思科设备ACL与NAT技术

已于 2023-07-10 11:17:17 修改
阅读量8k 收藏 97
点赞数 5
分类专栏： 博客园搬家 文章标签： 网络 cisco 思科网络设备配置 ACL与NAT 思科设备 网络工程师
于 2022-05-23 10:52:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lyshark_csdn/article/details/124923264
版权

ACL 访问控制列表(Access Control Lists),是应用在路由器(或三层交换机)接口上的指令列表,用来告诉路由器哪些数据可以接收,哪些数据是需要被拒绝的,ACL的定义是基于协议的,它适用于所有的路由协议,并根据预先定义好的规则对数据包进行过滤,从而更好的控制数据的流入与流出.

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

思科ACL访问控制

路由器接口的访问控制取决于应用在其上的ACL,数据在进出网络前,路由器会根据ACL对其进行匹配,匹配成功将对数据进行过滤或者是转发,匹配失败则丢弃数据包,目前主要有三种ACL控制,标准ACL,扩展ACL,命名ACL,我们只介绍前两种.

在路由器上应用ACL时,可以为每种协议,每个端口,每个方向,和每个接口,配置一个ACL,一般称为3p原则.

标准ACL配置

标准ALCL只能通过源地址进行访问过滤与控制,因此只能阻止/允许来自指定IP地址的访问请求.

配置交换机: 首先配置交换机,这里开启3个端口Fa0/1-3,并配置端口速率100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-3
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable
Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.1.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/1
Router0(config-if)# ip address 192.168.2.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

配置标准ACL: 在路由器上配置一条标准的ACL规则,禁止PC0访问Server0服务器.

Router0> enable
Router0# configure terminal

Router0(config)# access-list 1 deny 192.168.1.1 0.0.0.0    // 拒绝192.168.1.1访问Server0
Router0(config)# access-list 1 permit any                  // 设置默认允许所有,兜底操作
Router0(config)#
Router0(config)# interface GigabitEthernet 0/0             // 选择接口Gig0/0
Router0(config-if)# ip access-group 1 in                   // 将以上配置条目应用到当前接口上
#Router0(config-if)# ip access-group 1 out                 // 控制出口流量(可省略)

测试过滤效果: 配置完规则以后,我们测试一下效果,使用PC0无法访问server服务器而是用PC1则可以访问.

PC0> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

这里需要注意一点,如果你有两个路由器相连,那么ACL规则应该设置在距离限制的目标较近的路由器上,否则可能会出现有效数据在到达目标之前就被过滤掉了.

拓展ACL配置

标准ACL只能使用源地址作为匹配条件,无法对访问进行精确的控制,为了解决这一问题,可以采用扩展ACL来对数据加以限制.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable
Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.1.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.2.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

配置拓展ACL: 配置拓展ACL规则,禁止PC0访问192.168.2.1,禁止PC1访问192.168.2.1主机的80端口,允许其他所有.

Router0> enable
Router0# configure terminal

Router0(config)# access-list 100 deny ip host 192.168.1.1 host 192.168.2.1               // 拒绝IP地址
Router0(config)# access-list 100 deny TCP host 192.168.1.2 eq 80 host 192.168.2.1 eq 80  // 拒绝TCP=80
Router0(config)# access-list 100 permit ip any any                                       // 默认允许

Router0(config)# interface GigabitEthernet 0/0               // 选择接口GigabitEthernet 0/0
Router0(config-if)# ip access-group 100 in                   // 将以上配置条目应用到当前接口上
Router0(config-if)# ip access-group 100 out                  // 将以上配置条目应用到当前接口上
Router0# show access-list                                    // 查询配置结果

测试过滤效果: 配置完规则后测试下,经测试PC0无法访问Server0,而PC1无法访问目标主机的80端口其他主机放行.

PC0> ping 192.168.2.1
Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1
Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

与标准ACL相比,扩展ACL能够更加精确的匹配和过滤数据包,因此扩展ACL的放置位置应该离源地址越近越好,这样才能够有效的提高链路的使用效率.

思科NAT地址转换

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

NAT技术中有四种地址即,内部本地地址,内部全局地址,外部本地地址,外部全局地址.

配置静态NAT

静态NAT是指将内部本地地址与内部全局地址进行对应转换,某个本地地址只能转换为某个全局地址,通过配置静态NAT可以实现内部网络对外部网络的访问,也可以实现外部网络对内部网络中某个设备的访问.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router10上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置静态NAT: 在路由器Router0上配置静态NAT,将私有地址转为全局地址(内网地址-->外网地址).

