ACL 和 NAT

于 2023-12-17 15:33:25 发布
阅读量160 收藏
点赞数
文章标签： 网络 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/fhjtg/article/details/135015115
版权

一、ACL

     1.ACL 概述及 产生的背景

        ACL: access list 访问控制列表

      2.ACL 类型

        基本ACL：  acl  2000 - 2999  只能限制 源IP地址， 依据依据数据包当中的源IP地址匹配数据
        高级ACL：  acl  3000 - 3999  限制 源ip 目的ip，源mac 目的 mac， 端口   五元组

        依据数据包当中源、目的IP，源、目的端口、协议号匹配数据

        编号4000-4999---二层ACL，MAC、VLAN-id、802.1q

     3.ACL 工作原理

        当数据包从接口经过时，由于接口启用了acl， 此时路由器会对报文进行检查，然后做出相应的处理。

     4.ACL 应用

        ACL两种应用:

  1. 应用在接口的ACL-----过滤数据包（原目ip地址，原目 mac， 端口 五元组）过滤流量，然后 匹配 规则后判断该流量 通过或拒绝。

  2. 应用在路由协议-------匹配相应的路由条目

  3. NAT、IPSEC VPN、QOS-----匹配感兴趣的数据流（匹配上我设置的 数据流的）规定哪些流量能使用NAT

     5.关于通配符掩码

首先让我们先了解一下子网掩码和反掩码。

子网掩码的作用是：用连续的 1 表示网络位，0 表示主机位。

如：192.168.1.0/24 C类地址 的 子网掩码 用二进制表示为 ：
1111 1111 . 1111 1111 . 1111 1111 . 0000 0000

如上述所示：为 1 的有二十四位，为 0 的有八位。也就是主机位有 8 位，网络位有 24 位。

反掩码 顾名思义，就是用 0 表示网络位， 1 表示主机位。
 
如：192.168.1.0/24 C类地址 的 反掩码 用二进制表示为 ：
0000 0000 . 0000 0000 . 0000 0000 . 1111 1111


看来 子网掩码 和 反掩码 0 或 1 都是连续的，但是通配符掩码的0 和 1 可以不连续。

通配符的 “0”表示固定，即用来固定不能变的部分。
通配符的 “1”表示任意取值，用来表示放开的部分。而且不需要连续

比如：
Ip为192.168.1.6   通配符为0.0.0.6。他匹配出来的IP为 192.168.1.0  1.2  1.4  1.6 四个

先把它们转化成二进制：
192.168.1.0000 0110    
 0 . 0 .0.0000 0110

因为通配符的 0 表示固定 ，所有只有第二位和第三位可以变换。得出四种IP地址。

关于ACL 案例
案例1-----拒绝源IP为192.168.10.1的数据包
acl 2000
rule deny source 192.168.10.1 0.0.0.0


案例2------拒绝源IP为192.168.10.0/24的所有数据包
acl 2000
rule deny source 192.168.10.0 0.0.0.255


案例3------拒绝源IP为192.168.10.0/24所有奇数主机发送的数据包
acl 2000
rule deny source 192.168.10.1 0.0.0.254

     6.实际操作

<Huawei>u t m       #关闭提示信息
Info: Current terminal monitor is off.
<Huawei>
<Huawei>sys         #进入系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sys R1      #重命名
[R1]
[R1]int g0/0/0      #进入端口
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24     #配置网关
[R1-GigabitEthernet0/0/0]
[R1-GigabitEthernet0/0/0]int g0/0/1                  #进入端口
[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24     #配置网关
[R1-GigabitEthernet0/0/1]
[R1-GigabitEthernet0/0/1]int g0/0/2                  #进入端口
[R1-GigabitEthernet0/0/2]ip add 192.168.3.254 24     #配置网关
[R1-GigabitEthernet0/0/2]
[R1-GigabitEthernet0/0/2]q
[R1]acl 2000                #建立基本acl
[R1-acl-basic-2000]rule 5 deny source 192.168.1.1 0.0.0.0  #建立一个编号为5 
 拒绝 来自 192.168.1.1 的流量  规则
[R1-acl-basic-2000]
[R1-acl-basic-2000]q
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter outbound acl 2000   #数据流向  及  调用规则
[R1-GigabitEthernet0/0/1]q
[R1]


