单向访问控制列表

⑴ acl两个网段禁止互访是单项的吗

禁止。
路由器和交换机之间的数据交换是双向的，也就是说做不到单向的访问。
ACL简介：访问控制列表ACL（AccessControlList）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

⑵ 用ACL做VLAN间单向互访

你好，

以下配置及说明以Cisco配置为前提。

因为通信是相互的，所以Cisco设备中的ACL在应用中默认是双向限制的。

如何按需实现单向访问？即不能让B访问A，但允许A访问B。
假设A和B属于不同的Vlan，Vlan间的路由通过三层交换机实现。
此时有两种方法实现单向访问控制：
1）在三层交换机上做Vlan-Filter；
2）利用reflect做ACL。

基于你的拓扑结构，是采取单臂路由来实现Vlan间的通信，所以只能采取方法2，并在路由器做配置。

配置如下：（两步）

//第一步：建立访问控制列表
ip access-list extended ACL-inbound //“ACL-inbound”是自定义的ACL名称
//我并不阻止Vlan10内部的主机访问外网，为什么还要建立Vlan10站内的ACL呢？
//这是因为在这里要指定“reflect”策略，在制定站外策略（Vlan20访问Vlan10）时需要用到！
permit ip host 192.168.10.2 host 192.168.20.2 reflect ACL-Ref
//指定一个reflect策略，命名为“ACL-Ref”，在制定站外ACL时要用到
permit ip any any //允许站内任意主机到站外任意地址的访问，必配，否则Vlan10其他主机无法出站访问！

ip access-list extended ACL-outbound //站外访问控制策略
evaluate ACL-Ref //允许前面定义的reflect策略（ACL-Ref）中指定通信的返回数据
deny ip host 192.168.20.2 host 192.168.10.2 //阻止192.168.20.2访问192.168.10.2
permit ip any any //允许站外其他任意主机访问Vlan10内的任意主机

//第二步：端口应用ACL
interface fa0/0.1 //进入Vlan10的通信端口配置
ip address 192.168.10.1 255.255.255.0
ip access-group ACL-inbound in //应用站内访问控制策略“ACL-inbound”
ip access-group ACL-outbound out //应用站外访问控制策略“ACL-outbound”

以上，供参考。

⑶ 怎样配置思科路由器自反ACL 实现网段之间单向访问

1、配置路由器，并在R1、R3上配置默认路由确保IP连通性。
R1(config)#interface s0/0/0
R1(config)#ip address 192.168.12.1 255.255.255.0
R1(config)#no shutdown
R1(config)#interface g0/0
R1(config)#ip address 172.16.1.1 255.255.255.0
R1(config)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.12.2
R2(config)#interface s0/0/0
R2(config)#ip address 192.168.12.2 255.255.255.0
R2(config)#no shutdown
R2(config)#interface s0/0/1
R2(config)#ip address 202.210.23.2 255.255.255.0
R2(config)#no shutdown
R3(config)#interface loopback 0
R3(config)#ip address 3.3.3.3 255.255.255.0
R3(config)#no shutdown
R3(config)#interface s0/0/1
R3(config)#ip address 202.210.23.3 255.255.255.0
R3(config)#no shutdown
R3(config)#ip route 0.0.0.0 0.0.0.0 202.210.23.2
2、在路由器R2上配置自反ACL
R2(config)#ip access-list extended ACLOUT
R2(config-ext-nacl)#permit tcp any any reflect REF //定义自反ACL
R2(config-ext-nacl)#permit udp any any reflect REF
R2(config)#ip access-list extended ACLIN
R2(config-ext-nacl)#evaluate REF //评估反射
R2(config)#int s0/0/1
R2(config-if)#ip access-group ACLOUT out
R2(config-if)#ip access-group ACLIN in
PS：(1)、自反ACL永远是permit的;
(2)、自反ACL允许高层Session信息的IP包过滤;
(3)、利用自反ACL可以只允许出去的流量，但是阻止从外部网络产生的向内部网络的流量，从而可以更好地保护内部网络;
(4)、自反ACL是在有流量产生时(如出方向的流量)临时自动产生的，并且当Session结束条目就删除;
(5)、自反ACL不是直接被应用到某个接口下的，而是嵌套在一个扩展命名访问列表下的。
3、调试
(1)同时在路由器R1和R3都打开TELNET服务，在R1(从内网到外网)TELNET路由器R3成功，同时在路由器R2上查看访问控制列表：
R2#show access-lists
Extended IP access list ACLIN
10 evaluate REF
Extended IP access list ACLOUT
10 permit tcp any any reflect REF
20 permit udp any any reflect REF
Reflexive IP access list REF
permit tcp host 202.210.23.3 eq telnet host 192.168.12.1 eq 11002 (48 matches) (time left 268)
//以上输出说明自反列表是在有内部到外部TELNET流量经过的时候，临时自动产生一条列表。
(2)在路由器R1打开TELNET 服务，在R3(从外网到内网)TELNET路由器R1不能成功，同时在路由器R2上查看访问控制列表：
R2#show access-lists
Extended IP access list ACLIN
10 evaluate REF
Extended IP access list ACLOUT
10 permit tcp any any reflect REF
20 permit udp any any reflect REF
Reflexive IP access list REF

