在路由器上怎么限制某一机器上不了外网

tangf85

拓朴如下：

路由是华为的，配置如下：
[Router]dis cur
  Now create configuration...
  Current configuration
  !
    version 1.74
    local-user sunyf-af service-type administrator password simple 197742
    nat address-group 222.34.92.115 222.34.92.115 1
    nat address-group 121.70.20.67 121.70.20.67 2
    nat address-group 222.34.95.9 222.34.95.9 3
    nat address-group 222.34.88.119 222.34.88.119 4
    firewall enable
    aaa-enable
    aaa accounting-scheme optional
  !
  acl 2002 match-order config
    rule normal permit source any
  !
  interface Aux0
    async mode flow
    link-protocol ppp
  !
  interface Ethernet0
    ip address 222.34.88.119 255.255.255.0
    nat outbound 2002 address-group 4
  !
  interface Ethernet1
    ip address 10.10.10.1 255.255.255.0
  !
  quit
  ip route-static 0.0.0.0 0.0.0.0 222.34.95.1 preference 61
  ip route-static 0.0.0.0 0.0.0.0 222.34.88.1 preference 61
  !
  return
我想让192.168.1.1上不了外网需要怎么做？

tangf85

对华为的设备不熟悉呀，在上面试了好几个acl了都没用 。
哪们帮忙看看。

ssffzz1

你在ACL 2002里DENY掉不就OK了。

tangf85

你在ACL 2002里DENY掉不就OK了。
ssffzz1 发表于 2010-07-22 20:23

    acl 2002 match-order config
    rule normal permit source any
    rule normal deny soure 192.168.1.1 0 source any
是这样吗？设置过192.168.1.1.1依然能上。

ssffzz1

把2条RULE的规则调过来啊。

tangf85

回复 5# ssffzz1


    调过来也是一样阻止不了。太奇怪了。

dreamhunter

路由器是10的地址，下面主机是192的，难道防火墙做了路由？
如果防火墙做了路由，你的配置里应该有静态路由信息的啊。
防火墙没有做nat吧？

aplah

没做nat的话防火墙下发网段就应该不是192的了

旁路?看着也不像啊，lz还是说清楚点

tangf85

问题解决了.防火墙应该是做的nat，是symantec的墙不熟悉不会配置，也没找到nat相关的设置，只好把要限制的机器的路由指向一个错误的网关。
不过这样也实现的要达到的目的。