CISCO4507想做最干净的控制访问列表，但不知道如何正确写，望高手指点下

cubzsd

如题，4507想只开放DNS，邮件，WWW基本端口，其余全部封杀，但是发现自己如果只开放这些，把PC和交换机联系的端口也封杀了，想问熟手，应该怎么正确表达策略

[ 本帖最后由 cubzsd 于 2008-8-26 13:49 编辑 ]

ssffzz1

感觉很奇怪。
要不你把配置发上来吧。相关的密码部分用*代替，相关的外网IP用X代替即可。

cubzsd

难道要写个ACCESS-GROUP out 不是IN？那么这样数据会全部堵在交换机端口上吧在OUT时候过滤？

ssffzz1

PC和交换机联系的端口？
是TELNET还是SNMP，还是别的。

cubzsd

不是，如果策略只这么写，那么交换机就DROP除了上面端口的一切端口，所以CISCO4507和其余设备连接需要的正常端口也DROP了，关键就是我不知道PC网线和CISCO设备正常连接的必须端口是什么，上面策略以应用PING都PING不通设备了，因为给DROP了。

cnadl

做个单独的vlan给你自己用

cubzsd

原帖由 cnadl 于 2008-8-26 14:05 发表
做个单独的vlan给你自己用

晕啊，不是啊，核心路由器4507，我现在要吧48个千兆口全部用这策略，不给用户上所有乱七八糟的东西。我的目的只有一个，只开放必须端口，别的都封

我可能有思路了，写一个开放全部的IN，写一个部分开放的out做过的人指导下啊，思路对否

ssffzz1

我估计你是搞混了。你所说的封端口指的是逻辑端口，处于传输层的一个接口。
而你说的和PC连的是物理端口，这2个端口没有关系的。

另外你说的ping不通的问题你可以加一条规则即可：

pemit icmp any any

灭神

在核心路由器4507的外网口做ACL ，启用标准列表和扩展访问控制列表对 进来 的数据包和协议进行过滤

cubzsd

原帖由 ssffzz1 于 2008-8-26 14:12 发表
我估计你是搞混了。你所说的封端口指的是逻辑端口，处于传输层的一个接口。
而你说的和PC连的是物理端口，这2个端口没有关系的。

另外你说的ping不通的问题你可以加一条规则即可：

pemit icmp any any

没混啊，我知道开ICMP可以PING啊，但是必须放的端口还有哪些我不知道，明白吗，只开这些网是不通的80也不能访问，明白？