现要禁止10.1.1.2主机访问服务器192.168.1.2，请问，执行ip access-group 命令时最后应选择out，还是in

如果您想禁止10.1.1.2主机访问服务器192.168.1.2，则应该在服务器的入口处应用IP访问控制列表（ACL），因此最后应选择in。在服务器上，您可以创建一个ACL并将其应用于入站接口（例如，服务器的LAN接口）。ACL将源地址设置为10.1.1.2，并将目标地址设置为192.168.1.2，然后将拒绝这个IP流量。因此，您应该使用类似以下命令来应用ACL：

access-list 1 deny host 10.1.1.2
access-list 1 permit any
interface <interface_name>
ip access-group 1 in

请注意，这只会阻止10.1.1.2到192.168.1.2的流量，而不是反过来。如果您需要阻止反向流量，则需要在反向方向上应用ACL。