Network Cisco ACLs

1.设计一个访问列表，允许来自主机 152.5.35.83 和 104.2.64.33 的 IP 流量，允许来自网络 185.25.0.0/16 上所有主机的 IP 流量，并拒绝所有其他 IP 流量。在接口 E2 上入站调用访问列表。

2.设计一个访问列表，允许从位于 101.54.32.2 的服务器到子网 149.23.8.0/24 上的所有主机的 Web 流量，允许网络 39.0.0.0/8 和子网 197.2.5.96/27 上的主机之间的任一方向 ping，并拒绝其他所有内容。将此访问列表在路由器的 Serial0/0/0 端口上的出站方向上生效。

求这两个例子的标准答案，以及讲解
初学ACLs，好多不懂的地方

第一个例子的访问列表：

access-list 1 permit ip host 152.5.35.83 any
access-list 1 permit ip host 104.2.64.33 any
access-list 1 permit ip 185.25.0.0 0.0.255.255 any
access-list 1 deny ip any any

这个访问列表允许来自主机152.5.35.83和104.2.64.33的IP流量，允许来自网络185.25.0.0/16上所有主机的IP流量，并拒绝所有其他IP流量。

在接口E2上入站调用访问列表：

interface E2
ip access-group 1 in

将访问列表1应用于接口E2的入站方向，以实现上述的IP流量控制。

第二个例子的访问列表：

access-list 2 permit tcp host 101.54.32.2 149.23.8.0 0.0.0.255 eq 80
access-list 2 permit icmp 39.0.0.0 0.255.255.255 197.2.5.96 0.0.0.31
access-list 2 permit icmp 197.2.5.96 0.0.0.31 39.0.0.0 0.255.255.255
access-list 2 deny ip any any

这个访问列表允许从位于101.54.32.2的服务器到子网149.23.8.0/24上的所有主机的Web流量，允许网络39.0.0.0/8和子网197.2.5.96/27上的主机之间的任一方向ping，并拒绝其他所有内容。

将此访问列表在路由器的Serial0/0/0端口上的出站方向上生效：

interface Serial0/0/0
ip access-group 2 out

将访问列表2应用于路由器的Serial0/0/0端口，以实现上述的IP流量控制。

解释：
访问列表（Access List，也称为ACL）用于在路由器或防火墙上控制和过滤IP流量。它可以根据源或目标IP地址、协议类型、端口号等条件来允许或拒绝流量通过。

在第一个例子中，访问列表1允许来自主机152.5.35.83和104.2.64.33的IP流量，允许来自网络185.25.0.0/16上所有主机的IP流量，并拒绝所有其他IP流量。通过将访问列表1应用于接口E2的入站方向，可以限制只有指定IP流量可以进入该接口。

在第二个例子中，访问列表2允许从位于101.54.32.2的服务器到子网149.23.8.0/24上的所有主机的Web流量，允许网络39.0.0.0/8和子网197.2.5.96/27上的主机之间的任一方向ping，并拒绝其他所有内容。通过将访问列表2应用于路由器的Serial0/0/0端口的出站方向，可以控制只有符合这些条件的IP流量可以离开该端口。

参考 https://blog.csdn.net/fly_view/article/details/122315822

Network Cisco ACLs
设计一个访问列表，


进入交换机之后输入
ip access-list extended A001     #创建一个ACL名称为A001

# 开启准许对内DHCP
permit udp any any eq bootps
## 如果不用这个功能，用户的ISP就不能为其分配一个DHCP IP地址

# 添加一个网段允许通过某一台服务器或电脑
permit ip 10.31.188.0 0.0.3.255 host 10.120.20.81
permit              ## 允许通过
ip 10.31.188.0      ## 需要进行设置ACL的网段或者单独IP地址
0.0.0.255           ## 子网掩码，在这边设置的都是反子网掩码，可以使用反子网掩码计算机进行查看

大致的过程实现，没有测试过，仅供参考下：
允许来自主机 152.5.35.83 和 104.2.64.33 的 IP 流量，允许来自网络 185.25.0.0/16 上所有主机的 IP 流量，并拒绝所有其他 IP 流量。

access-list 1 extended permit ip host 152.5.35.83  
access-list 1 extended permit ip host 104.2.64.33  
access-list 1 extended permit ip network 185.25.0.0/16  
access-list 1 deny ip

