内网做了个FTP服务器和web服务器（同一VLAN），用一个公网IP分别NAT 21\80端口,没有配置ACL,一切正常。。

Question

因为我想，内网和外网都只能访问FTP服务器的21端口，web服务器的80端口，其他全部拒绝

ACL应用在VLAN的out方向
结果是：web服务器可以正常访问，外网访问FTP服务器，可以进入登录界面，用账号登录提示没有权限。。取消ACL就可以登录进去

Answer 1

有2种问题：
1、你可能FTP没设置好，没给权限，要给读、取、写入的权限
2、你还要开21、20及被动模式的端口， 被动模式的端口你可以自己设置给啥端口都可以，在FTP服务器需设置，然后再配置ACL或IPTABLES，开这几个需要的端口。

Answer 2

FTP涉及到两个端口 20和21。
我忘了CISCO这个eq FTP是不是两个口都启用了。
不过看你这情况应该是把其中一个口开了，另一个口给关了才导致这样的情况。
还是老老实实写端口号吧
https://supportforums.cisco.com/docs/DOC-2128

追问

不行，还是一样

追答

FTP有两种使用模式：主动和被动。主动模式要求客户端和服务器端同时打开并且监听一个端口以创建连接。在这种情况下，客户端由于安装了防火墙会产生一些问题。所以，创立了被动模式。被动模式只要求服务器端产生一个监听相应端口的进程，这样就可以绕过客户端安装了防火墙的问题。
一个主动模式的FTP连接创建要遵循以下步骤：
客户端打开一个随机的端口（端口号大于1024，在这里，我们称它为x），同时一个FTP进程连接至服务器的21号命令端口。此时，该tcp连接的来源地端口为客户端指定的随机端口x，目的地端口（远程端口）为服务器上的21号端口。
客户端开始监听端口（x+1），同时向服务器发送一个端口命令（通过服务器的21号命令端口），此命令告诉服务器客户端正在监听的端口号并且已准备好从此端口接收数据。这个端口就是我们所知的数据端口。
服务器打开20号源端口并且创建和客户端数据端口的连接。此时，来源地的端口为20，远程数据(目的地)端口为（x+1）。
客户端通过本地的数据端口创建一个和服务器20号端口的连接，然后向服务器发送一个应答，告诉服务器它已经创建好了一个连接。

20端口的通信应该是服务器主动连接CLIENT的request，你的ACL应用在OUT方向上，应该不会MATCH这种通信，但是TCP SYN阶段 CLIENT对这条服务器通信的RESPONSE应该包括在你的ACL里
所以
20应该改成
20 permit tcp any host 192.168.2.1 eq 20
否则这条TCP连接的SYN是成立不了的

很久没碰CISCO的设备了，表示很生疏了。

Answer 3

10 permit tcp any host 192.168.2.1 eq ftp
20 permit tcp any host 192.168.2.1 eq ftp-date
30 permit tcp any host 192.168.2.1 eq www