在接口下调用acl 分为两个方向
inbound方向--------当接口收到数据包时执行ACL
outbound方向-------当设备从特定接口向外发送数据时执行ACL
-----------------------
没有被acl匹配数据默认采用permit动作
-----------------------
基本acl需要调用在离 目的设备 最近的接口上

高级ACL:尽量用在靠近源的地方(可以保护带宽和其他资源)

先设置192.168.2.1 服务器的 http 服务

打开AR1进行配置

<Huawei>u t m       #关闭提示信息
Info: Current terminal monitor is off.
<Huawei>
<Huawei>sys         #进入系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sys R1      #重命名
[R1]
[R1]int g0/0/0      #进入端口
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24     #配置网关
[R1-GigabitEthernet0/0/0]
[R1-GigabitEthernet0/0/0]int g0/0/1                  #进入端口
[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24     #配置网关
[R1-GigabitEthernet0/0/1]
[R1-GigabitEthernet0/0/1]int g0/0/2                  #进入端口
[R1-GigabitEthernet0/0/2]ip add 192.168.3.254 24     #配置网关
[R1-GigabitEthernet0/0/2]
[R1-GigabitEthernet0/0/2]q
[R1]acl 3000                #建立高级acl
[R1-acl-basic-3000]rule 5 deny tcp source 192.168.1.1 0 destination 192.168.2.1 0 destination-port  eq www  #建立一个编号为5  拒绝 来自 192.168.1.1 的流量 访问 192.168.2.1
www （80端口）服务     
[R1-acl-basic-3000]
[R1-acl-basic-3000]q
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000   #数据流向  及  调用规则
[R1-GigabitEthernet0/0/0]q
[R1]

基本ACL:尽量用在靠近目的点
高级ACL:尽量用在靠近源的地方(可以保护带宽和其他资源)

注意！！：虚拟设备端口默认打开，在配置真实设备时记得进入端口输入 undo shut

然后查看是否配置成功

    7.ACL匹配规则

  1. 一个接口的同一个方向，只能调用一个acl
  2. 一个acl里面可以有多个rule 规则，按照规则ID从小到大排序，从上往下依次执行
  3. 数据包一旦被某rule匹配，就不再继续向下匹配
  4. 用来做数据包访问控制时，默认隐含放过所有(华为设备)

二、NAT

        NAT   地址转换
        作用：通过对网络地址转换，实现内网地址和公网地址的互相访问

        原理：主要应用在企业出口路由器上，从内网出去时将源地址转换为企业公网ip，从公网中回来时将目的地址及公网地址转为对应的内网地址。

        1.NAT分类

        静态NAT：私网地址和公网地址一对一映射，局限性是需要每一个私网ip对应一个公网ip，所以需要公网ip比较多。（不如直接买公网IP）

        动态NAT：将公网ip划出一个公网ip池，当内网地址访问外网时随机分配一个公网对应ip，访问完毕后回收公网ip。（没什么人用这个，公网池分配完其它私网就无法分配到了，就没法上网了）

