acl禁止一个ip段某些连续ip地址，怎么做设置。

Question

3560划分ip地址范围10.1.11.0/24,我想禁止10.1.11.1--10.1.11.128访问外部网络,其它的所有ip允许访问.怎么做设置了？
acl禁止一个ip段内的某些连续ip地址访问外网，怎么做设置。

Answer 1

10.1.11.1--10.1.11.128算出掩码为：255.255.255.128

所以通配符为：0.0.0.127

下面是配置：
en
conf t
ip access-list 1 deny 10.1.11.0 0.0.0.127
ip access-list 1 permit any

end
int s0/0（这是你的网关的内部接口）
ip access-group in
注意：以上命令是配置在网关上面，也就是连接外网的路由器上面。

不懂请追问

追问

还有那我要是允许10.1.11.128--10.1.11.254这段的范围呢？然后禁止any any。该怎么写了？

追答

ip access-list 1 permit 10.1.11.128 0.0.0.127
不用写deny语句，自带的是隐式deny

追问

哦，我明白了。那我要是10.1.11.128--10.1.11.254；10.1.12.128--10.1.12.254；10.1.13.128--10.1.13.254........一直到10.1.31.128--10.1.31.254； 这些地址写成ip access-list 1 permit语句。
怎么写了？能否汇总到一起直接写呢？ 谢谢。

追答

不是正好的连续地址，无法汇总，若果是从10.1.0.128--10.1.0.254开始的或者是从10.1.16.128--10.1.16.254开始的就可以汇总的