构建访问控制列表（数据包跟踪器）

Question

我正在尝试配置访问列表，但这让我抓狂。

Network Topology Packet tracer file

ACL规则

服务器网络

 来自麦德林的用户网络和来自卡利的客户网络在网络上不允许回显请求。

 仅允许来自麦德林和波哥大的管理员网络进行 Telnet 访问

行政网络

 在这个网络中有来自波哥大的网络管理人员。

 此网络有一个仅供内部用户使用的 HTTP 服务器和来自麦德林网络服务器的服务器

 此网络可以在任何地方发出回应请求。

 Eco 请求只允许麦德林的服务器和管理网络。

财经网

 只有位于麦德林的管理网络和服务器的用户才能将请求回显到服务器。

 网络中有一台 IP 地址为 172.16.0.10 的服务器。提供两种服务，HTTP，FTP 和 DHCP

 Web 服务必须可供公司的任何用户和任何 Internet 用户使用。

 FTP 服务应该只对管理网络和服务器网络的用户可用。

 服务器可能会在管理网络和服务器麦德林以外的任何地方请求回应请求。

客户网络

 客户网络包含可供他们使用的 HTTP 服务器以及波哥大和麦德林的管理网络。

 只有来自管理网络的用户才能发出回应请求。  只允许从位于麦德林的服务器网络访问互联网和服务。 我对这个规则感到困惑

用户网络

 网络用户只能通过波哥大访问互联网。

 由于麦德林网络服务器

，从波哥大和麦德林到行政网络的回应请求被阻止

 仅允许从位于麦德林的服务器网络和波哥大的行政网络访问互联网和服务

这是麦德林路由器的 mi 配置

access-list 101
deny icmp 172.17.2.0 0.0.0.127 192.168.20.0 0.0.0.63 echo
deny icmp 10.0.0.0 0.0.0.63 192.168.20.0 0.0.0.63 echo
deny icmp host 172.16.0.10 192.168.30.0 0.0.0.127 echo
deny icmp host 172.16.0.10 192.168.20.0 0.0.0.63 echo
permit ip any any
access-list 102
deny icmp 172.17.2.0 0.0.0.127 192.168.1.0 0.0.0.255 echo
deny icmp 172.17.2.0 0.0.0.127 192.168.20.0 0.0.0.63 echo
deny icmp 172.17.2.0 0.0.0.127 192.168.30.0 0.0.0.127 echo
access-list 1
permit 192.168.30.0 0.0.0.127
permit 192.168.1.0 0.0.0.255
interface FastEthernet0/0
ip access-group 101 out
interface FastEthernet1/1
ip access-group 102 out
line vty 0 4
access-class 1 in
password cisco
login

波哥大路由器

access list 101
permit tcp 192.168.20.0 0.0.0.63 192.168.1.0 0.0.0.255 eq www
permit icmp 192.168.20.0 0.0.0.63 192.168.1.0 0.0.0.255 echo
permit icmp 192.168.30.0 0.0.0.127 192.168.1.0 0.0.0.255 echo
access list 102
permit icmp 192.168.30.0 0.0.0.127 host 172.16.0.10 echo
permit icmp 192.168.20.0 0.0.0.63 host 172.16.0.10 echo
permit tcp 192.168.30.0 0.0.0.127 host 172.16.0.10 eq ftp
permit tcp 192.168.20.0 0.0.0.63 host 172.16.0.10 eq ftp
permit tcp any host 172.16.0.10 eq www
interface FastEthernet0/0
ip access-group 102 out
interface FastEthernet0/1
ip access-group 101 out

Cali 路由器

access list 101
permit tcp 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.63 eq www
permit tcp 192.168.30.0 0.0.0.127 10.0.0.0 0.0.0.63 eq www
permit icmp 192.168.30.0 0.0.0.127 10.0.0.0 0.0.0.63 echo
permit icmp 192.168.1.0 0.0.0.255 10.0.0.0 0.0.0.63 echo
interface FastEthernet0/0
ip access-group 101 out

Answer 1

看， Packet Tracer 非常不可靠。如果您想可靠地模拟您的配置，请使用 GNS3 模拟器。 Packet Tracer 有问题，大部分功能和详细命令都直接缺失，而那些已实施的功能和命令也有问题，并且没有按预期运行。

我没有阅读您的完整描述和配置，没有时间阅读，但假设您的配置正确，请使用 GNS3。这样一来，您就可以肯定地知道如果某些东西不起作用，那么它肯定就不起作用了。

Answer 2

试试写这个语法：

Router(config)#access-list 101 permit tcp host 192.168.2.3 host 192.168.2.2 eq 80
Router(config)#access-list 101 permit tcp host 192.168.2.2 host 192.168.2.2 eq 80

然后写下你的ip。

https://www.mediafire.com/file/iz8e5j0klw8ayn4/ACL_Test_With_TFTP_Server.rar/file

我设计了实验室 ACL，我写了自己的命令和解释，我在这个 link

上传文件

构建访问控制列表（数据包跟踪器）

Build Access Control List (packet tracer)

list

acl

cisco