cisco 交换ACL 配置求解

Question

ip access-list extended vlan10_acl
permit ip 192.168.10.0 0.0.0.255 192.168.10.0 0.0.0.255
deny ip 192.168.10.0 0.0.0.255 192.168.0.0 0.0.255.255 拒绝与192.168其他段互访
permit ip any any 允许除denyIP外所有IP访问
permit ip host 192.168.1.22 host 192.168.10.55 第二条deny生效，这条还有用？
permit ip host 192.168.10.55 host 192.168.1.22
permit ip any host 192.168.2.142
permit ip host 192.168.2.142 any
ip access-list extended vlan_acl
permit ip 192.168.1.0 0.0.0.255 192.168.1.0 0.0.0.255
permit tcp any host 192.168.10.55 eq 1000 第二条deny生效，下面含这条还有用？
permit tcp any host 192.168.10.55 eq 2000
permit tcp any host 192.168.10.55 eq 3000
permit tcp host 192.168.10.55 eq 1000 any
permit tcp host 192.168.10.55 eq 2000 any
permit tcp host 192.168.10.55 eq 3000 any
permit ip host 192.168.6.155 host 192.168.10.55

ACL列表优先级是？

Answer 1

permit ip host 192.168.1.22 host 192.168.10.55 第二条deny生效，这条还有用？
这条其实是多余的，因为上面的是 permit ip any any ，ACL通过规则顺序匹配，
所以这条是没有用的。

permit tcp any host 192.168.10.55 eq 1000 第二条deny生效，下面含这条还有用？
一个接口下只能挂一个ACL ，不能挂多个，所以没有优先级的说法，

记住，挂一个ACL之后，里面的规则是优先匹配 ，一条一条往下匹配，若匹配到，
便执行，不再往下匹配。

追问

一个接口挂一个ACL
我把vlan10_acl赋予10段vlan
在把vlan_acl赋予其他段的VLAN
如果我在vlan10_acl这个vlan里面加入禁止其他段访问（即其他段无法访问10段）
在vlan_acl加入让192.168.1.50访问10段
那192.168.1.50到底能不能访问10段？

追答

不能，永远记住联通的过程是双向的，有去有回，有去无回属于黑洞，不可以通信的。

Answer 2

在4510上做吧，acl一般是做到3层交换机上，但是现在的话，你的3560应该只是在当二层交换机用。 acl规则还应该是先配置先生效的，注意下顺序吧 ...楼主...

Answer 3

最后隐藏拒绝所有 就是拒绝允许过后的其他所有