001 实验：先将2台路由器配置成静态路由 要全部都通
002 按要求在B OUT方向做一个ACL 禁止192.168.0.0 网段的机器过来
RB(config)#ip access-list standard 1
RB(config-std-nacl)#deny 192.168.0.0 0.0.0.255
----------------------注意 思科的区别 是用反码
RB(config-std-nacl)#permit any
003 在端口OUT方向禁止
RB(config)#int f0/0
RB(config-if)#ip acc
RB(config-if)#ip access-group 1 out
——————————————————
如果这个时候在A路由器上加多一个3.0的网段 就可以ping通了
————————————————————————————
————————————————————————————————
004 做一个实验 不加permit any
RB(config)#ip access-list standard 1
RB(config-std-nacl)#deny 192.168.0.0 0.0.0.255
————————————————————————————
005 再做一个IN方向的实验 看怎么才能做？？？按要求在B IN方向做一个ACL 禁止192.168.0.0 网段的机器过来
——————————————————————
006 先将刚才的ACL表去掉
C #no ip access-list standard 1
如何去掉端口的限制？？？
no ip access-group 1 out
看是否恢复正常
________________________________________
007 现在来禁止单个主机IP地址
RB(config)#ip access-list standard 1
RB(config-std-nacl)#deny 192.168.0.2
RB(config-std-nacl)#permit any
这个时候如果加多一个0.3 会发现OK了
——————————————————————————
008 按要求在B IN方向做一个ACL 禁止192.168.0.0 网段的机器过来；如果这样做行不行?
RB(config)#ip access-list standard 1
RB(config-std-nacl)#deny 192.168.0.0 0.0.0.255
RB(config)#int s2/0
RB(config-if)#ip access-group 1 in
————————————————————————————
009 按要求在B IN方向做一个ACL 只允许主机192.168.0.2机器过来OUT
RB(config)#ip access-list standard 1
RB(config-std-nacl)#permit host 192.168.0.2
B(config-std-nacl)#deny any
——————————————————————————————————
扩展访问控制列表
扩展IP访问控制列表的编号为100至199，并且功能更加灵活。例如，要阻止192.168.0.45主机Telnet流量，而允许Ping流量。
RA(config)#ip access-list extended 120
RA(config-ext-nacl)#deny tcp ?
RA(config-ext-nacl)#deny tcp 192.168.3.0 0.0.0.255 192.168.2.2 255.255.255.0 eq
RA(config-ext-nacl)#deny tcp 192.168.3.0 0.0.0.255 192.168.2.2 255.255.255.0 eq ?
RA(config-ext-nacl)#deny tcp 192.168.3.0 0.0.0.255 192.168.2.2 0.0.0.0 eq 23
——————————————————————————————————————————
deny(禁止) 协
议 源IP地址/网段 反掩码 目的IP地址/网段 反掩码 eq 端口
------------------注意 扩展访问控制列表 这句是用反掩码
就比如 你是IP对IP 那就是：
ROA(config)# deny ip 10.651.1 0.0.0.255 10.74.1.1 0.0.0.0
******禁止A网段（源网段）下的某协议（或某端口）访问B网段（目的网段）
router（config）#access-list 表号 permit ip any any
注：扩展ACL默认情况下所有的网络也被设置为禁止，所以应该放行其他的网段。
router（config）#interface 接口 **********进入想要应用此ACL的接口
router（config-if）#ip access-group 表号 out/in ******激活该接口下咋访问控制列表，并根据实际情况设置此接口为OUT/in。
————————————————————————————————————————————
RA(config-ext-nacl)#permit icmp any any
因为Ping命令使用网络层的ICMP协议，所以让ICMP协议通过。而Telnet使用端口23，所以将端口号为23的数据包拒绝了，最终应用到某一接口，这样就可以达到目的。