ACL访问控制列表：access-list 10 permit 192.168.10.1

ACL访问控制列表

标准ACL语法

1. 创建ACL

access-list <编号> <动作> <源IP> <通配符掩码> 
// 编号范围 1-99
// 动作：permit 允许 、 deny 拒绝

2. 示例

//允许192.168.1.0/24g整个网络,0.0.0.255 反掩码
access-list 10 permit 192.168.1.0 0.0.0.255

// 允许192.168.10.2单个IP通过
access-list 10 permit 192.168.10.2   

//拒绝其他所有流量
access-list 10 deny any                      

3. 应用ACL

// 语法分两步骤
// 步骤1：先选择要应用ACL的端口 如 interface g0/0
// 步骤2：通过ACL编号及方向来应用ACL，格式如下
ip access-group <编号> <方向>    
// 方向 in / out 代表流量流入/流出路由器的方向
// 示例：
interface GigabitEthernet0/0				 // 第一步，进入G0/0端口 
ip access-group 10 in   					 // 第二步，在G0/0端口的入口方向应用编号为10的ACL

实践任务：
1.部门内部可以互通，但不能访问外网，除了经理
2.经理之间可以互通
3,业务经理只允许被财务经理访问

相当于

1.每个部门都是经理可以访问外部网络,其他的只能内部访问
2.只有经理可以互相访问通讯
3.30.1只可以被10.1访问

• 完成第一步

• 1.每个部门都是经理可以访问外部网络,其他的只能内部访问

• 深绿色R2

Router>en
Router#conf t
Router(config)#access-list 10 permit 192.168.10.1
Router(config)#access-list 10 deny any 
Router(config)#int g0/2
Router(config-if)#ip access-group 10 out

• 浅绿色R3

Router>en
Router#conf t
Router(config)#access-list 10 permit 192.168.30.1
Router(config)#access-list 10 deny any 
Router(config)#int g0/2
Router(config-if)#ip access-group 10 out

• 蓝色R5

Router>en
Router#conf t
Router(config)#access-list 10 permit 192.168.20.2
Router(config)#access-list 10 deny any 
Router(config)#int g0/0
Router(config-if)#ip access-group 10 out

• 完成第一步就相当于完成第二步
  • 控制了只有经理才能访问外网，就相当于内部成员访问不到外面的网络
  • 就只有经理能访问外面的网络，就只有经理能够互相通讯

完成第三步

浅绿色R4

• 30.1只可以被10.1访问
• 这边设置3.3.3.0能通，是因为前面设置R3的·时候被限制，需要重新开启

Router>en
Router#conf t
Router(config)#access-list 10 permit 3.3.3.0 0.0.0.255
Router(config)#access-list 10 permit 192.168.10.1
Router(config)#access-list 10 deny any 
Router(config)#int g0/0
Router(config-if)#ip access-group 10 in

任务1：

 192.168.10.1 可访问外网 40.1不可以
10.1可以访问其他网络，限制40.1不可以访问外面的任何网络，内部可以

任务2：只允许192.168.20.0  访问 192.168.30.0内的主机
30.0的网络可以被20.0的网络访问，其他的外网不可以

192.168.10.1可以访问外网，192.168.40.1不可以访问外网

在多层交换机进行

Switch>
Switch>en
Switch#conf t
Switch(config)#access-list 10 permit 192.168.10.1
Switch(config)#access-list 10 deny any 
Switch(config)#int f0/2
Switch(config-if)#ip access-group 10 out

只允许192.168.20.0 访问 192.168.30.0内的主机

路由器

Router#conf t
Router(config)#access-list 10 permit 192.168.20.0 0.0.0.255
Router(config)#access-list 10 deny any 
Router(config)#int g0/1
Router(config-if)#ip access-group 10 in