line）#login localSW1的配置：复制代码代码如下:SW1>enSW1#vlan dataSW1（vlan）#vlan 2SW1（vlan）#vlan 3SW1（vlan）#vlan 4SW1（vlan）#vlan 100SW1（vlan）#exitSW1#conf tSW1（config）#int f0/1SW1（config-if）#no switchportSW1（config-if）#ip addr 10.0.0.2 255.255.255.252SW1（config-if）#no shutSW1（config-if）#exitSW1（config）#ip route 0.0.0.0 0.0.0.0 10.0.0.1SW1（config）#int range f0/14 - 15SW1（config-if-range）#switchport trunk encapsulation dot1qSW1（config-if-range）#switchport mode trunkSW1（config-if-range）#no shutSW1（config-if-range）#exitSW1（config）#int vlan 2SW1（config-if）#ip addr 192.168.2.1 255.255.255.0SW1（config-if）#no shutSW1（config-if）#int vlan 3SW1（config-if）#ip addr 192.168.3.1 255.255.255.0SW1（config-if）#no shutSW1（config-if）#int vlan 4SW1（config-if）#ip addr 192.168.4.1 255.255.255.0SW1（config-if）#no shutSW1（config-if）#int vlan 100SW1（config-if）#ip addr 192.168.100.1 255.255.255.0SW1（config-if）#no shutSW1（config-if）#exitSW1（config）#ip routingSW1（config）#int vlan 1SW1（config-if）#ip addr 192.168.0.1 255.255.255.0SW1（config-if）#no shutSW1（config-if）#exitSW1（config）#username benet password testSW1（config）#line vty 0 4SW1（config-line）#login localSW2的配置：复制代码代码如下:SW2>enSW2#vlan dataSW2（vlan）#vlan 2SW2（vlan）#vlan 3SW2（vlan）#vlan 4SW2（vlan）#exitSW2#conf tSW2（config）#int f0/15SW2（config-if）#switchport mode trunkSW2（config-if）#no shutSW2（config-if）#exitSW2（config）#int f0/1SW2（config-if）#switchport mode accessSW2（config-if）#switchport access vlan 2SW2（config-if）#no shutSW2（config-if）#int f0/2SW2（config-if）#switchport mode accessSW2（config-if）#switchport access vlan 3SW2（config-if）#no shutSW2（config-if）#int f0/3SW2（config-if）#switchport mode accessSW2（config-if）#switchport access vlan 4SW2（config-if）#no shutSW2（config-if）#int vlan 1SW2（config-if）#ip addr 192.168.0.2 255.255.255.0SW2（config-if）#no shutSW2（config-if）#exitSW2（config）#ip default-gateway 192.168.0.1SW2（config）#no ip routingSW2（config）#username benet password testSW2（config）#line vty 0 4SW2（config-line）#login localSW3的配置：复制代码代码如下:SW3>enSW3#vlan dataSW3（vlan）#vlan 100SW3（vlan）#exitSW3#conf tSW3（config）#int f0/15SW3（config-if）#switchport mode trunkSW3（config-if）#no shutSW3（config-if）#int f0/1SW3（config-if）#switchport mode accessSW3（config-if）#switchport access vlan 100SW3（config-if）#no shutSW3（config-if）#int vlan 1SW3（config-if）#ip addr 192.168.0.3 255.255.255.0SW3（config-if）#no shutSW3（config-if）#exitSW3（config）#ip default-gateway 192.168.0.1SW3（config）#no ip routingSW3（config）#username benet password testSW3（config）#line vty 0 4SW3（config-line）#login local网络管理区主机PC1（这里用路由器模拟）复制代码代码如下:R5>enR5#conf tR5（config）#int f0/0R5（config-if）#ip addr 192.168.2.2 255.255.255.0R5（config-if）#no shutR5（config-if）#exitR5（config）#ip route 0.0.0.0 0.0.0.0 192.168.2.1财务部主机PC2配置IP:IP地址：192.168.3.2 网关：192.168.3.1信息安全员主机PC3配置IP:IP地址：192.168.4.2 网关：192.168.4.1服务器主机配置IP:IP地址：192.168.100.2 网关：192.168.100.1第一阶段实验验证测试：所有部门之间的主机均能互相通信并能访问服务器和外网（测试方法：用PING命令）在所有主机上均能远程管理路由器和所有交换机。（在PC主机上用telnet命令）第二阶段实验：配置ACL实现公司要求1、只有网络管理区的主机才能远程管理路由器和交换机R1的配置：复制代码代码如下:R1#conf tR1（config）#access-list 1 permit 192.168.2.0 0.0.0.255R1（config）#line vty 0 4R1（config-line）#access-class 1 inSW1的配置复制代码代码如下:SW1#conf tSW1（config）#access-list 1 permit 192.168.2.0 0.0.0.255SW1（config）#line vty 0 4SW1（config-line）#access-class 1 inSW2的配置复制代码代码如下:SW2#conf tSW2（config）#access-list 1 permit 192.168.2.0 0.0.0.255SW2（config）#line vty 0 4SW2（config-line）#access-class 1 inSW3的配置复制代码代码如下:SW3#conf tSW3（config）#access-list 1 permit 192.168.2.0 0.0.0.255SW3（config）#line vty 0 4SW3（config-line）#access-class 1 in验证：在PC1可以远程TELNET管理路由器和交换机，但在其他主机则被拒绝telnet2、内网主机都可以访问服务器，但是只有网络管理员才能通过telnet、ssh和远程桌面登录服务器，外网只能访问服务器80端口。在SW1三层交换机上配置扩展ACL3、192.168.3.0/24网段主机可以访问服务器，可以访问网络管理员网段，但不能访问其他部门网段，也不能访问外网。在SW1三层交换机上配置扩展ACL4、192.168.4.0/24网段主机可以访问服务器，可以访问管理员网段，但不能访问其他部门网段，可以访问外网。在SW1三层交换机上配置扩展ACL 以上就是通过实际案例来告诉大家如何配置Cisco路由器ACL访问控制列
访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。 ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。基于ACL规则定义方式，可以将ACL分为基本ACL、高级ACL、二层ACL等种类。高级ACL根据源IP地址、目的地址、IP协议类型、TCP源/目的端口、UDP源/目的端口号、分片信息和生效时间段等信息来定义规则，对IPv4报文进行过滤。与基本ACL相比，高级ACL提供了更准确、丰富、灵活的规则定义方法。例如，当希望同时根据源IP地址和目的IP地址对报文进行过滤时，则需要配置高级ACL。就是将高级ACL应用在流策略模块，使设备可以对外网用户访问内网中服务器的报文进行过滤，达到限制外网用户访问该服务器权限的目的。配置步骤如下1.配置高级ACL和基于ACL的流分类，使设备可以基于ACL，对用户访问服务器的报文进行过滤，从而禁止外网用户访问该服务器。2.配置流行为，允许匹配上ACL的permit规则的报文通过。 3. 配置并应用流策略，使ACL和流行为生效。

