关于cisco三层交换机ACL配置问题

发布网友 发布时间：2022-04-22 13:12

我来回答

共5个回答

热心网友 时间：2023-07-10 20:34

0.0.0.0 255.255.0.0这不符合逻辑
在ACL里，是反转掩码
比如拒绝192.168.0.0/16的写法是这样的：
deny ip any 192.168.0.0 0.0.255.255
反推到你的语句里的IP地址就成这样了：
0.0.0.0/0.0.255.255，这是个嘛啊？？我没见过啊。我也不理解。

你最好明确你的需求，举例说，在ACL-IN里拒绝三个子网进入路由器，分别是：
192.168.1.0/25，172.16.0.0/16，10.0.0.0/8
其他全允许，写法有两种：
第一种，ACL命名
ip access-list ext IN
deny ip 192.168.1.0 0.0.0.127 any
deny ip 172.16.0.0 0.0.255.255 any
deny ip 10.0.0.0 0.255.255.255 any
permit ip any any

第二种：ACL编号，100-199是ext acl的编号
access-list 123 deny ip 192.168.1.0 0.0.0.127 any
access-list 123 deny ip 172.16.0.0 0.0.255.255 any
access-list 123 deny ip 10.0.0.0 0.255.255.255 any
access-list 123 permit ip any any

Cisco访问列表默认策略就是拒绝所有，所以就不用再写全拒绝的命令了。

访问列表写完了，绑定到端口生效。
ACL是锁头，路由器是大门。你买了100把锁头，只有锁在大门上那把才是有用的。追问我的需求是碰到了上述可以正常运行却不符合逻辑的代码
现在又没有条件自己做实验，所以想请高手看看那些东西起什么作用
你写的东西我都知道的，不过还是谢谢！

追答我记得子网掩码是可以不连续的，比如255.0.255.0，但是为什么允许这样我就不记得了，你可以自己搜搜看看。而且只见过不连续的但以255开头的子网掩码，从未见过以0开头，255结尾的掩码。

deny ip any 0.0.0.0 255.255.0.0，反推出来，你的IP地址就是0.0.0.0 0.0.255.255，这种结构真是从未见过。建议你找个Cisco论坛比如Chinaunix、net130之类的去问问，回头也给俺这些没见过市面的人讲讲。

热心网友 时间：2023-07-10 20:34

应该使用反掩码吧。
ip access-list extended IN
deny ip any 0.0.0.0 255.255.0.0
deny ip any 0.0.0.0 255.255.224.0
deny ip any 0.0.0.0 255.255.254.0
permit ip any any
是说要拒绝任何到0.0.0.0/16的IP协议的流量，允许其他不被匹配的流量放行
ip access-list extended OUT
deny ip 0.0.0.0 255.255.0.0 any
deny ip 0.0.0.0 255.255.224.0 any
deny ip 0.0.0.0 255.255.254.0 any
permit ip any any
是说要拒绝0.0.0.0/16的地址到任何地方的IP协议的流量，允许其他不被匹配的流量放行
流量经过设备才能起到过滤的作用。

热心网友 时间：2023-07-10 20:34

deny 是拒绝通信的IP,子网掩码， permit是允许通信的IP,IP,子网掩码，在进（in)和出（out)方向，不允许255.255.255.0.0 255.255.224.0 255.255.254.0 ，三个子网内的主机对外通信。

热心网友 时间：2023-07-10 20:35

access-list in extended permit ip any interface inside
access-list out extended permit ip any interface outside
access-list in extended deny ip any 0.0.0.0 255.255.0.0
access-list in extended deny ip any 0.0.0.0 255.255.224.0
access-list in extended deny ip any 0.0.0.0 255.255.254.0
access-list out extended deny ip any 0.0.0.0 255.255.0.0
access-list out extended deny ip any 0.0.0.0 255.255.224.0
access-list out extended deny ip any 0.0.0.0 255.255.254.0
cisco爱好者，瞎琢磨的，看看对吗？呵呵。

热心网友 时间：2023-07-10 20:36

你说这些控制列表能用？你怎么试出来的？
如你的第一句：
deny ip any 0.0.0.0 255.255.0.0
推算过来是 拒绝ip 所有 到 0.0.0.0 0.0.255.255 有这样的掩码结构吗？ 真没见过