思科ACL配置试题及答案解析

思科ACL配置试题及答案解析考试时间：______分钟总分：______分姓名：______一、选择题1.在思科路由器上，用于创建标准访问控制列表（StandardACL）的编号范围是？A.1-99B.1000-1999C.2000-2699D.3000-39992.以下关于标准访问控制列表（StandardACL）的描述，哪一项是正确的？A.可以根据源IP地址和目标IP地址来过滤流量。B.通常用于控制网络段的访问权限。C.默认情况下，列表中的最后一条`permitanyany`规则是隐含存在的。D.优先级高于扩展访问控制列表。3.扩展访问控制列表（ExtendedACL）主要用于什么目的？A.控制特定VLAN之间的通信。B.基于源和目标IP地址以及协议类型来精细控制流量。C.仅允许或拒绝特定主机的访问。D.限制路由器间的路由信息交换。4.在配置访问控制列表时，如果规则条目没有明确指定协议类型，那么默认情况下匹配的是哪种协议？A.TCPB.UDPC.ICMPD.所有协议5.在思科设备上配置访问控制列表（ACL）时，以下哪个命令用于进入标准ACL的配置模式？A.`ipaccess-liststandard<number>`B.`access-list<number>standard`C.`configureterminal`后直接输入ACL编号D.`ipaccess-listextended<number>`后使用`standard`子命令6.以下哪个关键字用于在访问控制列表中允许流量通过？A.`deny`B.`block`C.`permit`D.`accept`7.将配置好的访问控制列表应用到接口上，以下哪个命令参数指定了ACL检查流量的方向？A.`interface<interface-name>`B.`access-group<acl-number><direction>`C.`ipaddress<ip-address><mask>`D.`description<text>`8.当在接口上应用访问控制列表时，如果将ACL应用于接口的入方向（`in`），那么该列表将检查哪个方向的流量？A.从接口出方向到达接口的流量B.从接口入方向到达接口的流量C.接口连接的下一跳路由器的流量D.接口本地的流量9.访问控制列表（ACL）的规则条目是按照什么顺序被检查的？A.从后向前B.随机顺序C.从前向后D.由ACL编号决定10.如果一个标准ACL编号为5，其中包含规则`access-list5permit55`，那么该ACL允许哪个IP地址范围的主机访问？A./24B./24C./25D.-5511.在配置扩展访问控制列表时，以下哪个命令用于指定协议类型？A.`source`或`destination`B.`protocol`或`port`C.`network`或`host`D.`permit`或`deny`12.以下哪个命令可以用来查看已配置在接口上的访问控制列表？A.`showipprotocols`B.`showinterfaces<interface-name>`C.`showaccess-lists<number>`D.`showrunning-config|includeaccess-list`13.以下关于访问控制列表（ACL）应用的描述，哪一项是正确的？A.标准ACL和扩展ACL都可以同时应用于同一个接口的入方向。B.扩展ACL可以应用于路由器的全局配置层面。C.在同一接口上，应用了入方向ACL后，不能再应用出方向ACL。D.应用ACL时，必须指定接口名称和方向。14.在思科路由器上，如果想要禁止所有从接口GigabitEthernet0/1出方向发送的流量，应该使用以下哪个命令片段（假设ACL编号为100）？A.`access-list100permitanyany`B.`access-list100denyanyany`C.`ipaccess-group100out`D.`access-list100permitipanyany`15.访问控制列表（ACL）设计中通常遵循的原则是？A.越多的规则越好，以便覆盖所有情况。B.最小权限原则，即只允许必要的流量通过。C.规则应该尽可能复杂，以提供最强的控制。D.默认允许所有流量，然后通过少量规则进行拒绝。二、多选题1.以下哪些选项是访问控制列表（ACL）的应用层级？A.