ACL与NAT

目录

ACL（访问控制列表）

ACL概述与产生背景

ACL应用

ACL种类

ACL应用原则

ACL匹配规则

NAT（网络地址翻译）

NAT工作机制        

静态NAT

NATPT（端口映射）

Easy-IP

实验

---

ACL（访问控制列表）

ACL概述与产生背景

ACL: access list 访问控制列表

白名单：默认拒绝所有，放一个 可以通信一个 自己内部的业务

黑名单：默认开放所有，加入一个，不能通信一个。

ACL应用

ACL 两种应用 :

1. 应用在接口的 ACL----- 过滤数据包（原目 ip 地址，原目mac， 端口 五元组）

2. 应用在路由协议 ------- 匹配相应的路由条目

3. NAT 、 IPSEC VPN 、 QOS----- 匹配感兴趣的数据流 （匹配上我设置的 数据流的）

ACL种类

ACL应用原则

基本 ACL: 尽量用在靠近目的点

高级 ACL: 尽量用在靠近源的地方 ( 可以保护带宽和其他资源)

ACL匹配规则

1 、一个接口的同一个方向，只能调用一个 acl

2 、一个 acl 里面可以有多个 rule 规则，按照规则 ID 从小到大排序，从上往下依次执行

3 、数据包一旦被某 rule 匹配，就不再继续向下匹配

4 、用来做数据包访问控制时，默认隐含放过所有 ( 华为设备)

 

NAT（网络地址翻译）

一个数据包目的 ip 或者源 ip 为私网地址， 运营商的设备无法转发数据。

NAT工作机制        

一个数据包从企业内网去往公网时，路由器将数据包当中的源ip （私有地址），翻译成公网地址

静态NAT

工程手动将一个私有地址和一个公网地址进行关联，一一对应，缺点和静态路由一样

NATPT（端口映射）

NAT Server---- 内网服务器对外提供服务，针对目的 ip 和目的端口映射， 内网服务器的相应端口映射成路由器公网 ip 地址的相应端口

Easy-IP

1. 使用列表匹配私网的 ip 地址

2. 将所有的私网地址映射成路由器当前接口的公网地址

实验

nat

企业出口
[R1]int g0/0/0 //进入接口g0/0/0
[R1-GigabitEthernet0/0/0]undo shut undo shut//开启物理接口
[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24  //配置IP地址及子网掩码长度
[R1-GigabitEthernet0/0/0]int g0/0/1  //进入接口g0/0/1
[R1-GigabitEthernet0/0/1]undo shut //开启物理接口
[R1-GigabitEthernet0/0/1]ip add 202.10.10.1 24  //配置IP地址及子网掩码长度
[R1]nat address-group 1 15.0.0.10 15.0.0.11 //配置NAT外网地址池
[R1]acl 2000 //创建标准访问控制列表2000 
[R1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255 //配置ACL抓取内网地址段
[R1-acl-basic-2000]int g0/0/1 //进入接口g0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 //在外网口调用acl2000    
[R1]ip route-static 0.0.0.0 32 202.10.10.2  // 配置默认路由，下一跳入接口 202.10.10.2
[R1-GigabitEthernet0/0/1]display nat outbound //查看是否成功

ACL

R1

[Huawei]sys R1

[R1]int g0/0/1

[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24

[R1-GigabitEthernet0/0/1]int g0/0/2

[R1-GigabitEthernet0/0/2]ip add 192.168.3.254 24

[R1-GigabitEthernet0/0/2]int g0/0/0

[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24

[R1-GigabitEthernet0/0/0]int g0/0/1

[R1-GigabitEthernet0/0/1]q

[R1]acl 2000

[R1-acl-basic-2000]rule deny source 192.168.1.1 0

acl number 2000  

[R1-acl-basic-2000]int g0/0/1

[R1-GigabitEthernet0/0/1]traf

[R1-GigabitEthernet0/0/1]traffic-filter outbound 2000

[R1-GigabitEthernet0/0/1]traffic-filter outbound acl 2000

[R1-GigabitEthernet0/0/1]undo traffic-filter outbound

[R1-GigabitEthernet0/0/1]dis th

[V200R003C00]

interface GigabitEthernet0/0/1

 ip address 192.168.2.254 255.255.255.0

return

[R1-GigabitEthernet0/0/1]q

[R1]acl 3000

[R1-acl-adv-3000]rule deny tcp 192.168.1.1 0 des

[R1-acl-adv-3000]rule deny tcp source                  

[R1-acl-adv-3000]rule deny tcp source 192.168.1.1 0 destination 192.168.2.1 0 de

stination-port eq www

[R1-acl-adv-3000]int g0/0/0

[R1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

结果