ACL和NAT

一、ACL

访问控制列表（Access Control List）简称ACL，是应用在路由器接口上的指令列表（规则），用来告诉路由器哪些数据包可以接收，哪些数据包需要拒绝。ACL通过在路由器接口处控制是转发还是丢弃数据包来过滤通信流量，路由器根据ACL中指定的条件来检测通过路由器的数据包，从而决定是转发还是丢弃该数据包，可以通过在路由器或多层交换机上配置ACL来控制对特定网络资源的访问。

1、ACL工作原理

当数据包从接口经过时，由于接口启用了ACL，此时路由器会对报文进行检查，然后做出相应的处理，对路由器而言，ACL有两个方向：

1.出：已经过路由器的处理，正离开路由器接口的数据包

2.入：已到达路由器接口的数据包，将被路由器处理

如果对接口应用了ACL，也就是说该接口应用了一组规则，那么路由器将对数据包应用该组规则进行顺序检查，一共会有三种情况：

第一种，如果匹配第一条规则，则不再往下检查，路由器将决定允许该数据包通过或拒绝通过

第二种，如果不匹配第一条规则，则依次往下检查，直到有任何一条规则匹配，路由器才决定允许该数据包通过或拒绝通过

第三种，如果没有任何一条规则匹配，则路由器根据默认的规则将丢弃该数据包

根据检查规则，在ACL中，规则的放置顺序很重要，一旦找到了某种匹配规则，就结束比较过程，不再检查之后的其他规则

2、ACL种类

基本ACL---编号2000-2999---依据数据包当中的源IP地址匹配数据（数据从哪个ip地址过来的）

高级ACL---编号3000-3999---依据数据包当中源ip地址、源目的ip地址，源和目的端口、协议号匹配数据

二层ACL---编号4000-4999---二层ACL、mac、vlan-id、802.1q

3、ACL配置

rule deny/permit sourse ip地址 通配符掩码

rule：添加规则

deny/permit：拒绝或同意

source：源

这里讲下通配符掩码和子网掩码、反掩码的区别：

子网掩码：连续的1表示网络位，不可以0和1穿插，例：

255.255.255.0对应1111 1111.1111 1111.1111 1111.0000 0000

反掩码：连续的0表示网络位，不可以0和1穿插，例：

0.0.0.255对应0000 0000.0000 0000.0000 0000.1111 1111

通配符掩码：1代表此位置可以变化，0代表此位置不可以变化，可以0和1穿插，例：

192.168.1.0对应1100 0000.1010 1000.0000 0001.0000 0000

192.168.1.1对应1100 0000.1010 1000.0000 0001.0000 0001

192.168.1.2对应1100 0000.1010 1000.0000 0001.0000 0010

192.168.1.3对应1100 0000.1010 1000.0000 0001.0000 0011

192.168.1.4对应1100 0000.1010 1000.0000 0001.0000 0100

4、ACL实例

1.基本ACL

基本ACL尽量用在靠近目的点的端口

这里配置好路由器AR1三个端口的IP地址之后，用客户机Client1去ping服务器Server1是可以Ping通的

建立ACL规则的步骤

在接口下调用acl分为两个方向

inbound方向：当接口收到数据包时执行ACL

outbound方向：当设备从特定接口向外发送数据时执行ACL

traffic-filter：流量过滤器

此时再拿客户机Client1去ping服务器Server1就不可以Ping通了

但是用客户机Client1去ping服务器Server2还是可以Ping通的

2.高级ACL

高级ACL尽量用在靠近源的地方（可以保护带宽和其他资源）

二、NAT

网络地址转换（Network Address Translation）简称NAT，通过将内部网络的私网IP地址翻译成全球唯一的公网IP地址，使内部网络可以连接到互联网等外部网络上，广泛应用于各种类型的互联网接入方式和各种类型的网络中。NAT不仅解决了公网IP地址不足的问题，而且能够隐藏内部网络的细节，避免来自网络外部的攻击，可以起到一定的安全作用。

1.NAT工作原理

静态转换（Static Translation）：将内部网络的私有地址转换为公网地址，IP地址的对应关系是一对一的（两个私网地址就对应两个公网地址）

动态转换（Dynamic Translation）：所有的私有地址可随即转换为任何指定的合法的外部ip地址，只要指定哪些私有地址可随机转换为任何指定的合法的外部IP地址，设置一个地址池，私网地址从地址池中随机获取公网地址（随机对应)

端口地址转换（Port Address Translation,PAT）：改变外出的数据包的源IP地址和源端口，并进行端口转换，即端口地址转换采用端口多路复用方式。内部网络的所有主机均可共享一个合法的外部IP地址来实现互联网的访问，从而可以最大限度地节约公网IP地址资源，同时可以隐藏网络内部的所有主机，以有效地避免来自互联网的攻击。

Easy-IP：使用列表匹配私网的IP地址，将所有的私网地址映射成路由器当前接口的公网地址