路由器接口层面B.路由器全局配置层面C.网络层设备层面D.服务器本地层面2.以下关于标准访问控制列表（StandardACL）编号的描述，哪些是正确的？A.编号范围是1-99B.编号范围是1300-1999C.通常用于控制路由器接口的访问D.默认行为是允许列表中明确允许的流量3.配置扩展访问控制列表（ExtendedACL）时，可以匹配哪些字段？A.源IP地址B.目标IP地址C.协议类型（如TCP,UDP,ICMP）D.源/目的端口号4.在思科设备上配置访问控制列表（ACL）时，以下哪些命令是正确的？A.`access-list10permitipanyany`B.`ipaccess-liststandard20`C.`access-list100permit55`D.`configureterminal`后输入`ipaccess-listextended30`5.将访问控制列表（ACL）应用到接口上时，需要注意哪些事项？A.指定正确的接口名称B.指定正确的应用方向（`in`或`out`）C.确保ACL编号与配置命令中的编号一致D.无需考虑ACL的编号范围（标准或扩展）6.以下哪些命令可以用来查看访问控制列表（ACL）的配置信息？A.`showaccess-lists`B.`showipaccess-lists`C.`showrunning-config|includeaccess-list`D.`showinterfaces|includeaccess-list`7.访问控制列表（ACL）设计原则包括哪些？A.允许优于拒绝B.规则尽可能简洁明了C.从接口出方向开始配置ACLD.定期审查和更新ACL8.以下哪些情况可能需要配置访问控制列表（ACL）？A.限制特定网络段的用户访问服务器B.防止对网络设备的非法登录尝试C.控制特定协议（如FTP）的流量D.实现网络地址转换（NAT）9.关于访问控制列表（ACL）的优先级，以下哪些描述是正确的？A.ACL的编号决定了其优先级，编号越小优先级越高B.ACL的配置顺序决定了其优先级，最后配置的规则优先级最高C.在同一应用点，不同方向的ACL优先级是独立的D.可以通过配置名称来改变ACL的优先级10.以下哪些命令片段是配置ACL应用到接口的正确示例（假设ACL编号为50）？A.`interfaceGigabitEthernet0/0`B.`ipaccess-group50in`C.`access-list50applyin`D.`interfaceSerial1/1/0`E.`ipaccess-group50out`三、配置题1.假设网络拓扑如下：-服务器地址为00/24-网络A地址为/16-网络B地址为/16-路由器R1连接网络A和R2，R2连接网络B和服务器。-需求：只允许来自网络A的主机访问服务器，拒绝来自网络B的主机访问服务器。-请配置R1上的访问控制列表（使用标准ACL）和接口Serial0/0/0的出方向应用，完成此需求。2.假设网络拓扑如下：-服务器地址为00/24-网络A地址为/24-网络B地址为/24-路由器R1连接网络A和R2，R2连接网络B和服务器。-需求：允许网络A和网络B的主机访问服务器上的FTP服务（TCP端口21），拒绝其他所有主机访问。-请配置R1上的访问控制列表（使用扩展ACL）和接口Serial0/0/0的入方向应用，完成此需求。试卷答案一、选择题1.A解析：思科标准ACL的编号范围规定为1-99。2.B解析：标准ACL通常用于控制子网或网络段的访问，基于源IP地址进行过滤。默认隐含的`permitanyany`规则存在于扩展ACL中，标准ACL无此规则。优先级是数字越小越高的原则适用于接口应用时，规则顺序。3.B解析：扩展ACL可以基于源/目标IP地址、协议类型（TCP,UDP,ICMP等）、源/目的端口号进行精细化的流量控制。4.D解析：在配置ACL规则时，如果未明确指定协议类型，则默认匹配所有协议。5.A解析：进入标准ACL配置模式的正确命令格式是`ipaccess-liststandard<number>`。6.C解析：`permit`关键字用于在ACL中允许匹配的流量通过。7.B解析：`access-group<acl-number><direction>`命令用于将ACL应用到接口，`<direction>`指定应用方向。