        NAT Server：（端口映射）可以让用户 访问内网服务器。
        你访问 200.0.0.1 等于 访问 192.168.1.100

        Easy-IP：使用一个公网地址 可供多个私网使用
        使用端口号区分 数据到底给 哪个私网 （空余 端口有多少就可以供多少个私网上网）

NAT 应用场景

具体过程：
200.0.0.135 公网地址   买的  运营商给你的

192.168.1.1    公司的内网地址
去访问  外网服务器  180.101.50.242


源地址  192.168.1.1    目的地址180.101.50.242

经过 路由器NAT技术处理     静态模式

源地址：200.0.0.135    目的地址：180.101.50.242


回包的时候
源地址 180.101.50.242    目的地址：200.0.0.135 

经过 路由器NAT技术处理

源地址 180.101.50.242    目的地址：192.168.1.1

1.静态NAT实验配置

工程手动将一个私有地址和一个公网地址进行关联，一 一对应，缺点和静态路由一样

<Huawei>u t m      #关闭提示信息
Info: Current terminal monitor is off.
<Huawei>
<Huawei>sys        #进入系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sys chuko  #更改名称
[chuko] 
[chuko]int g0/0/1   #进入接口
[chuko-GigabitEthernet0/0/1]ip add 192.168.1.254 24    #配置网关
[chuko-GigabitEthernet0/0/1]
[chuko-GigabitEthernet0/0/1]int g0/0/0              #进入接口
[chuko-GigabitEthernet0/0/0]ip add 200.0.0.135 24   #配置网关
[chuko-GigabitEthernet0/0/0]
[chuko-GigabitEthernet0/0/0]nat static enable       #nat 静态启用
[chuko-GigabitEthernet0/0/0]	
[chuko-GigabitEthernet0/0/0]nat static global 200.0.0.148 inside 192.168.1.1  #设置nat 静态 外网网址是 200.0.0.148 对应内网网址是 192.168.1.1  #注意！不能直接使用 接口地址200.1.1.1
[chuko-GigabitEthernet0/0/0]q
[chuko]
[chuko]dis nat static     #查看静态nat信息。
  Static Nat Information:
  Interface  : GigabitEthernet0/0/0
    Global IP/Port     : 200.0.0.148/----   #外网IP
    Inside IP/Port     : 192.168.1.1/----   #内网IP
    Protocol : ----     
    VPN instance-name  : ----                            
    Acl number         : ----
    Netmask  : 255.255.255.255 
    Description : ----

  Total :    1
[chuko]

查看能否ping通

2.动态配置

基于静态NAT实验， 配置动态NAT（用 undo 把静态配置删掉）

[chuko]int g0/0/0                      #进入接口
[chuko-GigabitEthernet0/0/0]dis th     #查看当前视图配置
[V200R003C00]
#
interface GigabitEthernet0/0/0
 ip address 200.0.0.135 255.255.255.0 
 nat static global 200.0.0.148 inside 192.168.1.1 netmask 255.255.255.255
 nat static enable
#
return
[chuko-GigabitEthernet0/0/0]undo nat static global 200.0.0.148 inside 192.168.1.
1 netmask 255.255.255.255                              #取消操作
[chuko-GigabitEthernet0/0/0]undo nat static enable     #取消操作
[chuko-GigabitEthernet0/0/0]
[chuko-GigabitEthernet0/0/0]dis th
[V200R003C00]
#
interface GigabitEthernet0/0/0
 ip address 200.0.0.135 255.255.255.0 
#
return
[chuko-GigabitEthernet0/0/0]q
[chuko]
[chuko]nat address-group 1 200.0.0.100 200.0.0.130    #建立地址池
[chuko]
[chuko]acl number 2000       #添加低级acl
[chuko-acl-basic-2000]
[chuko-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255#给需要地址转换的网段添加规则
[chuko-acl-basic-2000]
[chuko-acl-basic-2000]q
[chuko]int g0/0/0
[chuko-GigabitEthernet0/0/0]
[chuko-GigabitEthernet0/0/0]nat outbound 2000 address-group 1 no-pat   #添加向外发送 规则
[chuko-GigabitEthernet0/0/0]
[chuko-GigabitEthernet0/0/0]q
[chuko]

三、NAT Server （NATPT 端口映射）

        NAT Server----内网服务器对外提供服务，针对目的ip和目的端口映射

        内网服务器的相应端口映射成路由器公网ip地址的相应端口

配置好ip地址

企业出口路由器需要配置默认路由

在企业出口路由器上 的g0/0/1 口配置
int  g0/0/1
ip address 200.1.1.1 255.255.255.0 

nat server protocol tcp global current-interface www inside 192.168.1.100 www

nat static enable

四、Easy - IP

1.使用列表匹配私网的ip地址

2.将所有的私网地址映射成路由器当前接口的公网地址

根据上述 NAT Server 进行配置

企业出口配置：
acl 2000
rule permit source 192.168.1.0 0.0.0.255


int g0/0/1
undo nat static global 200.1.1.100 inside 192.168.1.1 netmask 255.255.255.255

