问几个ACL的问题

wangbin2010jy

1、对于某些ACL的条目，可以permit 和deny交叉用吗？系统会不会先执行deny

-----PCA (192.168.1.2)------(1.1)--Route----(2.1)---------PCB (192.168.2.2)------
以上的图假 采用RACL的方式，做标准的ACL，怎么让PCA ping不通PCB ，PCB可以ping 的通PCA。还是必须要用扩展ACL的方式做ICMP的类型方式？

谢谢大神的回答

Necui

ACL是按顺序执行的，只要匹配到合适的规则就停止，和permit、deny的顺序没关系；
可以在Router上192.168.1.1接口使用扩展ACL来限制PCA ping PCB；
标准的只能匹配ip地址，除了ping包外其它的数据也会被过滤，不能满足你的要求；
ACL命令：
#icmp request的type为8
access-list 100 deny icmp host 192.168.1.2 host 192.168.2.2 8
access-list 100 permit ip any any
然后在192.168.1.1接口上调用：
ip access-group 100 in

ackca

标准的应该不行，我没想到办法，扩展的虽然可以，但感觉你的问题没有什么实际意义

小乔

默认每条ACL都是有序号 第一条是10  第二条是20 .....  是以序号的先后的顺序执行  不是管允许还是拒绝标准的ACL 满足不了你的要求  ping是有个回包过程 标准只能做禁止访问 没法弄

h19

ping包有echo和echo-reply两种，想要让一个通一个不通，把其中一个的echo-repy包deny即可

f1662

zou8412

有一种acl叫做自反acl

wangbin2010jy

谢谢各位了

Eric_tor

Thanks.

nuwjazz

thanks