CISCO交换机ACL配置方法如下： 标准访问列表配置实例：R1(config)#access-list 10 deny 192.168.2.0 0.0.0.255R1(config)#access-list 10 permit anyR1(config)#int fa0/0.1R1(config-subif)#ip access-group 10 out标准访问列表访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。它的具体格式：access-list access-list-number [permit | deny ] [sourceaddress][wildcard-mask]access-list-number 为1-99 或者 1300-1999之间的数字，这个是访问列表号。 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
看来楼主是会跳思科的设备的，具体配置我就不说了，我就跟你说下方法吧，vlan间的访问你用普通acl的话只能同时拒绝掉一来一回的通信，要想禁止单方面的访问需要用到vacl，这个是思科私有的，专门问vlan间的访问设备的访问控制列表，配置不懂得话，就上网搜下！
router#conf t router(config)#ip access-list extend V1router(config-acl)#permit ip any host 192.167.0.2router(config-acl)#permit ip any host 192.167.0.3router(config-acl)#deny ip any anyrouter(config-acl)#ip access-list extend V3router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255router(config-acl)#deny ip any 192.168.1.0 0.0.0.255router(config-acl)#permit ip any anyrouter(config-acl)#interface vlan1router(config-inf)#ip access-group V1 inrouter(config-inf)#interface vlan3router(config-inf)#ip access-group V3 in以上配置效果：VLAN1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；VLAN3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。如果要使VLAN1能够访问其他地址V1就这样定义：router(config)#ip access-list extend V1router(config-acl)#permit ip any host 192.167.0.2router(config-acl)#permit ip any host 192.167.0.3router(config-acl)#deny ip any 192.168.1.0 0.0.0.255 router(config-acl)#permit ip any any
ip access-list101permit ip 192.168.1.0 0.0.0.255host 192.167.0.2 ip access-list101permit ip 192.168.1.0 0.0.0.255host 192.167.0.3ip access-list101deny any any给我分吧。。。。 我的很符合。。嘿嘿
ip access-list extended VLAN_3 deny ip 192.167.0.0 0.0.0.255 192.168.1.0 0.0.0.255permit ip 192.167.0.0 0.0.0.255anyint vlan 3 ip access-groupVLAN_3 out

router#conf trouter(config)#ipaccess-listextendV1router(config-acl)#permitipanyhost192.167.0.2router(config-acl)#permitipanyhost192.167.0.3router(config-acl)#denyipanyanyrouter(config-acl)#ipaccess-listextendV3router(config-acl)#permitiphost192.167.0.2192.168.1.00.0.0.255router(config-acl)#permitiphost192.167.0.2192.168.1.00.0.0.255router(config-acl)#denyipany192.168.1.00.0.0.255router(config-acl)#permitipanyanyrouter(config-acl)#interfacevlan1router(config-inf)#ipaccess-groupV1inrouter(config-inf)#interfacevlan3router(config-inf)#ipaccess-groupV3in以上配置效果：VLAN1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；VLAN3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。如果要使VLAN1能够访问其他地址V1就这样定义：router(config)#ipaccess-listextendV1router(config-acl)#permitipanyhost192.167.0.2router(config-acl)#permitipanyhost192.167.0.3router(config-acl)#denyipany192.168.1.00.0.0.255router(config-acl)#permitipany any
CISCO交换机ACL配置方法如下： 标准访问列表配置实例：R1(config)#access-list10deny192.168.2.00.0.0.255R1(config)#access-list10permitanyR1(config)#intfa0/0.1R1(config-subif)#ipaccess-group10out标准访问列表访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。它的具体格式：access-listaccess-list-number[permit|deny][sourceaddress][wildcard-mask]access-list-number为1-99或者1300-1999之间的数字，这个是访问列表号。 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

你好： 首先，第一个错误点是，你这是三层交换机，你要想开启DHCP，要在接口转换成三层口，但是！你这个题，明显是要在interface vlan x 里面开启ip helper-address xxxxx.第二个在路由器的左边的接口开启ACL功能，使用：access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.4.0 0.0.0.255access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.5.0 0.0.0.255access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.5.0 0.0.0.255access-list 100 permit ip any anyinterface fx/xip access-group 100 in 谢谢