思科 ip access-list extended 问题

思科 ip access-list extended 问题

思科路由器的访问策略的子网掩码为反掩码。
ip access-list extended VLAN_90
// 定义一个名为VLAN_90的扩展访问控制列表
deny ip 192.168.90.0 0.0.0.127 192.168.0.0 0.0.255.255
//拒绝源地址为192.168.90.0 255.255.255.128 的地址段 访问目的地址为192.168.0.0 255.255.0.0的地址段
permit ip 192.168.90.0 0.0.0.127 any
//允许源地址为192.168.90.0 255.255.255.128 的地址段 访问其他所有的地址段

这个访问列表的最终目的就是不允许192.168.90.0－192.168.90.127访问190.168.0.0－192.168.255.255
追问：做这样的限制策略，在实际工程中的意义何在呢？ 我看被禁止访问的目标网段包含了源地址的网段。
追答：局域网的访问是不会经过路由器的，所以这个ACL是不会影响局域网互访的。192.168.90.0 255.255.255.128 是一个地址段，但是可以细分为多个子网，这样可以阻止子网间的互访。

定义一个叫VLAN_90的策略
禁止192.168.90.0 0.0.0.127网段访问192.168.0.0 0.0.255.255网段
允许192.168.90.0 0.0.0.127访问任何网段