小型企业网内网服务器为了安全，希望只对指定分支机构提供服务，在出口设备为普通路由器而没有防火墙的时候，可以在配置nat server或者nat static映射时引用ACL做访问控制，来指定允许访问内网映射服务器的源IP地址，达到限制的目的。（也可以使用IPSEC VPN等隧道技术，这里仅展示利用ACL访问控制列表功能达到简单易用的目的）

拓扑说明：

AR１总部内网出口路由器，配置NAT　　NATSERVER

ISP上有两个不同网段的外部用户，Client１为允许访问总部的网段。

配置说明：

server 192.168.1.100/24 开启HTTP

AR1 出口IP12.0.0.0/30　内网192.168.1.1/24

Client1 23.0.0.2/24

Client2 24.0.0.2/24

ISP配置

sysname ISP

interface GigabitEthernet0/0/0

ip address 12.0.0.2 255.255.255.252

interface GigabitEthernet0/0/1

ip address 23.0.0.1 255.255.255.0

interface GigabitEthernet0/0/2

ip address 24.0.0.1 255.255.255.0

//配置各互联地址

出口路由器AR1配置

sysname AR1

acl number 2000

rule 5 permit source 192.168.1.0 0.0.0.255

//用于匹配源NAT转换的内网IP

acl number 2001

rule 5 permit source 23.0.0.0 0.0.0.255

//用于目的NAT匹配外网IP的IP段

interface GigabitEthernet0/0/0

ip address 192.168.1.1 255.255.255.0

//内网网关

interface GigabitEthernet0/0/1

ip address 12.0.0.1 255.255.255.252

nat server protocol tcp global current-interface www inside 192.168.1.100 www acl 2001

nat outbound 2000

//配置出接口NAT设备，使用相应ACL限制IP

ip route-static 0.0.0.0 0.0.0.0 12.0.0.2

//默认路由

测试效果client1可以正常访问Server1的Http服务，client2则不被允许，但内网访问任何外部网络都是正常的。