ACL на interface vlan

[NVE]

Прошу помочь понять логику ACL.
Например, необходимо разрешить доступ по rdp из сети 192.168.1.0 (vlan 10) в сеть 192.168.2.0 (vlan 20), все остальное взаимодействие между сетями запретить (внутри сетей должно быть разрешено все).
Как правильно это сделать?

ip access-list extended ACL1
permit tcp 192.168.1.0 0.0.0.255 any 192.168.2.0 0.0.0.255 3389 ace-priority 100
!
interface vlan 20
service-acl input ACL1

- это правильный вариант?

[Евгений Т]

Здравствуйте.

ACL правильный, только вешается на 10 влан.

[NVE]

Ок, я понял. Вешаем на 10ый vlan.

Получается:
ip access-list extended ACL1
permit tcp 192.168.1.0 0.0.0.255 any 192.168.2.0 0.0.0.255 3389 ace-priority 100
!
interface vlan 10
service-acl input ACL1

В этом случае внутри подсети 192.168.1.0 устройства, подключенные к этому же коммутатору, смогут взаимодействовать? Или сработает правило acl, которое все, что не разрешено по умолчанию запрещает?

[Евгений Т]

Здравствуйте.
Не смогут. Нужно добавлять разрешающее правило, чтобы смогли.
ip access-list extended ACL1
permit tcp 192.168.1.0 0.0.0.255 any 192.168.2.0 0.0.0.255 3389
permit ip any any any 192.168.1.0 0.0.0.255
Распишите более подробно ещё кто с кем должен обмениваться трафиком.

[NVE]

Имеется 2 подсети:
vlan 10 - 192.168.0.128 /28
vlan 12 - 192.168.0.144 /28

1) внутри самих vlan не должно быть никаких ограничений на взаимодействие устройств.
2) Устройства в vlan 10 должны иметь возможность взаимодействовать с устройствами в vlan 12 только по портам 161, 162, 80, 8080.
3) Устройства в vlan 12 должны иметь возможность взаимодействовать с устройствами в vlan 10 только по портам 80, 8080.
4) Взаимодействие с другими подсетями (в том числе доступ к устройствам в этих vlan по любым портам) должно быть запрещено.


ip access-list extended ACL1
permit udp 192.168.0.128 0.0.0.15 any 192.168.0.144 0.0.0.15 161 ace-priority 100
permit udp 192.168.0.128 0.0.0.15 any 192.168.0.144 0.0.0.15 162 ace-priority 110
permit tcp 192.168.0.128 0.0.0.15 any 192.168.0.144 0.0.0.15 80 ace-priority 120
permit tcp 192.168.0.128 0.0.0.15 any 192.168.0.144 0.0.0.15 8080 ace-priority 130
permit ip any any 192.168.0.128 0.0.0.15 192.168.0.128 0.0.0.15 ace-priority 140
!
ip access-list extended ACL2
permit tcp 192.168.0.144 0.0.0.15 any 192.168.0.128 0.0.0.15 80 ace-priority 100
permit tcp 192.168.0.144 0.0.0.15 any 192.168.0.128 0.0.0.15 8080 ace-priority 110
permit ip any any 192.168.0.144 0.0.0.15 192.168.0.144 0.0.0.15 ace-priority 120
!
interface vlan 10
service-acl input ACL1
!
interface vlan 12
service-acl input ACL2

Прошу подсказать верно ли такое решение?

[Евгений Т]

Должно работать.