一、ACL
访问控制列表(Access Control List)简称ACL,是应用在路由器接口上的指令列表(规则),用来告诉路由器哪些数据包可以接收,哪些数据包需要拒绝。ACL通过在路由器接口处控制是转发还是丢弃数据包来过滤通信流量,路由器根据ACL中指定的条件来检测通过路由器的数据包,从而决定是转发还是丢弃该数据包,可以通过在路由器或多层交换机上配置ACL来控制对特定网络资源的访问。
1、ACL工作原理
当数据包从接口经过时,由于接口启用了ACL,此时路由器会对报文进行检查,然后做出相应的处理,对路由器而言,ACL有两个方向:
1.出:已经过路由器的处理,正离开路由器接口的数据包
2.入:已到达路由器接口的数据包,将被路由器处理
如果对接口应用了ACL,也就是说该接口应用了一组规则,那么路由器将对数据包应用该组规则进行顺序检查,一共会有三种情况:
第一种,如果匹配第一条规则,则不再往下检查,路由器将决定允许该数据包通过或拒绝通过
第二种,如果不匹配第一条规则,则依次往下检查,直到有任何一条规则匹配,路由器才决定允许该数据包通过或拒绝通过
第三种,如果没有任何一条规则匹配,则路由器根据默认的规则将丢弃该数据包
根据检查规则,在ACL中,规则的放置顺序很重要,一旦找到了某种匹配规则,就结束比较过程,不再检查之后的其他规则
2、ACL种类
基本ACL---编号2000-2999---依据数据包当中的源IP地址匹配数据(数据从哪个ip地址过来的)
高级ACL---编号3000-3999---依据数据包当中源ip地址、源目的ip地址,源和目的端口、协议号匹配数据
二层ACL---编号4000-4999---二层ACL、mac、vlan-id、802.1q
3、ACL配置
rule deny/permit sourse ip地址 通配符掩码
rule:添加规则
deny/permit:拒绝或同意
source:源
这里讲下通配符掩码和子网掩码、反掩码的区别:
子网掩码:连续的1表示网络位,不可以0和1穿插,例:
255.255.255.0对应1111 1111.1111 1111.1111 1111.0000 0000
反掩码:连续的0表示网络位,不可以0和1穿插,例:
0.0.0.255对应0000 0000.0000 0000.0000 0000.1111 1111
通配符掩码:1代表此位置可以变化,0代表此位置不可以变化,可以0和1穿插,例:
192.168.1.0对应1100 0000.1010 1000.0000 0001.0000 0000
192.168.1.1对应1100 0000.1010 1000.0000 0001.0000 0001
192.168.1.2对应1100 0000.1010 1000.0000 0001.0000 0010
192.168.1.3对应1100 0000.1010 1000.0000 0001.0000 0011
192.168.1.4对应1100 0000.1010 1000.0000 0001.0000 0100
4、ACL实例
1.基本ACL
基本ACL尽量用在靠近目的点的端口
这里配置好路由器AR1三个端口的IP地址之后,用客户机Client1去ping服务器Server1是可以Ping通的
建立ACL规则的步骤
在接口下调用acl分为两个方向
inbound方向:当接口收到数据包时执行ACL
outbound方向:当设备从特定接口向外发送数据时执行ACL
traffic-filter:流量过滤器
此时再拿客户机Client1去ping服务器Server1就不可以Ping通了
但是用客户机Client1去ping服务器Server2还是可以Ping通的
2.高级ACL
高级ACL尽量用在靠近源的地方(可以保护带宽和其他资源)
二、NAT
网络地址转换(Network Address Translation)简称NAT,通过将内部网络的私网IP地址翻译成全球唯一的公网IP地址,使内部网络可以连接到互联网等外部网络上,广泛应用于各种类型的互联网接入方式和各种类型的网络中。NAT不仅解决了公网IP地址不足的问题,而且能够隐藏内部网络的细节,避免来自网络外部的攻击,可以起到一定的安全作用。
1.NAT工作原理
静态转换(Static Translation):将内部网络的私有地址转换为公网地址,IP地址的对应关系是一对一的(两个私网地址就对应两个公网地址)
动态转换(Dynamic Translation):所有的私有地址可随即转换为任何指定的合法的外部ip地址,只要指定哪些私有地址可随机转换为任何指定的合法的外部IP地址,设置一个地址池,私网地址从地址池中随机获取公网地址(随机对应)
端口地址转换(Port Address Translation,PAT):改变外出的数据包的源IP地址和源端口,并进行端口转换,即端口地址转换采用端口多路复用方式。内部网络的所有主机均可共享一个合法的外部IP地址来实现互联网的访问,从而可以最大限度地节约公网IP地址资源,同时可以隐藏网络内部的所有主机,以有效地避免来自互联网的攻击。
Easy-IP:使用列表匹配私网的IP地址,将所有的私网地址映射成路由器当前接口的公网地址