8.B解析：在接口上应用ACL时，`in`参数表示ACL检查从接口外部进入接口内部的流量。9.C解析：ACL的规则条目是按照配置的顺序从前向后被检查的，第一个匹配的规则将决定流量命运。10.B解析：标准ACL规则`permit55`表示允许IP地址范围到55的主机。11.B解析：在配置扩展ACL时，使用`protocol`关键字指定协议类型（如`ip`,`tcp`,`udp`,`icmp`），使用`port`关键字指定端口号。12.D解析：`showrunning-config|includeaccess-list`命令可以用来查看配置在设备运行配置中的ACL相关命令。13.B解析：扩展ACL可以应用于路由器的接口或全局配置层面（虽然全局应用较少见）。一个接口可以同时应用标准ACL和扩展ACL到不同方向。出方向是数据离开接口的方向。应用ACL时需指定接口和方向。14.B解析：要禁止所有流量，应使用`denyanyany`规则。`out`参数指定应用方向为接口GigabitEthernet0/1的出方向。15.B解析：ACL设计应遵循最小权限原则，只允许必要的流量通过，限制不必要的访问。二、多选题1.A,B解析：ACL可以应用在路由器接口层面（入方向或出方向）或作为全局ACL。不应用于网络层设备或服务器本地。2.A,C解析：标准ACL编号范围是1-99和1300-1999。通常用于控制接口访问，默认行为是允许列表中明确允许的流量（无明确拒绝则允许）。3.A,B,C,D解析：扩展ACL可以匹配源IP地址、目标IP地址、协议类型（TCP,UDP,ICMP等）以及源/目的端口号。4.B,C,D解析：`ipaccess-liststandard20`是进入标准ACL配置模式的正确命令。`access-list100permit55`是正确的标准ACL规则写法。`configureterminal`后输入`ipaccess-listextended30`是进入扩展ACL配置模式的正确命令。`access-list10permitipanyany`缺少ACL编号，且`ipanyany`通常用于扩展ACL。5.A,B,C解析：应用ACL时必须指定正确的接口名称、应用方向（`in`或`out`），并确保ACL编号与配置命令一致。标准ACL和扩展ACL有不同的编号范围，需注意。接口名称可以是接口名或接口描述。6.A,B,C解析：`showaccess-lists`显示所有ACL（包括已删除的），`showipaccess-lists`显示IPACL的配置，`showrunning-config|includeaccess-list`可以在运行配置中查找ACL相关命令。`showinterfaces`用于显示接口状态，通常不直接包含ACL信息。7.A,B,D解析：ACL设计原则包括允许优于拒绝（隐含允许，显式拒绝）、规则简洁明了、定期审查更新。规则顺序从前向后检查，出方向配置通常在入方向之后，不是原则本身。8.A,B,C解析：限制特定网络用户访问服务器、防止非法登录尝试、控制特定协议（如FTP）流量都是配置ACL的常见场景。NAT（网络地址转换）是另一种网络服务，与ACL的直接关系较小。9.A,C解析：在接口应用时，ACL的编号（数字越小）决定了优先级。同一应用点不同方向的ACL优先级是独立的。规则配置顺序不影响优先级，优先级由编号决定。可以通过配置名称来管理ACL，但名称本身不直接决定优先级，优先级仍由编号决定。10.A,B,D,E解析：`interfaceGigabitEthernet0/0`和`interfaceSerial1/1/0`是正确的接口配置命令。`ipaccess-group50in`将编号为50的ACL应用到GigabitEthernet0/0接口的入方向。`ipaccess-group50out`将编号为50的ACL应用到Serial1/1/0接口的出方向。`access-list50applyin`缺少接口信息，不正确。三、配置题1.```cisco!配置R1上的标准ACLaccess-list5permit55access-list5deny55access-list5permitanyany!将ACL应用到R1Serial0/0/0接口的出方向interfaceSerial0/0/0ipaccess-group5out```解析：首先创建标准ACL5。第一条规则`permit55`允