Question

h3c acl 的一道题

360. 客户的路由器MSR-1的GE0/0接口下连接了一台三层交换机，而此三层交换机是其所连接的客户办公网络的多个网段的默认网关所在。MSR-1通过串口S1/0连接到Internet。全网已经正常互通，办公网用户可以访问Internet。在该路由器上添加如下ACL配置：
firewallenable
aclnumber3004
rule0denyipsource192.168.1.00.0.0.255
rule5permittcpsource192.168.0.00.0.255.255
rule10permiticmp
同时将ACL3004应用在GE0/0的inbound方向，那么______。（选择一项或多项）
A. 该路由器允许192.168.2.0/24网段的用户对Internet发出的FTP数据流通过
B. 该路由器允许所有用户的ICMP报文通过
C. 该路由器禁止192.168.1.0/24网段用户对Internet的所有IP流量通过
D. 该路由器允许192.168.1.0/24网段用户对Internet的WWW业务流量通过　

请问选哪两个？ 原因是什么呢？聘请高人解答。

Answer 1

aclnumber3004
rule0denyipsource192.168.1.00.0.0.255
rule5permittcpsource192.168.0.00.0.255.255
rule10permiticmp
三条下发到G0/0的in方向。
也就是禁止192.168.1.0到所有目的地址的访问
允许192.168.0.0/16但除192.168.1.0的tcp数据通过
允许icmp报文通过。
A.正确的。2.0段的tcp和icmp被放行，匹配rule5
B。对的。匹配rule10
C。错。icmp协议可通过。匹配入了10
D。错。192.168.1.0与192.168.0.0的反掩码比较。越小越优先，也就是如果地址重合匹配子网掩码小的。也就是rule0

Answer 2

答案 AC
rule0denyipsource192.168.1.00.0.0.255是拒绝所有IP的访问 所以对FTP没限制
rule5permittcpsource192.168.0.00.0.255.255 是放行所有TCP服务 FTP是TCP服务
C是正确的 因为rule0denyipsource192.168.1.00.0.0.255拒绝了所有IP服务

Answer 3

1.对，因为2.0网络的tcp是被rule5允许的，而ftp用的就是tcp。
2.错，icmp是要封装到ip里的，而1.0的网络在rule0被拒绝了，1.0的icmp也是拒绝的。
3.对 原因同上，1.0被拒绝了，只要一检查到ip是1.0内的，就拒绝，不再往下检查。
4.错，原因同上。

Answer 4

答案 AC
rule0denyipsource192.168.1.00.0.0.255是拒绝所有IP的访问 所以对FTP没限制
rule5permittcpsource192.168.0.00.0.255.255 是放行所有TCP服务 FTP是TCP服务
C是正确的 因为rule0denyipsource192.168.1.00.0.0.255拒绝了所有IP服务