求cisco交换机的ACL用法及解释

Question

实例地址http://hi.baidu.com/521shanxiaogan/blog/item/a7537f167e4b661f972b43c9.html
第八步:配置访问控制列表
Switch(Config)access-list 103 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255
Switch(Config)access-list 103 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 103 permit udp any any eq bootpc
Switch(Config)access-list 103 permit udp any any eq tftp
Switch(Config)access-list 103 permit udp any eq bootpc any
Switch(Config)access-list 103 permit udp any eq tftp any
Switch(Config)access-list 104 permit ip 192.168.2.0 0.0.0.255 192.168.4.0 0.0.0.255
Switch(Config)access-list 104 permit ip 192.168.4.0 0.0.0.255 192.168.2.0 0.0.0.255
Switch(Config)access-list 104 permit udp any eq tftp any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any

第九步:应用访问控制列表
/*将访问控制列表应用到VLAN 3和VLAN 4,VLAN 2不需要*/
Switch(Config)Int Vlan 3
Switch(Config-vlan)ip access-group 103 out
Switch(Config-vlan)Int Vlan 4
Switch(Config-vlan)ip access-group 104 out
我想要问的是当第九步中将所有OUT改为IN的结果和现在有什么不一样?
还有就是这段条件的解释及效果,请高手指点下啊
Switch(Config)access-list 104 permit udp any eq tftp any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any
大家可能还没理解我的意思
我要提出的是关于第8步的ACL运用到第9步的实际效果是什么?而且需要知道的是第8步ACL的解释以及当我把第9步中的OUT改为IN后,也就是
Switch(Config)Int Vlan 3
Switch(Config-vlan)ip access-group 103 in
Switch(Config-vlan)Int Vlan 4
Switch(Config-vlan)ip access-group 104 in
这样的话这个ACL所出现的效果会是什么呢?

Answer 1

首先强调下，只有路由器才能使用ACL，或者3层交换机。

OUT就是阻止或允许从该接口流出相应流量。
IN就是流入的相应流量。

Switch(Config)access-list 104 permit udp any eq tftp any 允许所有的tftp流量穿过路由器到所有的目的地

Switch(Config)access-list 104 permit udp any eq bootpc any 允许所有bootpc协议包通过路由器并到达任何目的地

Switch(Config)access-list 104 permit udp any eq bootpc any
Switch(Config)access-list 104 permit udp any eq tftp any 后面这2条和前面一样，没有意义本回答被提问者采纳

Answer 2

小弟 孤落寡文了 我怎么只知道只有路由器上能配置ACL啊
在访问控制列表设置好 要实施在端口上时 最重要的就是IN和OUT IN是指将你的ACL设置在进入端口的位置 也就是说控制的是进入VLAN的限制(从其他位置访问到这个VLAN的限制) OUT同理就是限制的是从此VLAN要访问出去的限制
Switch(Config)access-list 104 permit udp any eq tftp any 以次为例
access-list 104 你也应该知道是什么意思不多做解释
permit 允许 也就是对你后面要加的条件先是允许的
udp 指的是你要做的访问限制是UDP协议还是TCP协议 关于TCP和UDP协议细节你再查吧 很多的
any 指的是原地址 所有
tfpt 指的是你的服务
any 指的是目标地址 所有

回答不好的地方大家多批评知道 小弟第一次回答网友问题 语言不当的地方大家多包涵!! - -!!!

Answer 3

实际效果是vlan 3中2 3可以互访不能访问其他任何IP，vlan 4中2 4可以互访不能访问其他任何IP，

如果用in,效果一样，因为我不知道vlan 3 4的IP

in的时候判断的是源地址是vlan内的地址，out的时候判断源地址是非本vlan 内的地址。
给你个例子，18 19两个不同的网段，在18网段上加访问列表，
----〉表示能够访问，---X-->表示不能访问。

ip access-l exte test_liu
deny ip host 10.24.18.5 host 10.24.19.30
permit ip any any
__________________________________________________
inter vlan 18
ip access-g test_liu in
exit
测试：18.5--X-->19.30
19.30--X-->18.5
____________________________________________________
inter vlan 18
ip access-g test_liu out
exit
测试：18.5---->19.30
19.30---->18.5
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
ip access-l exte test_liu
deny ip host 10.24.19.30 host 10.24.18.5
permit ip any any
----------------------------------------------------
inter vlan 18
ip access-g test_liu in
exit
测试：18.5---->19.30
19.30---->18.5
__________________________________________________
inter vlan 18
ip access-g test_liu out
exit
测试：18.5--X-->19.30
19.30--X-->18.5
_____________________

Answer 4

v