Есть роутер Cisco 3620 c 2я интерфейсами:

! Внутренний интерфейс
interface Ethernet0/0
ip address ааа.ааа.ааа.ааа 255.255.255.252
ip access-group 101 in
ip route-cache flow
no cdp enable

! Внешний интерфейс (смотрит на провайдера)
interface Ethernet0/1
ip address ввв.ввв.ввв.ввв 255.255.255.252
ip route-cache flow
no cdp enable

access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
и т.д.

ACL на внутреннем интерфейсе создает свои сложности. Например с роутера невозможно установить связь с узлами городской сети если не внести их в ACL.

Можно ли (и правильным ли будет это решение) поставить ip access-group 101 in
на внешний интерфейс ?

Правильно ли будет считаться Netflow статистика в этом случае ?

• Cisco 3620 (Router) + ACL,user, 16:16 , 18-Авг-06
  • Cisco 3620 (Router) + ACL,Spinaker, 16:24 , 21-Авг-06
    • Cisco 3620 (Router) + ACL,user, 17:39 , 21-Авг-06

>Правильно ли будет считаться Netflow статистика в этом случае ?
не понятна толком проблема! чем завершается спиок ACL и в списке 101 разрешаешь только из внутренней во внешнюю сеть или как?

>>Правильно ли будет считаться Netflow статистика в этом случае ?
>не понятна толком проблема! чем завершается спиок ACL и в списке 101
>разрешаешь только из внутренней во внешнюю сеть или как?

Завершается список:
access-list 101 deny ip any any

Список должен разрешать доступ наших сетей во внешний интернет.

т.е. все permit только из inside в outside? если так то не должно правильно работать. для каждого интерфейса нужно продумать как применить in и out. К внутренниму интерфейсу лучше применить standard, а extended к векшниму. Может получаться так что ты отправляешь запрос, он приходит и блокируется т.к. нет доступа с этого IP и этого порта во внутреннюю сеть.