⑷ 如何使用acl进行vlan间的限制

你好，

以下配置及说明以Cisco配置为前提。

因为通信是相互的，所以Cisco设备中的ACL在应用中默认是双向限制的。

如何按需实现单向访问？即不能让B访问A，但允许A访问B。
假设A和B属于不同的Vlan，Vlan间的路由通过三层交换机实现。
此时有两种方法实现单向访问控制：
1）在三层交换机上做Vlan-Filter；
2）利用reflect做ACL。

基于你的拓扑结构，是采取单臂路由来实现Vlan间的通信，所以只能采取方法2，并在路由器做配置。

配置如下：（两步）

//第一步：建立访问控制列表
ip access-list extended ACL-inbound //“ACL-inbound”是自定义的ACL名称
//我并不阻止Vlan10内部的主机访问外网，为什么还要建立Vlan10站内的ACL呢？
//这是因为在这里要指定“reflect”策略，在制定站外策略（Vlan20访问Vlan10）时需要用到！
permit ip host 192.168.10.2 host 192.168.20.2 reflect ACL-Ref
//指定一个reflect策略，命名为“ACL-Ref”，在制定站外ACL时要用到
permit ip any any //允许站内任意主机到站外任意地址的访问，必配，否则Vlan10其他主机无法出站访问！

ip access-list extended ACL-outbound //站外访问控制策略
evaluate ACL-Ref //允许前面定义的reflect策略（ACL-Ref）中指定通信的返回数据
deny ip host 192.168.20.2 host 192.168.10.2 //阻止192.168.20.2访问192.168.10.2
permit ip any any //允许站外其他任意主机访问Vlan10内的任意主机

//第二步：端口应用ACL
interface fa0/0.1 //进入Vlan10的通信端口配置
ip address 192.168.10.1 255.255.255.0
ip access-group ACL-inbound in //应用站内访问控制策略“ACL-inbound”
ip access-group ACL-outbound out //应用站外访问控制策略“ACL-outbound”

以上，供参考。

⑸ IP访问列表的一般配置.. 只允许单个PC1访问网络 怎么设置

如一楼所说，可以使用Vlan访问控制策略（Vlan-Filter）来实现Vlan间的访问控制。
而根据你的应用，因为限制的是双向的通信，例如Vlan3与Vlan8不能互访，所以单纯使用ACL就可以了，并且配置简单；
如果是单向的控制，例如Vlan3可访问Vlan8，而Vlan8不能访问Vlan3，此时就可以用到Vlan-Filter。

以下方法是单纯地利用ACL来实现VLAN间的访问控制，配置如下：

假设VLAN地址划分如下：
Vlan2:192.168.2.1/24
Vlan3:192.168.3.1/24
Vlan4:192.168.4.1/24
Vlan5:192.168.5.1/24
Vlan6:192.168.6.1/24
Vlan7:192.168.7.1/24
Vlan8:192.168.8.1/24

第一步：VLAN间路由
3560(config)#ip routing
//使得VLAN间互访，若不制定，就不能实现Vlan2与其他Vlan的互访

第二步：ACL制定
ip access-list standard V3 //制定ACL命名为"V3"
permit 192.168.2.0 0.0.0.255 //允许192.168.2.0/24网段，其他网段则默认禁止
ip access-list standard V4
permit 192.168.2.0 0.0.0.255
ip access-list standard V5
permit 192.168.2.0 0.0.0.255
ip access-list standard V6
permit 192.168.2.0 0.0.0.255
ip access-list standard V7
permit 192.168.2.0 0.0.0.255
ip access-list standard V8
permit 192.168.2.0 0.0.0.255

//V3、V4...V8策略分别要应用于Vlan3、Vlan4...Vlan8中，Vlan2的访问没有限制
//ACL策略一旦应用了，未注明的都是默认禁止的，所以这里只写出允许Vlan2的地址段，其他地址段的通信都是默认禁止的

