10.0.10.0/24 ağının web sunucusu 172.16.1.10'a sadece HTTPS ile erişmesini, diğer tüm trafiğin bu sunucuya engellenmesini ama geri kalan trafiğin serbest olmasını sağlayan bir ACL yazın.

Bu senaryo extended ACL gerektirir çünkü kaynak, hedef ve port birlikte kontrol edilir. Extended ACL kaynağa yakın uygulanır; böylece istenmeyen trafik ağı boşuna dolaşmaz.

ip access-list extended WEB-ONLY-HTTPS
 10 permit tcp 10.0.10.0 0.0.0.255 host 172.16.1.10 eq 443
 20 deny   ip  any host 172.16.1.10 log
 30 permit ip  any any
!
interface Gi0/1
 description USER-VLAN-10-GATEWAY
 ip access-group WEB-ONLY-HTTPS in

Neden bu sıra?

• ACL'ler yukarıdan aşağı okunur, ilk eşleşen kural uygulanır.
• 10: İzin verilen tek akış.
• 20: Sunucuya giden diğer her şey engellenir; log ile denemeler kayıt altına alınır.
• 30: ACL'in sonunda implicit deny any vardır. Bu satır olmazsa kullanıcıların internete ve diğer tüm kaynaklara erişimi kesilir. En sık yapılan hata budur.

Detaylar

• Dönüş trafiği (sunucudan kullanıcıya) bu ACL'den geçmez çünkü ACL kullanıcı VLAN'ının inbound yönündedir. Ters yönde ACL olsaydı established anahtar kelimesi veya stateful bir firewall gerekirdi.
• HTTP/3 (QUIC) UDP 443 kullanır. Bunu da desteklemek gerekiyorsa permit udp ... eq 443 satırı eklenir; aksi halde tarayıcılar TCP'ye geri düşer.
• Named ACL'de sıra numaraları sayesinde araya kural eklenebilir (15 permit ...).

show access-lists WEB-ONLY-HTTPS     ! kural başına hit sayıları