思科 ACL

Posted 2020-09-10

router(config)#ip access-list extend V1
router(config-acl)#permit ip any host 192.167.0.2
router(config-acl)#permit ip any host 192.167.0.3
router(config-acl)#deny ip any any
router(config-acl)#ip access-list extend V3
router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255
router(config-acl)#permit ip host 192.167.0.2 192.168.1.0 0.0.0.255
router(config-acl)#deny ip any 192.168.1.0 0.0.0.255
router(config-acl)#permit ip any any
router(config-acl)#interface vlan1
router(config-inf)#ip access-group V1 in
router(config-inf)#interface vlan3
router(config-inf)#ip access-group V3 in
以上配置效果：VLAN1只能访问192.167.0.2和.3这两个地址，其他地址均无法访问；VLAN3能访问除192.168.1.0/24这个网段外所有地址（0.2和0.3两个地址可以访问192.168.1.0/24这个网段）。
如果要使VLAN1能够访问其他地址V1就这样定义：
router(config)#ip access-list extend V1
router(config-acl)#permit ip any host 192.167.0.2
router(config-acl)#permit ip any host 192.167.0.3
router(config-acl)#deny ip any 192.168.1.0 0.0.0.255
router(config-acl)#permit ip any any