计算机网络（ACL访问控制列表和NAT网络地址转换）

ACL访问控制列表和NAT网络地址转换

一 、ACL（返回问列表）

ACL(访问控制列表）

作用：通过过滤经过接口的数据包，根据规则要么放通，要么丢弃
通信四元素：源IP地址、目的IP地址、源端口、目的端口
通信五元素：源IP地址、目的IP地址、源端口、目的端口、协议

访问控制列表概述

访问控制列表（ACL)

• 读取第三层，第四层包头信息
• 根据预先定义好的规则对包进行过滤
  
  访问控制列表在接口应用的方向
• 出：已经过路由器的处理，正离开路由器接口的数据包
• 入：已到达路由器接口的数据包，将被路由器处理
  访问控制列表的处理过程
  
  ACL在接口上定义N条规则过滤数据包，要么放行，要不丢弃
  匹配规则，从上往下依次匹配，匹配既停止

ACL工作原理：当数据包从接口经过时，由于接口启用了acl，此时路由器会对报文进行检查，然后做出相应的处理。

ACL种类（华为）

• 基本acl（2000-2999）：只能匹配源ip地址
• 高级acl（3000-3999）：可以匹配ip，目标ip，源端口，目标端口等三层和四层的字段和协议
• 二层acl（4000-4999）：根据数据包的源MAC地址，目的MAC地址，802.1q优先级，二层协议类型等二层信息规定规则。

ACL（访问控制列表）的应用规则

1. 一个接口的同一方向，只能调用一个acl
2. 一个acl里面可以有多个rule规则，按照规则ID从小到大排序，从上往下依次执行
3. 数据包一但被某rule匹配，就不在继续向下匹配
4. 用来做数据包访问控制时，默认隐含所有（华为设备）

例

设置主机的IP





配置AR1

1.给接口添加ip地址，既网关地址

2.进入g0/0/1接口，给接口添加ip地址

3进入g0/0/2接口，给接口添加ip

4.创建acl3000列表，允许pc1访问pc3.拒绝所有来源到pc2网络的访问



5.创建acl3001列表，拒接所有从192.168.1.0网段到server1的ping


6.允许client到server1的www服务

7.拒绝所有来源到server1的www服务

8.进入g0/0/0，在该入口方向调用acl 3000，inbound为入方向

9.进入g0/0/2，在该出口条用acl 3001，outbound为出口方向

禁止192.168.1.0/24ping web服务器

仅允许client1访问web服务器的www服务

二 、NAT网络地址转换

概括：
用于实现私有网络和公有网络之间的互访

工作原理

• NAT用来将内网地址和端口号转换成合法的公网地址和端口号，建立一个会话，与公网主机进行通讯

• NAT外部的主机无法主动跟位于NAT内部的主机通信，NAT内部主机想要通信，必须主动和公网的一个IP通信，路由器负责建立一个映射关系，从而实现数据的转发

功能

NAT不仅能解决IP地址不足的问题，而且还能够有效地避免来自网络外部的入侵，隐藏并保护网络内部的计算机

1.宽带分享：这是NAT主机的最大功能（将一个公网地址的带宽分享给多个主机）

2.安全防护：NAT之内的PC联机到Internet上面时，他所显示的IP时NAT主机的公网IP，所以Client端的PC就具有一定程度的安全了，外界在进行portscan（端口扫描）的时候，就侦测不到源Client端的PC

优点：节省公有合法ip地址，处理地址重叠，增强灵活性，安全性
缺点：延迟增大，配置和维修的复杂性，不支持某些应用（vpn）

NAT的类型

• 静态NAT（Static Translation）：私网IP和公网IP是一对一的关系，并且需要一对一绑定

• 动态NAT（Dynamic Translation）：私网IP和公网IP是一对一的关系，需要定义公网IP地址池，私网转换时会轮询地址池里的每个IP地址

• 端口多路复用（Port Address Translation，PAT）:私网IP和公网IP是多对一的关系，公网IP地址池中只定义一个公网IP，私网IP只对应一个自定义的公网IP

1.静态PAT（NAPT、Easy IP）:私网IP和公网IP是多对一的关系，直接使用路由器外网接口的IP，私网IP只对应路由器外网接口的公网IP

2.动态PAT（Nat server）:一个公网IP和不同的端口可以对应不同的私网IP和端口

数据包从内网发往外网时，NAT会将包源ip由死亡地址转换成公网地址当响应的数据包从外网发给内网时，NAT会将包目ip由公网ip转成私网ip

例

静态NAT

1. 进入g0/0/0端口，给接口添加ip地址
   
2. 进入g0/0/1接口，给端口添加ip地址
   3. 进入g0/0/1，设置与内网地址映射的外网地址，在网口启动nat static enable 功能
   
3. 查看
   

静态NAT 二
1.进入g0/0/0端口，给接口添加ip地址

2.进入g0/0/1端口，给端口添加ip地址

3.设置与内网地址映射的外网地址，查看NAT静态配置信息

动态NAT
1.进入g0/0/0和g0/0/，给接口添加ip地址

2.建立一个名为1的nat地址池
3.创建ACL，允许所有源地址数据能通过
4.将ACL 2000匹配的数据转换为该接口的IP地址作为源地址
5.查看

NAPT

1.进入g0/0/0和g0/0/1，给接口添加ip地址
2.使用一个固定ip
3.允许使用源地址的数据都能通过
4.将ACL 2000匹配的数据转换为该接口的IP地址作为源地址

Easy ID

1.进入g0/0/0和g0/0/1，给接口添加ip地址
2.允许使用源地址的数据都能通过
3.当acl3000匹配的源IP数据到达此接口时， 转换为该接口的IP地址做为源地址
4.查看