Ip access-group номер acl in | out
Здесь:
номер ACL - ссылка на номер активизируемого списка доступа;
in- требование фильтрации входящего (inbound) трафика;
out- фильтрация исходящего (outbound) от маршрутизатора трафика.
Для отмены фильтрации достаточно отменить команду присоединения, поставив перед ней ключевое слово no.
Пример 1. В сети (рис.1) ограничить весь трафик станции 192.168.1.1 только под-сетью 192.168.1.0.
Подсеть 192.168.1.0 Подсеть 192.168.5.0
192.168.1.1 192.168.5.4
Рис.1.Двухсегментная сеть с маршрутизатромCisco
Задачу можно решить с помощью фильтра ACL1 для входящего трафика на интер-фейсеe0:
Cisco# configure terminal
Cisco(config)# access-list 1 deny host 192.168.1.1
Cisco(config)# access-list 1 permit any
Cisco(config)# interface ethernet e0
Cisco(config-if)# ip access-group 1 in
В результате любой трафик от станции 192.168.1.1 в подсеть 192.168.5.0 и от этой под-сети к станции будет заблокирован.
Пример 2. В сети (рис.1) разрешить только станции192.168.1.1 любой трафик в под-сеть 192.168.5.0 и обратно, остальным станциям подсети 192.168.1.0 трафик в подсеть 192.168.5.0 запретить. Решение задачи (приглашенияCiscoIOSдалее не приводятся):
access-list 2 permit host 192.168.1.1
Interface ethernet e0
Ip access-group 2 in
3. Просмотр и редактирование acl
Просмотреть список доступа можно по команде (в режиме администратора):
show access-lists [номер ACL]
Команда выводит не только все правила списка, но и статистику совпадений с каждым правилом к данному моменту времени. Если номер опущен, то отображаются все ACL. Команда
Show running-config
выводит информацию о текущей конфигурации маршрутизатора, в том числе и о всех определенных списках доступа и командах их активизации.
Редактировать ранее введенные правила ACLс помощью интерпретатора команд-ной строкиCiscoневозможно. Необходимо в этом случае удалить весь списокACLи ввести его заново. Для удаленияACLесть команда (в глобальном режиме):
no access-list номер ACL
Однако редактировать правила ACLвсе же можно следующим приемом. СписокACLсначала введите не в маршрутизатор, а в текстовый вспомогательный файл. Этот файл блокнотным редактором удобно создать прямо на рабочем столе управляющего компьютераCisco.
После ввода всех правил ACLв файл и, возможно, их редактирования, выделите подготовленный список ископируйтеего в системный буфер обмена. Далее вернитесь в окно приложенияHyperterminal, перейдите в глобальный режимCiscoивставьтетекстACLиз буфера обмена в точку, указанную курсором (т.е. в начало строки ввода командACL).
Повторяя команды удаления ACL, редактированияACLво вспомогательном файле и вставки в командную строку интерпретатора команд, можно быстро отлаживать боль-шие списки доступа. Чтобы не вводить каждый раз вручную команду удаления преды-дущегоACL, начните вспомогательный файл непосредственно с команды удаления.