将此访问列表在接口 E2 上入站调用访问列表。

interface ethernet2  
ip access-group 1 in

允许从位于 101.54.32.2 的服务器到子网 149.23.8.0/24 上的所有主机的 Web 流量，允许网络 39.0.0.0/8 和子网 197.2.5.96/27 上的主机之间的任一方向 ping，并拒绝其他所有内容。


access-list 2 extended permit tcp host 101.54.32.2 host 149.23.8.0 port eq www  
access-list 2 permit icmp any any 
access-list 2 deny ip any any

将此访问列表在路由器的 Serial0/0/0 端口上的出站方向上生效。


interface serial0/0/0  
ip access-group 2 out

可以在路由器中设置ip过滤

在路由器防火墙设置

ip access-list extended ALLOW_IP_TRAFFIC
permit ip any host 152.5.35.83 104.2.64.33
permit any any from network 185.25.0.0 0.0.0.255
deny ip any any

interface E2
ip access-group ALLOW_IP_TRAFFIC in

ip access-list extended ALLOW_WEB_TRAFFIC
permit icmp any any from any to any eq 101.54.32.2
permit ip any any from any to any eq 197.2.5.96/27
permit ip any any from any to any eq 39.0.0.0/8
deny icmp any any

interface Serial0/0/0
ip access-group ALLOW_WEB_TRAFFIC out

TechWhizKid参考GPT回答：

那么，我们来看下你的问题。

你想要允许来自特定 IP 地址和一个特定网络的流量，并拒绝所有其他流量。在接口 E2 上入站调用访问列表。这将使用标准 ACL（只基于源 IP 地址过滤）。我们将使用 10 作为访问列表的数字（Cisco ACL 编号可以在 1-99 和 1300-1999 之间为标准，而在 100-199 和 2000-2699 之间为扩展）。让我们创建该 ACL。
```
Router(config)# access-list 10 permit 152.5.35.83
Router(config)# access-list 10 permit 104.2.64.33
Router(config)# access-list 10 permit 185.25.0.0 0.0.255.255
Router(config)# access-list 10 deny any
Router(config)# interface E2
Router(config-if)# ip access-group 10 in
```
这些命令是什么意思呢？每条 access-list 10 permit ... 命令都是在允许一条规则。我们为每个你想要允许的 IP 地址和网络添加一条规则。最后，我们添加了 access-list 10 deny any，以阻止所有其他的流量。然后，我们将此访问列表应用到接口 E2 的入站流量。
这个需求更复杂，需要使用扩展 ACL（可以基于源和目标 IP 地址、协议类型和端口号过滤）。我们会创建一个新的 ACL（我们使用 100 作为这个 ACL 的编号）并将其应用到 Serial0/0/0 接口的出站流量。
```
Router(config)# access-list 100 permit tcp host 101.54.32.2 149.23.8.0 0.0.0.255 eq www
Router(config)# access-list 100 permit icmp 39.0.0.0 0.255.255.255 197.2.5.96 0.0.0.31 echo
Router(config)# access-list 100 permit icmp 197.2.5.96 0.0.0.31 39.0.0.0 0.255.255.255 echo-reply
Router(config)# access-list 100 deny ip any any
Router(config)# interface Serial0/0/0
Router(config-if)# ip access-group 100 out
```
这些命令的含义是什么呢？首先，我们允许来自 101.54.32.2 的服务器到子网 149.23.8.0/24 的所有主机的 Web（HTTP，默认端口为 80，eq www 表示这一点）流量。然后，我们允许子网 39.0.0.0/8 和 197.2.5.96/27 之间的 ping 流量。注意这里我们需要允许两个方向的流量：echo (ping 请求) 和 echo-reply (ping 响应)。最后，我们拒绝所有其他流量，然后将此 ACL 应用于 Serial0/0/0 接口的出站流量。

引用chatgpt内容作答：
访问列表示例：

access-list 1 permit host 152.5.35.83
access-list 1 permit host 104.2.64.33
access-list 1 permit 185.25.0.0 0.0.255.255
access-list 1 deny any

interface E2
ip access-group 1 in

这个访问列表允许来自主机152.5.35.83和104.2.64.33的IP流量，允许来自网络185.25.0.0/16上所有主机的IP流量，并拒绝所有其他IP流量。访问列表编号为1。

