ACL На loopback интерфейс?

Question

[by_slay]

Создать стандартный ACL на маршрутизаторе R1, чтобы пользователи из сети PC5 могли получить полный доступ к сети 206.65.100.225/27, а всем остальным PC запретить.
206.65.100.225/27 находиться на R1 loopback.

Comments

[fatalick]

Стандартный фильтрует только по source ip же, а у Вас условие про фильтрацию по destination ip - к конкретной подсети.

[by_slay]

fatalick: А как это реализовать ? Можете как то помощь?

[fatalick]

Вот для extented ACL:

R1(config)#access-list 101 permit ip {PC5_subnet_id PC5_wildcard} 206.65.100.224 0.0.0.31
R1(config)#access-list 101 deny ip any 206.65.100.224 0.0.0.31
R1(config)#access-list 101 permit ip any any

Поясните, зачем тут именно standard ACL и loopback?

[by_slay]

fatalick: Это задание по учебе, а именно учебная практика. Такое дали задание

[by_slay]

fatalick: А ваш ACL на какой интерфейс вешать? На loopback Не работает же ACL вообще. Вроде как то можно перегнать трафик в loopback чтоб на нем работал? Можно на любой роутер главное чтоб выполнялось условие

Answer 1

[fatalick]

Повесьте standard ACL на R1 subinterface VLAN101, out direction
running-config R1 у Вас есть?

Comments

[by_slay]

spoiler

hostname R1
!
!
!
enable secret 5 $1$mERr$9cTjUIEqNGurQiFU.ZeCi1
!
!
!
ip dhcp pool pool101
network 14.20.0.0 255.255.240.0
default-router 14.20.0.1
ip dhcp pool pool102
network 14.20.48.0 255.255.240.0
default-router 14.20.48.1
ip dhcp pool pool103
network 14.20.32.0 255.255.240.0
default-router 14.20.32.1
ip dhcp pool pool64
network 14.20.64.0 255.255.240.0
default-router 14.20.64.1
ip dhcp pool pool96
network 14.20.96.0 255.255.240.0
default-router 14.20.96.1
ip dhcp pool pool80
network 14.20.80.0 255.255.240.0
default-router 14.20.80.1
!
!
!
no ip cef
no ipv6 cef
!
!
!
!
license udi pid CISCO1941/K9 sn FTX15240PBX
!
!
!
!
!
!
!
!
!
no ip domain-lookup
!
!
spanning-tree mode pvst
!
!
!
!
!
!
interface Loopback3
ip address 206.65.100.225 255.255.255.224
ip access-group 101 in
ip access-group 101 out
!
interface GigabitEthernet0/0
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/0.101
encapsulation dot1Q 101
ip address 14.20.0.1 255.255.240.0
!
interface GigabitEthernet0/0.102
encapsulation dot1Q 102
ip address 14.20.48.1 255.255.240.0
!
interface GigabitEthernet0/0.103
encapsulation dot1Q 103
ip address 14.20.32.1 255.255.240.0
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
shutdown
!
interface Serial0/0/0
ip address 14.20.18.129 255.255.255.252
clock rate 2000000
!
interface Serial0/0/1
no ip address
clock rate 2000000
shutdown
!
interface Vlan1
no ip address
shutdown
!
router ospf 1
router-id 1.1.1.1
log-adjacency-changes
passive-interface GigabitEthernet0/0.101
passive-interface GigabitEthernet0/0.102
passive-interface GigabitEthernet0/0.103
network 14.20.32.0 0.0.15.255 area 1
network 14.20.0.0 0.0.15.255 area 1
network 14.20.48.0 0.0.15.255 area 1
network 14.20.18.128 0.0.0.3 area 1
network 206.65.101.224 0.0.0.31 area 1
network 206.65.100.224 0.0.0.31 area 1
!
ip classless
!
ip flow-export version 9
!
!
access-list 101 permit ip 14.20.80.0 0.0.15.255 206.65.100.224 0.0.0.31
access-list 101 deny ip any 206.65.100.224 0.0.0.31
access-list 101 permit ip any any
!
!
!
!
!
line con 0
password cisco
logging synchronous
login
!
line aux 0
!
line vty 0 4
password cisco
login
!
!
!
end

[fatalick]

ip access-group 101 out
Это смысла не имеет для loopback, оставьте только in, а остальное вроде верно.

[by_slay]

Все спасибо. Повесил на все входящие интерфейсы и пошло.