# CORRECTION TP 3 - Filtrage par ACLs

## Task 1

### Step 2 :

Avant toute chose, le 1er réflexe est de vérifier la présence d'ACL sur l'appareil, `show ip access list`.

Sur le routeur branch, on remarque justement une ACL déjà présente avec cette commande, de type standard, qui permet tout le traffic depuis le réseau 10.1.1.0. Rajouter une règle interdisant l'hôte 10.1.1.101 sera inefficace puisque la règle précédente laissera tout passer !

Il faut donc l'annuler :

	enable
	conf t
	no ip access-list standard 1

Puis créez l'ACL demandée :

#### Créer l'ACL :

	enable
	conf t
	ip access-list extended Telnet
	deny tcp host 10.1.1.101 host 172.16.1.100 eq telnet
	permit ip any any
	exit

**Notez l'importance ici du "permit ip any any" en fin d'ACL en tant que dernière règle, il stipule que tout ce qui ne concorde pas avec la 1ère règle peut passer, autrement la politique par défaut sur Cisco, implicite, est de refuser tout ce qui ne matche pas avec les règles précédentes !!! Il est en effet plus logique et rapide de dire ce qu'on autorise, et interdire tout le reste que l'inverse, d'ou le choix par Cisco du "deny ip any any" implicite.**

#### Attribuer cet ACL à une interface :

	enable
	conf t
	interface gi0/0
	ip access-group Telnet in
	exit

## Task 2

### Step 7

	enable
	conf t
	interface gi0/0
	no ip access-group Telnet out
	ip access-group Telnet in
	exit

### Step 9

	enable
	conf t
	no ip access-list extended Telnet
	ip access-list extended Telnet
	deny tcp host 10.1.1.101 host 172.16.1.100 eq telnet
	permit ip any any
	exit





