nat outbound 2000


display nat session all

王zk0526
关注
ACL和NAT综合应用说明文档.pkt
01-01
常见的访问控制列表种类有：IP标准ACL、IP扩展ACL、IPX 标准ACL、IPX 扩展ACL、48 位MAC 地址ACL 和协议ACL 等等。IP相关的访问控制列表主要分为以下几类： ⑴ 标准IP访问控制列表 标准IP访问控制列表匹配IP包中的...
访问控制列表（ACL）详细讲解
一起努力共同进步，为了未来一起奋斗吧！
09-27 3472
访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。
ACL 知识梳理
Cold_mood的博客
04-30 1573
ACL (Access Control List) 访问控制列表 1. ACL 是一种包过滤技术。 2. ACL 是基于 IP 包头的 ip 地址，四层（TCP/UDP）头部的端口号，【5 层数据】 3. ACL 在路由器上配置，也可以在防火墙上配置（一般称之为策略） 4. ACL 的分类 标准 ACL 扩展 ACL 5. 标准 ACL 表号：1-99，可以有 99 张表 功能/特点：只能基于源 ip 对包进行过滤 <access-list 表号 permit/deny 源 ip或者源网
16.ACL访问控制列表（标准ACL、扩展ACL）、基于时间的ACL
qq_41116260的博客
11-02 2555
16.ACL访问控制列表（标准ACL、扩展ACL）、基于时间的ACL
网络基础之ACL（访问控制列表）
ljj的学习笔记
11-01 1492
本章目录一、概念1、ACL2、ACL在接口上的应用3、ACL的工作原理4、ACL的作用5、ACL种类6、ACL的应用原则和规则二、配置实验 一、概念 1、ACL ACL（Access Control Lists，缩写ACL），是存取控制列表。它读取第三层和第四层的包头信息（这里就引出了通信四元素：原地址，目标地址，源端口。目标端口），根据预先设置的规则对包进行过滤。 2、ACL在接口上的应用 在入口上：数据包从入口进路由器，就会被路由器处理 在出口上：数据包在经过路由器处理后，才会让它从出口出去 3、AC
【ACL】访问控制列表
陌上花开，静待绽放！
03-22 9515
访问控制列表ACL(Access Control List)是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。
【HICA实验09】ACL和NAT.paper
10-08
【HICA实验09】ACL和NAT.paper
Nat+acl Nat+acl
最新发布
03-29
Nat+acl
ACL应用案例
weixin_44812463的博客
06-16 754
应用接口：[G0/0/1 ] traffic-filter outbound acl 2001 此接口在出方向应用，控制此接口出去的流量。应用接口：[G0/0/1 ] traffic-filter inbound acl 3001 此接口在进方向应用，控制此接口进来的流量。解决思路：在连接主机交换机G0/0/1接口上应用acl 2001，并应用在outbound方向，已到达限制出去的访问的流量。接口应用：acl 2001一般应在outbound方向，acl 3001 一般应用在inbound方向。
ACL初识（访问控制列表）
想成功，靠自己
01-05 722
ACL初识ACL初识一、ACL1、ACL在接口应用的传输方向2、ACL的处理过程图3、ACL的两个作用4、原理5、ACL的分类6、ACL的应用原则7、应用规则二、命令简介总结 ACL初识 访问控制列表(ACL)是一种基于包过滤的访问控制技术，它可以根据设定的规则对数据包进行过滤，允许其通过或丢弃。访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。 一、ACL 访问控制列表（Access Control Lists，ACL）是应
ACL概述及配置
qhycvbjs的博客
08-28 1661
文章目录一、ACL概述1、作用2、接口应用的方向3、处理原则4、类型4.1 标准访问控制列表4.2 扩展访问控制列表二、实验配置1、实例12、实例2三、总结 一、ACL概述 1、作用 读取三层、四层头部信息，根据预先定义好的规则对流量进行筛选和过滤。 三层头部信息：源、目IP 四层头部信息：TCP/UDP协议、源、目端口号 2、接口应用的方向 ①入方向：流量将要进入本地路由器，将要被本地路由器处理 ②出方向：已经被本地路由器处理过，流量将离开本地路由器 补： 策略做好后，在入接口和出接口调用的区别： 入接口
