非常奇怪的ACL问题，求高手指教！太奇怪了！

interface GigabitEthernet1/2
) Q; ~( X4 Z, Q( V; Z no ip address
switchport
# o, Q! S7 u$ _& l1 V" { switchport access vlan 120
switchport mode access
' s$ ^4 P+ r& c!
!
interface GigabitEthernet4/12
/ y2 O% r. a- }3 [ ip address 10.8.244.174 255.255.255.252
!
interface Vlan110
  @' l( F0 F7 U/ s6 u5 X1 r% {$ P ip address 10.9.37.14 255.255.255.0
ip access-group 111 in
; J  w: @7 a, O ip access-group 111 out
no ip redirects
no ip unreachables
' j1 e5 M; w. E1 S9 U ip pim sparse-mode
% N7 a7 S$ m2 {& x- K3 ] ip cgmp
1 S' h: C, K7 z, `( t6 u standby 110 ip 10.9.37.10
standby 110 priority 120
1 P8 G' K. B4 V% U4 ?: o& y standby 110 preempt
: k# u# g7 K1 N" i$ A8 L0 u
2 L* |7 h; I% x2 K5 A7 }0 zinterface Vlan120
9 ]4 k& `% J: k  ~8 v description to cen1
% J7 d: r& x5 [2 B4 [  I ip address 10.8.244.26 255.255.255.252
ip access-group 110 in
ip access-group 110 out
no ip unreachables
ip pim sparse-mode
ip ospf cost 20


router ospf 1
log-adjacency-changes
area 300 nssa
" ]* _' b: O( @# b redistribute static subnets
network 10.8.244.174 0.0.0.0 area 1
8 q, u" U/ K. E% e' D6 h network 10.9.27.0 0.0.0.255 area 1
) c. t5 d, z: S0 y network 10.9.37.0 0.0.0.255 area 1
!
ip default-gateway 10.8.244.25
0 Z) ~9 e+ ]* R, d9 K!
* ]( W0 `/ `# V  Oaccess-list 110 deny udp any any eq ****
$ T  J$ D% `7 {( W- f  g* X, D2 ~access-list 110 permit ip any any
' a- }: X( Z9 y& m/ _4 F' Vaccess-list 111 permit ip 10.9.27.0 0.0.0.255 host 10.9.37.62
access-list 111 permit icmp 10.9.27.0 0.0.0.255 host 10.9.37.62
) }" D# [* t% n+ k" D$ Jaccess-list 111 permit ip 10.9.37.0 0.0.0.255 any
' {9 C; y9 t3 g4 f- [5 C3 Daccess-list 111 permit icmp 10.9.37.0 0.0.0.255 any
access-list 111 deny ip any host 10.9.37.62
access-list 111 deny icmp any host 10.9.37.62
0 x& M* f1 S( c' V$ }access-list 111 permit ip any any
" Q; j2 Y6 ]1 o& z" b5 ~4 r* Haccess-list 111 permit icmp any any
, T+ w/ o9 Q' q8 K2 l- V0 qroute-map test permit 100
) t4 q0 P' s$ [0 H& t  j!

4 T* }- m0 |( q拓扑描述：
本机为6509交换机，通过4/12端口上连另一台4503交换机，4503通过intranet连接到另一个楼的某台主机10.8.6.209。10.9.37.62这台主机是VLAN 110里边的一台PC，希望该PC可以访问10.8.6.209，但是不允许其它任何IP访问它自己。
. F6 r: e# |( J0 L( s- h0 l& v
+ r( G2 H  A+ N+ D故障现象：
从6509交换机上traceroute到10.8.6.209，每一跳分别是10.8.244.173、10.8.6.209。从交换机上是可以PING通这个IP的，没问题。
7 E9 b  q& ^/ D/ h" J
! K* {/ ^& n. f3 y但是，10.9.37.62不能访问到10.8.6.209，PING不通。如果删除两条
access-list 111 deny ip any host 10.9.37.62
( V5 E4 Q5 ]: [: G4 o$ naccess-list 111 deny icmp any host 10.9.37.62
的语句，则可以访问。
8 j4 D6 B  G5 J8 T. X& Z
疑问：
1.删除deny语句对访问一个外网的IP有任何影响吗？怎么会这样？
# C; S9 y, p. f1 e  u. b" ]
( z/ U8 L& ]& h8 W2.保留deny语句的目的是禁止任何其它IP访问10.9.37.62这台主机。我如何能保留这个属性？

在实践中不断学习

out的acl，内网地址为目的地址；in的acl，内网地址为源地址。

ip access-group 111 out
access-list 111 deny icmp any host 10.9.37.62
. e- p6 c) K, O2 Q- e1 ~这样回程的icmp就会被deny.

1.删除deny语句对访问一个外网的IP有任何影响吗？怎么会这样？
5 B5 Q* P! o9 P( v! T8 H这里出问题的不是ACL本身，而是你ACL的应用

- o$ p0 U! U4 b9 p. H/ x) h1 x2.保留deny语句的目的是禁止任何其它IP访问10.9.37.62这台主机。我如何能保留这个属性？
. M/ e% v1 K# e  A" v7 d如果只是想ping通，去掉access-list 111 deny icmp any host 10.9.37.62即可。其他IP访问还是会被deny.

引用:                                                                                                                                作者: gole_huang                                                                                                                                                                                                        out的acl，内网地址为目的地址；in的acl，内网地址为源地址。                                                                                                                请问这是什么意思？没看懂啊

路过，支持一下啦