思科acl控制端口(思科交换机端口应用acl)

router#conf trouter(config)#ipaccess-listextendV1router(config-acl)#permitipanyhost192.167.0.2router(config-acl)#permitipanyhost192.167.0.3router(config-acl)#denyipanyanyrouter(config-acl)#ipaccess-listextendV3router(config-acl)#permitiphost192.167.0.2192.168.1.00.0.0.255router(config-acl)#permitiphost192.167.0.2192.168.1.00.0.0.255router(config-acl)#denyipany192.168.1.00.0.0.255router(config-acl)#permitipanyanyrouter(config-acl)#interfacevlan1router(config-inf)#ipaccess-groupV1inrouter(config-inf)#interfacevlan3router(config-inf)#ipaccess-groupV3in以上配置效果：VLAN1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；VLAN3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。如果要使VLAN1能够访问其他地址V1就这样定义：router(config)#ipaccess-listextendV1router(config-acl)#permitipanyhost192.167.0.2router(config-acl)#permitipanyhost192.167.0.3router(config-acl)#denyipany192.168.1.00.0.0.255router(config-acl)#permitipany any
CISCO交换机ACL配置方法如下： 标准访问列表配置实例：R1(config)#access-list10deny192.168.2.00.0.0.255R1(config)#access-list10permitanyR1(config)#intfa0/0.1R1(config-subif)#ipaccess-group10out标准访问列表访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。它的具体格式：access-listaccess-list-number[permit|deny][sourceaddress][wildcard-mask]access-list-number为1-99或者1300-1999之间的数字，这个是访问列表号。 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。

你好： 首先，第一个错误点是，你这是三层交换机，你要想开启DHCP，要在接口转换成三层口，但是！你这个题，明显是要在interface vlan x 里面开启ip helper-address xxxxx.第二个在路由器的左边的接口开启ACL功能，使用：access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.4.0 0.0.0.255access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.5.0 0.0.0.255access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255access-list 100 deny ip 192.168.2.0 0.0.0.255 192.168.5.0 0.0.0.255access-list 100 permit ip any anyinterface fx/xip access-group 100 in 谢谢

先设置你的交换机的IP，设置VLAN 1的IP为192.168.1.254，然后设置的PC的IP为192.168.1.1255.255.255.0网关为254，把PC接入到交换机，能PING到VLAN1的IP192.168.1.254，然后在交换机WEB界面设置好允许TELNET登录，然后从你的PC上，在命令行模式下TELNET交换机的VLAN1的192.168.1.254，输入你的用户名和密码，enable进入特权模式，在特权模式下输入Switch-2960(config)#defaultintfacefastEthernet0/3回车，就可以把端口恢复成默认设置如果你觉得担心VLAN的信息没有，有两种方案A.在做defaultintface以前，先在CLI的特权模式下shrunintfa0/3把fa0/3下的配置复制出来，保存在文本中，在文本中把VLAN的信息删除，等defaultintface后再把文本信息在特权模式下复制进去就OK了B.在特权模式下intfa0/3进入接口模式，直接noipaccess-groupSecWiz_Fa0_3_in_ipin 就OK了
HX-2960-08(config-if)# no ip access-group SecWiz_Fa0_3_in_ip in 此条命令删除Fa0/3上的的 SecWiz_Fa0_3_in_ip这条策略 ，但是交换机上还会存在这条策略 HX-2960-08（config）# no ip access-list Extended SecWiz_Fa0_3_in_ip此命令删除该交换机上SecWiz_Fa0_3_in_ip 这条策略你可以依次完成上面两条命令 不好意思，我看错了， 以为是路由器..

CISCO交换机ACL配置方法如下： 标准访问列表配置实例：R1(config)#access-list 10 deny 192.168.2.0 0.0.0.255R1(config)#access-list 10 permit anyR1(config)#int fa0/0.1R1(config-subif)#ip access-group 10 out标准访问列表访问控制列表ACL分很多种，不同场合应用不同种类的ACL。其中最简单的就是标准访问控制列表，标准访问控制列表是通过使用IP包中的源IP地址进行过滤，使用访问控制列表号1到99来创建相应的ACL。它的具体格式：access-list access-list-number [permit | deny ] [sourceaddress][wildcard-mask]access-list-number 为1-99 或者 1300-1999之间的数字，这个是访问列表号。 访问控制列表简称为ACL，访问控制列表使用包过滤技术，在路由器上读取第三层及第四层包头中的信息如源地址，目的地址，源端口，目的端口等，根据预先定义好的规则对包进行过滤，从而达到访问控制的目的。该技术初期仅在路由器上支持，近些年来已经扩展到三层交换机，部分最新的二层交换机也开始提供ACL的支持了。
看来楼主是会跳思科的设备的，具体配置我就不说了，我就跟你说下方法吧，vlan间的访问你用普通acl的话只能同时拒绝掉一来一回的通信，要想禁止单方面的访问需要用到vacl，这个是思科私有的，专门问vlan间的访问设备的访问控制列表，配置不懂得话，就上网搜下！
router#conf t router(config)#ip access-list extend V1router(config-acl)#permit ip any host 192.167.0.2router(config-acl)#permit ip any host 192.167.0.3router(config-acl)#deny ip any anyrouter(config-acl)#ip access-list extend V3router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255router(config-acl)#deny ip any 192.168.1.0 0.0.0.255router(config-acl)#permit ip any anyrouter(config-acl)#interface vlan1router(config-inf)#ip access-group V1 inrouter(config-inf)#interface vlan3router(config-inf)#ip access-group V3 in以上配置效果：VLAN1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；VLAN3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。如果要使VLAN1能够访问其他地址V1就这样定义：router(config)#ip access-list extend V1router(config-acl)#permit ip any host 192.167.0.2router(config-acl)#permit ip any host 192.167.0.3router(config-acl)#deny ip any 192.168.1.0 0.0.0.255 router(config-acl)#permit ip any any
ip access-list101permit ip 192.168.1.0 0.0.0.255host 192.167.0.2 ip access-list101permit ip 192.168.1.0 0.0.0.255host 192.167.0.3ip access-list101deny any any给我分吧。。。。 我的很符合。。嘿嘿
ip access-list extended VLAN_3 deny ip 192.167.0.0 0.0.0.255 192.168.1.0 0.0.0.255permit ip 192.167.0.0 0.0.0.255anyint vlan 3 ip access-groupVLAN_3 out

理解的有问题，acl列表挂在哪个接口其实无所谓，主要是in和out的区别在于一个能不能进路由器，一个能不能出路由器而已，你挂在e1接口用out，控制的是流量自左向右能不能出的问题，而流量自右向左是完全没有影响的，根据你的语句来看，允许所有的源用www端口访问172.16.4.13这个主机是你控制的内容，后面列表自动执行deny ip any any，那么你的172.16.3.0不能ping 172.16.4.0很正常，因为执行规则是必须要完全匹配，不完全匹配会看列表的下一项，你允许的只是所有人访问172.16.4.13并且还得是用www端口才可以，缺一不可，否则就会执行那条deny any any的表项了，所以你用3.0去ping 4.0其他的主机会不通就是因为这个 建议你这样写access-list 101 per tcp any 172.16.4.13 0.0.0.0 eq wwwaccess-list 101 deny ip any 172.16.4.13 0.0.0.0access-list 101 per ip any any这样的话，只能用www去访问172.16.4.13，其他方式都不可以，并且你要访问其他的流量也会放行，最终强调，acl是必须完全匹配才会执行，执行后列表后面的表项一概忽略，但如果不匹配则会看列表的下一项 希望能帮到你