网络配置之ACL
Hugu
03-02 1208
文章目录0x01 ACL概述0x02 ACL分类0x03 ACL应用0x04ACL查看 0x01 ACL概述 什么是ACL？ ACL，即访问控制列表，ACL可以读取第三层、第四层的包头信息，并根据预先定义好的规则对包进行过滤。 应用ACL时需要注意什么？ ACL必须应用到接口上才能生效； 一个接口最多应用两个ACL，出方向和入方向。 outside：已经过路由器的处理，当从此接口离开时才生效的ACL； inside：到达路由器并从此接口进入路由器时才生效的ACL。 ACL的处理过程？
ACL基础详解
热门推荐
将勤补拙
11-30 1万+
为了更安全的公司网络环境，可以使用ACL提供的基本通信流量过滤能力来实现。 一，ACL概述 1.流量过滤 常用的流量过滤器 ①集成路由器内置的防火墙 ②专用的安全设备 ③服务器 企业路由器能够识别有害流量并阻止它访问和破坏网络，几乎所有的路由器都可以根据数据包的源IP地址和目的IP地址来过滤流量，它还可以根据特定的应用和协议来过滤流量，例如TCP，HTTP,FTP,和Telnet 2.访问控制列表...
ACL基本介绍和功能运用
MAY的博客
04-18 1222
ACL（Access Control List，访问控制列表）是用来实现数据包识别功能的，是一种基于包过滤的流控制技术。控制列表通过把源地址、目的地址及端口号作为数据包检查的基本元素，并可以规定符合条件的数据包是否允许通过。ACL通常应用在企业的出口控制上，可以通过实施ACL，可以有效的部署企业网络出网策略
网络安全笔记-20-ACL
wwxxee
08-12 231
ACL(访问控制列表) 分类: 标准ACL：基于源IP过滤 扩展ACL：基于源IP，目标IP，协议，端口号过滤 注意 ACL表必须应用到接口的进或出方向 一个接口的一个方向只能应用一张表 ACL表是严格自上而下检查每一个条目 每一个条目都是由条件和动作构成，当没有满足条件时，则继续检查下一条 标准ACL一般应用到靠近目标的out方向 扩展ACL一般应用到靠近源的in方向 in方向：先ACL，再路由 out方向：先路由，再ACL 默认最后一条拒绝所有 命令 标准ACL：表号范围为1-99，1300-1
计算机网络基础（十）----ACL的操作使用
我的博客
03-21 4167
ACL 是访问控制列表通信的五元素：源ip地址、目的ip地址、源端口号、目的端口号和协议ACL的作用是：1、对数据包做访问控制（丢弃或者放行）2、结合其他协议进行匹配如图所示，访问列表的处理过程：不管他有多少的工作规则，从上往下依次匹配，只要陪陪到了则立刻停止，执行该匹配的选项。
ACL原理与配置
haoqingyu_的博客
06-07 2275
虽然我们划分了vlan，但不是流量控制，只是单纯的划分了广播域，而且三层交换机或者单臂路由，我还是可以实现不同vlan之间的通信。
描述一下ACL和NAT！
06-09
ACL（Access Control List）和NAT（Network Address Translation）都是网络中常用的安全措施，它们的作用和实现方式如下： ACL是一种网络安全技术，它可以限制网络中的流量，只允许特定的流量通过。ACL通常用于过滤网络流量，限制网络中的访问，防止未经授权的访问和攻击。ACL可以通过IP地址、端口号、协议类型等多种方式进行配置，以控制网络流量的传输。ACL可分为标准ACL和扩展ACL两种类型，标准ACL仅检查源IP地址，而扩展ACL可以检查源IP地址、目标IP地址、端口号等更多信息。 NAT是一种网络协议，它可以将私有网络的IP地址转换为公共网络的IP地址，以实现私有网络和公共网络之间的通信。NAT通常用于解决IPv4地址短缺的问题。在NAT中，路由器将私有网络中的IP地址转换为公共网络中的IP地址，并在转换过程中修改IP地址和端口号，从而实现私有网络和公共网络之间的通信。NAT有三种转换方式：静态NAT、动态NAT和PAT（端口地址转换）。 总的来说，ACL用于限制网络流量，控制网络访问，提高网络安全性；而NAT用于解决IPv4地址短缺的问题，在私有网络和公共网络之间实现通信。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值