让我们逐行解释这个访问列表：

第一行：access-list 1 permit host 152.5.35.83 允许来自主机152.5.35.83的IP流量。
第二行：access-list 1 permit host 104.2.64.33 允许来自主机104.2.64.33的IP流量。
第三行：access-list 1 permit 185.25.0.0 0.0.255.255 允许来自网络185.25.0.0/16上所有主机的IP流量。这里的0.0.255.255是一个通配符掩码，用于匹配该网络上的所有主机。
第四行：access-list 1 deny any 拒绝所有其他IP流量。
最后一行：interface E2 表示接口E2，这是你要应用该访问列表的接口。
ip access-group 1 in 意味着将访问列表1应用到接口E2的入站流量上。
访问列表示例：

access-list 2 permit ip host 101.54.32.2 149.23.8.0 0.0.0.255
access-list 2 permit icmp 39.0.0.0 0.255.255.255 197.2.5.96 0.0.0.31
access-list 2 permit icmp 197.2.5.96 0.0.0.31 39.0.0.0 0.255.255.255
access-list 2 deny ip any any

interface Serial0/0/0
ip access-group 2 out

这个访问列表允许从位于101.54.32.2的服务器到子网149.23.8.0/24上的所有主机的Web流量，允许网络39.0.0.0/8和子网197.2.5.96/27上的主机之间的任一方向ping，并拒绝其他所有内容。访问列表编号为2。

让我们逐行解释这个访问列表：
第一行：access-list 2 permit ip host 101.54.32.2 149.23.8.0 0.0.0.255 允许从位于101.54.32.2的服务器到子网149.23.8.0/24上所有主机的IP流量。这里的0.0.0.255是一个通配符掩码，用于匹配该子网上的所有主机。
第二行和第三行：这两行允许网络39.0.0.0/8和子网197.2.5.96/27上的主机之间的任一方向ping流量。分别匹配ICMP协议的ping请求和ping回应。
第四行：access-list 2 deny ip any any 拒绝所有其他IP流量。
最后一行：interface Serial0/0/0 表示Serial0/0/0端口，这是你要应用该访问列表的接口。
ip access-group 2 out 意味着将访问列表2应用到Serial0/0/0端口的出站流量上。
希望这些示例能帮助你理解ACLs的基本概念和配置方式。请注意，ACL的具体语法可能会因不同的设备和操作系统而有所差异，上述示例是基于一般的Cisco网络设备。在实际配置中，请参考你所使用设备的文档和命令行提示来确保正确配置ACL。

来自GPT的回答：

访问列表示例：
sql
Copy code
ip access-list extended ACCESS-LIST-1
 permit ip host 152.5.35.83 any
 permit ip host 104.2.64.33 any
 permit ip 185.25.0.0 0.0.255.255 any
 deny ip any any

interface E2
 ip access-group ACCESS-LIST-1 in
讲解：
这个例子中，我们创建了一个访问列表（ACL）称为 ACCESS-LIST-1，并在接口 E2 的入站方向上应用这个 ACL。

ACL 的规则如下：

第一条规则允许来自主机 152.5.35.83 的 IP 流量通过。
第二条规则允许来自主机 104.2.64.33 的 IP 流量通过。
第三条规则允许来自网络 185.25.0.0/16 上的所有主机的 IP 流量通过。
最后一条规则是一个隐式的拒绝规则，它拒绝了所有其他 IP 流量。
通过在接口 E2 上应用这个 ACL，只有满足上述规则的流量才能通过该接口。其他所有的流量都会被拒绝。

访问列表示例：
sql
Copy code
ip access-list extended ACCESS-LIST-2
 permit tcp host 101.54.32.2 149.23.8.0 0.0.0.255 eq www
 permit icmp 39.0.0.0 0.255.255.255 197.2.5.96 0.0.0.31
 permit icmp 197.2.5.96 0.0.0.31 39.0.0.0 0.255.255.255
 deny ip any any

interface Serial0/0/0
 ip access-group ACCESS-LIST-2 out
讲解：
这个例子中，我们创建了一个访问列表（ACL）称为 ACCESS-LIST-2，并在路由器的 Serial0/0/0 端口的出站方向上应用这个 ACL。