第三步：ACL应用到Vlan中
interface Vlan2
ip address 192.168.2.1 255.255.255.0 //Vlan2没有ACL策略
!
interface Vlan3
ip address 192.168.3.1 255.255.255.0
ip access-group V3 out //将访问控制列表“V3”应用到Vlan3中，针对的是来自Vlan3以外的通信，所以选择“out”
!
interface Vlan4
ip address 192.168.4.1 255.255.255.0
ip access-group V4 out
!
interface Vlan5
ip address 192.168.5.1 255.255.255.0
ip access-group V5 out
!
interface Vlan6
ip address 192.168.6.1 255.255.255.0
ip access-group V6 out
!
interface Vlan7
ip address 192.168.7.1 255.255.255.0
ip access-group V7 out
!
interface Vlan8
ip address 192.168.8.1 255.255.255.0
ip access-group V8 out

⑹ 局域网跨网段单向访问

最简单的方式是在路由器中作NAT，因为NAT是单向的
就是说192.168.0.1段IP访问192.168.1.1段IP时，路由启用NAT转换

⑺ cisco 访问控制列表ACL怎么写

非常简单的需求：
vlan 3的网段的子网掩码，我就当做是255.255.255.0了，具体的根据你自己的情况修改
access-list 100 permit ip 10.0.0.0 0.0.0.255 192.168.2.0 0.0.0.255//////这条允许vlan3只能访问vlan2，如果你不需要vlan3能出外网，那么这样一条就够了，但是如果你需要vlan3不同访问其他几个vlan的同时，还要能出外网，那么下面的4条一定要加！！！！

access-list 100 deny ip 10.0.0.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 100 deny ip 10.0.0.0 0.0.0.255 192.168.4.0 0.0.0.255
access-list 100 deny ip 10.0.0.0 0.0.0.255 192.168.5.0 0.0.0.255
access-list 100 permit ip any any

int vlan 3/////进入vlan3的SVI接口
ip access-group 100 in/////把acl调用到流量入方向

access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255////这条允许vlan2只能访问vlan1，剩下几条与上面同理
access-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
access-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
access-list 101 deny ip 192.168.2.0 0.0.0.255 192.168.5.0 0.0.0.255
access-list 101 permit ip any any
int vlan 2
ip access-group 101 in/////与上面的同理
剩下的几个vlan默认即可，就能达到需求了

你的描述需求里有一条：“vlan1，vlan4，vlan5不能访问vlan3”
但是我要告诉你vlan1，vlan4，vlan5不能访问vlan3的同时，也都不能访问vlan2
因为你的需求里有一句“vlan2只能访问vlan1”。
所以根据逻辑来说，你的需求应该是：vlan1，vlan4，vlan5不能访问vlan3和vlan2
这样会比较严谨

另外，在你写的时候建议使用命名访问控制列表（ip access-list ），这样看起来能更直观的描述每条ACL和对应的流量限制！
纯手打，不懂还可以继续问

⑻ 跨网段单向访问

一般用3层设备就可以实现 比如2个路由器或路由器加2层交换机做单臂路由 一般家用路由器是达不到这个功能的 企业级路由器可以实现 利用访问控制列表ACL access-list 100 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 然后在路由器接口或子接口上做应用就可以了
具体方法参考CISCO路由器ACL配置说明
ACL不管单向或双向都能实现 通过端口控制就可以了

⑼ 请分析访问控制列表（ACL）与包过滤防火墙的区别

ACL一般用在交换机和路由器上，应用的时候是有方向的（入方向或者出方向），我们知道数据包是有来有回的，acl只能做到单向访问限制。比如交换机上配了2个vlan，vlan10和vlan20，vlan10的192.168.10.1访问vlan20的192.168.20.1，如果在vlan10上启用acl应用在inbound方向，策略为允许192.168.10.1访问192.168.20.1，然后又在vlan20上启用acl应用在inbound方向，策略为192.168.20.1拒绝访问192.168.10.1。这种情况下其实两边都是不通的。应为从192.168.10.1ping192.168.20.1去的时候是可以到达的，但是回来的时候就让vlan20上的acl给阻止了。
但是如果交换机换成防火墙就不一样了，防火墙是基于5元组的包过滤的方式实现的访问控制，如果是上面同样的配置，那么结果就是192.168.10.1能访问192.168.20.1，反过来就不通了。
因为192.168.10.1去访问192.168.20.1的时候这条会话会别标记，能去就能会，这是跟acl的本质区别，能记录数据的来回，而acl做不到。
手打，谢谢。