Question

ACL如何配置拒绝vlan访问服务器上的http和DNS服务？

图中的实验基本都已经配置成功，请问第5个要求的ACL应该如何配置呢？

Answer 1

r3(config)#access-list permit tcp 192.168.1.2 0.0.0.255 host 1.1.1.1 eq http //允许指定IP段访问指定IP的指定服务
r3(config)# access-list 110 permit tcp 192.168.1.2 0.0.0.255 host 1.1.1.1 eq dns
r3(config)#access-list 110 permit tcp 192.168.1.3 0.0.0.255 host 1.1.1.1 eq http
r3(config)# access-list 110 permit tcp 192.168.1.3 0.0.0.255 host 1.1.1.1 eq dns
r3(config)# access-list 110 deny ip any any
r3(config)#int f0/1
r3(config-if)#ip access-group 110 in 在端口中实现。
指定四个语句，允许访问的两个服务到1.1.1.1这样不至将来填加一个1.1.1.2的服务的时候，会默认给阻止掉了。

上面两个仁兄，思路没问题，第一个要建立两个ACL，但是一个接口的同一个方向，只能用一条ACL，所以你配置两个ACL，行不通。 第二个DENY192.168.1.0的网段思路没问题。可是这样这个IP访问其他服务器的这两个服务的时候，就会阻止，而且，你这个还少一个any 关键字。

Answer 2

在你的R3上配置如下条目：
ip access-list extend vlan2
permit tcp 192.168.2.0 0.0.0.255 host 1.1.1.1 eq 80
permit udp 192.168.2.0 0.0.0.255 host 1.1.1.1 eq dns
deny ip any any
ip access-list extend vlan3
permit tcp 192.168.3.0 0.0.0.255 host 1.1.1.1 eq 80
permit udp 192.168.3.0 0.0.0.255 host 1.1.1.1 eq dns
deny ip any any

Answer 3

在R3上配置acl，禁止vlan1访问http和dns。
r3(config)#ip access-list extended nohttpdns 命名访问控制列表
r3(config-ext-nacl)# deny tcp 192.168.1.1 0.0.0.255 eq http 禁止http
r3(config-ext-nacl)# deny tcp 192.168.1.1 0.0.0.255 eq dns 禁止dns
r3(config-ext-nacl)# permit ip any any 允许其他
r3(config)#int f0/1
r3(config-if)#ip access-group nohttpdns in 在端口中实现。

Answer 4

还要就近应用，OUT上设置