ACL 的规则如下：

第一条规则允许位于 101.54.32.2 的服务器到子网 149.23.8.0/24 上所有主机的 Web 流量通过。
第二条和第三条规则允许网络 39.0.0.0/8 和子网 197.2.5.96/27 上的主机之间的任一方向的 ping 流量通过。
最后一条规则是一个隐式的拒绝规则，它拒绝了所有其他流量。
通过在路由器的 Serial0/0/0 端口的出站方向上应用这个 ACL，只有满足上述规则的流量才能从该接口出去。其他所有的流量都会被拒绝。

ACL 的语法中，可以使用不同的参数来匹配源地址、目标地址、协议、端口等信息。这些参数可以根据具体需求进行调整和修改，以实现所需的访问控制策略。初学 ACLs 可能会感到有些困惑，但通过实践和深入学习，你将能够熟练地编写和应用 ACLs。

以下答案参考newbing,回答由博主波罗歌编写：
针对你提出的两个问题，我将分别给出标准的ACL配置和相应的解释。

访问列表允许特定IP流量，拒绝其他IP流量。在接口E2上入站调用。

标准ACL配置如下：

access-list 10 permit host 152.5.35.83
access-list 10 permit host 104.2.64.33
access-list 10 permit 185.25.0.0 0.0.255.255
access-list 10 deny any

interface E2
ip access-group 10 in

解释：

第一行表示允许来自主机152.5.35.83的IP流量通过。
第二行表示允许来自主机104.2.64.33的IP流量通过。
第三行表示允许来自网络185.25.0.0/16上所有主机的IP流量通过。
第四行表示拒绝所有其他IP流量。
最后一行将访问列表10应用到接口E2的入站方向。

访问列表允许特定流量并拒绝其他流量，在路由器的Serial0/0/0端口上的出站方向上生效。

标准ACL配置如下：

access-list 20 permit tcp host 101.54.32.2 149.23.8.0 0.0.0.255 eq www
access-list 20 permit icmp 39.0.0.0 0.255.255.255 197.2.5.96 0.0.0.31
access-list 20 permit icmp 197.2.5.96 0.0.0.31 39.0.0.0 0.255.255.255
access-list 20 deny ip any any

interface Serial0/0/0
ip access-group 20 out

解释：

第一行表示允许来源于服务器101.54.32.2，目的地为子网149.23.8.0/24上的所有主机的Web流量通过。
第二行表示允许来自网络39.0.0.0/8和子网197.2.5.96/27上的主机之间的任一方向Ping流量通过。
第三行表示允许来自子网197.2.5.96/27和网络39.0.0.0/8上的主机之间的任一方向Ping流量通过。
第四行表示拒绝所有其他IP流量。
最后一行将访问列表20应用到路由器Serial0/0/0端口的出站方向。

ACL（访问列表）是一个用于控制网络流量的重要工具。它由许多规则组成，其中每个规则决定了允许或拒绝特定类型的数据包通过网络设备（如路由器或交换机）。在上面的例子中，我演示了如何配置两个不同的ACL，并将它们应用到相应的接口上。

ACL可以根据源地址、目的地址、传输协议和端口号等对流量进行过滤。每个访问列表规则都有一个允许或拒绝的条件，并且规则按照它们在访问列表中的顺序被逐个应用。一旦有匹配的规则，流量将根据该规则进行处理，后续的规则将不再被考虑。

需要注意的是，在配置ACL时，应根据具体网络环境和需求制定相应的规则。上述示例只是一种可能的实现方式，具体的配置可能因网络拓扑和需求而有所不同。

至于代码方面，ACL是一种网络设备的配置项，通常不通过编程语言的代码来实现。以上给出的配置是基于Cisco网络设备的命令行配置示例。具体实现应根据使用的设备类型和操作系统进行适当修改。

初学ACL时，可以通过阅读相关文档和教程，以及实践配置和测试ACL来加深理解和熟练操作。Cisco官方网站和网络技术论坛是获取相关信息和资源的好去处。
如果我的回答解决了您的问题，请采纳！