從一條連線，開始練習。

沿用Discovery25的獨立labadmin帳號、金鑰、SSH2、login local與IP表；不是只看?語法就算完成。先在PC1與PC2各以自己的授權帳號成功開SSH，保留Console。此題只允許PC1來源192.168.25.10。

show ip ssh
show users
show running-config | section line

兩個來源在限制前都能SSH，Console持續可用。

標準ACL僅比對來源IPv4。先允許唯一PC1，再明確deny其他（implicit deny本來就存在，這裡明寫便於閱讀）。VTY access-class不同於介面的ip access-group。

configure terminal
ip access-list standard VTY_ADMIN
10 permit host 192.168.25.10
20 deny any
end
show access-lists VTY_ADMIN

只有PC1來源被允許。

以下0-4僅適用存在該範圍的IOS；先show line確認，若也有5-15需相同配置。不在使用者資料介面套此ACL，因此正常資料轉送不會因這個VTY來源清單被同樣過濾。

configure terminal
line vty 0 4
access-class VTY_ADMIN in
transport input ssh
login local
exec-timeout 5 0
end

新的PC1 SSH允許，新的PC2 SSH被拒絕。既有session可能仍保留。

在PC1/PC2各執行相同ssh，PC1應成功、PC2應拒絕。不要以既有PC2 session繼續可用誤判ACL無效，政策通常針對新連線。主機實際來源可能因NAT/多介面與IP表不同，需查show users。

ssh labadmin@192.168.25.1

新PC1成功、新PC2拒絕；確保不是兩者都因SSH本身故障失敗。

僅在專用隔離設備且Console可用時啟用：60秒內3次失敗，阻擋新login120秒。不同IOS對SSH/AAA支援有差異，先用?核對。不需故意暴力嘗試密碼；若做受控驗證，限自己的帳號且不鎖住別人。

configure terminal
login block-for 120 attempts 3 within 60
end
show login

show login列出監控與quiet-mode參數；未實測不得宣稱已阻擋攻擊。

撤回時透過Console移除VTY access-class，再按原設定決定是否保留SSH-only與timeout。取消本題login block-for的語法依?核對。保留則保存，切勿為解除鎖定開放公網Telnet。

configure terminal
line vty 0 4
no access-class VTY_ADMIN in
end
show users

解除本題來源限制後，新連線依原SSH政策運作。