在网络学习中，ACL访问控制的实现相对来讲有一定难度，本文即设计一例，用于说明ACL配合NAT的使用的配置方法。
先看拓扑：
配置要求：
网络使用ospf协议连通（均使用了 Area 0）。
? ⑴NAT地址池：202.0.0.2-202.0.0.9
? ⑵允许192.168.10.1-10、192.168.11.0网段能够访问外网。
??⑶允许192.168.10.1-5、192.168.11.1-10访问服务器的Web
好了，下面我们来实现它。
一、基本配置：实现网络连通
左侧二层交换机：（看IP地址分配知道，要做单臂路由，所以配置Vlan）
en
conf t???????????? //全局配置模式
vl 10????????????? //创建Vlan，加端口
vl 20
vl 30
in f 0/1
sw ac vl 10
in f 0/11
sw ac vl 20
in f 0/21
sw ac vl 30
in g 0/1
sw m t??????????? //trunk，允许所有Vlan包转发
左侧路由器（注意掩码）：
en
conf t
in f0/1??????? //接口up
no sh
in f 0/1.1???? //配置子接口：封装→配地址
en d 10??????? //dot1q封装
ip ad 192.168.10.1 255.255.255.0
in f 0/1.2
en d 20
ip ad 192.168.11.1 255.255.255.0
in f 0/1.3
en d 30
ip ad 192.168.12.1 255.255.255.0
in f 0/0
no sh
ip ad 1.1.1.1 255.255.255.252
ro os 1
net 192.168.10.0 0.0.0.255 a 0
net 192.168.11.0 0.0.0.255 a 0
net 192.168.12.0 0.0.0.255 a 0
net 1.1.1.0 0.0.0.3 a 0
中间路由器：
en
conf t
in f 0/0
no sh
ip ad 1.1.1.2 255.255.255.252
in f 0/1
no sh
ip ad 1.1.2.1 255.255.255.252
ro os 1
net 1.1.1.0 0.0.0.3 a 0
net 1.1.2.0 0.0.0.3 a 0
右侧路由器：
en
conf t
in f 0/0
no sh
ip ad 1.1.2.2 255.255.255.252
in f 0/1
no sh
ip ad 202.0.0.1 255.255.255.0
ro os 1
net 1.1.2.0 0.0.0.3 a 0
net 202.0.0.0 0.0.0.255 a 0
好了！！现在可以进行连通性测试，各个网段都ping一下。建议采用“逐级”ping方式，即由近及远的进行测试，以便发现、分析问题所在的位置。如果发现问题，可以通过查看配置细节，或在PC或路由器上分别测试，以确定问题所在。如下图，测试通过！！
二、配置NAT和ACL：NAT最好在靠近要控制的网络
?先配置NAT和ACL（在 右侧路由器）：
NAT：
ip nat po p2 202.0.0.2 202.0.0.9 net 255.255.255.0??? //使用p2做地址池是为了避免把1当成l这类的问题
ip nat in so li 100 po p2 ov
ACL：
ac 100 per tcp 192.168.10.0 0.0.0.5 ho 202.0.0.10 eq www
ac 100 per tcp 192.168.10.0 0.0.0.3 ho 202.0.0.10 eq www
ac 100 den tcp 192.168.10.0 0.0.0.255 ho 202.0.0.10 eq www
ac 100 per tcp 192.168.11.0 0.0.0.7 ho 202.0.0.10 eq www
ac 100 per tcp 192.168.11.0 0.0.0.9 ho 202.0.0.10 eq www
ac 100 per tcp ho 192.168.11.10 ho 202.0.0.10 eq www
ac 100 den tcp 192.168.11.0 0.0.0.255 ho 202.0.0.10 eq www
ac 100 per ip 192.168.10.0 0.0.0.7 any
ac 100 per ip 192.168.10.0 0.0.0.9 any
ac 100 per ip host 192.168.10.10 any
ac 100 per ip 192.168.11.0 0.0.0.255 any
?然后，应用NAT到指定接口：
in f0/0
ip nat in
in f 0/1
ip nat out
?测试：
好了好了！可以去测试一下。由于是NAT，所以，此时可以将202.0.0.0网段的服务器和PC的网关删除。再去做web访问和ping测试。
1、配置服务器的Web
在系统的web页添加一些你的标识即可。
2、分别做各个IP地址的测试。
完成！！！