Router> enable
Router# configure terminal

Router0(config)# ip nat inside source static 192.168.1.2 10.10.10.20  // 配置NAT条目1
Router0(config)# ip nat inside source static 192.168.1.3 10.10.10.30  // 配置NAT条目2
Router0(config)# ip nat inside source static 192.168.1.4 10.10.10.40  // 配置NAT条目3

Router0(config)# interface fa0/0                                      // 选择内部端口
Router0(config-if)# ip nat inside                                     // 应用到定义的内部接口
Router0(config-if)#
Router0(config-if)# interface serial0/0/0                             // 选择外部接口
Router0(config-if)# ip nat outside                                    // 应用到定义的外部接口
Router0(config-if)# exit

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro  Inside global     Inside local       Outside local      Outside global
---  10.10.10.20       192.168.1.2        ---                ---
---  10.10.10.30       192.168.1.3        ---                ---
---  10.10.10.40       192.168.1.4        ---                ---

PC0> ping 10.10.10.2
Pinging 10.10.10.2 with 32 bytes of data:
Reply from 10.10.10.2: bytes=32 time=1ms TTL=254

Router1# ping 10.10.10.20
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.10.20, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/9 ms

配置动态NAT

动态NAT是指内部本地地址与内部全局地址进行转换时,内部地址可以随机转换为指定的外部全局地址,此过程是动态分配的不需要认为干预,从而减少了配置的工作量.

但需要注意的是,配置动态NAT只能实现内部网络对互联网的访问,无法实现互联网中的主机对内部网络中的主机的访问,也就是说,它是一种单向的NAT技术.

清除NAT列表: 动态NAT的配置我们同样适用上面的拓扑图,只是在NAT的配置上有些小改动.

Router0# clear ip nat translation *             // 清除动态NAT转换列表
Router0# show ip access-list                    // 显示ACL配置信息
Router0# show ip nat statistics                 // 查看NAT转换统计信息
Router0# clear ip nat statistics                // 清除NAT转换统计信息

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router0上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置动态NAT: 这里分配外网IP范围是10.10.10.20-40,内部地址范围是192.168.1.0/24,并绑定好接口.

Router0> enable
Router0# configure terminal

Router0(config)# ip nat pool NAT 10.10.10.20 10.10.10.40 netmask 255.0.0.0 //定义内部全局IP地址池
Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255       // 定义可转换的内部本地IP地址
Router0(config)# ip nat inside source list 1 pool NAT   //配置动态NAT映射,将NAT地址池与ACL关联

Router0(config)# interface fa0/0                      // 配置内部端口
Router0(config-if)# ip nat inside

Router0(config-if)# interface serial0/0/0             // 配置外部端口
Router0(config-if)# ip nat outside
Router0(config-if)# no shutdown

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro  Inside global     Inside local       Outside local      Outside global
icmp 10.10.10.21:5     192.168.1.3:5      10.10.10.2:5       10.10.10.2:5
icmp 10.10.10.21:6     192.168.1.3:6      10.10.10.2:6       10.10.10.2:6
icmp 10.10.10.22:9     192.168.1.3:9      10.10.10.2:9       10.10.10.2:9
icmp 10.10.10.23:10    192.168.1.2:10     10.10.10.2:10      10.10.10.2:10

多路复用PAT

端口多路复用即端口地址转换(PAT,Port Address Translation),是指将内部本地IP地址动态的转换为单一的内部全局IP地址和端口号,内部全局IP地址只是用一个,而不是一组地址池,也就是一个IP地址绑定多个端口,从而更大的节约了IP地址的资源短缺.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router0上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置多路复用PAT: 在路由器Router0上配置PAT,多路复用.

Router> enable
Router# configure terminal

Router0(config)# ip nat pool PAT 10.10.10.10 10.10.10.10 netmask 255.0.0.0  // 定义外网IP地址
Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255                 // 定义ACL
Router0(config)# ip nat inside source list 1 pool PAT overload              // 将地址池与ACL绑定

Router0(config)# interface fa0/0                 // 定义连接内部网络的接口
Router0(config-if)# ip nat inside
Router0(config-if)# interface serial0/0/0        // 定义链接外部网络的接口
Router0(config-if)# ip nat outside

查询配置地址表: 最后可以检测一下是否能够连接到内部与外部的主机.

Router#show ip nat translations

Pro  Inside global     Inside local       Outside local      Outside global
icmp 10.10.10.10:1024  192.168.1.4:1      10.10.10.2:1       10.10.10.2:1024
icmp 10.10.10.10:1025  192.168.1.2:8      10.10.10.2:8       10.10.10.2:1025
icmp 10.10.10.10:1027  192.168.1.3:1      10.10.10.2:1       10.10.10.2:1027
参考文献

《网络设备配置与管理》 邱洋
《HCIP 华为 - 安全认证》 笔记

微软技术分享
关注
  • 5
    点赞
  • 踩
  • 97
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
h3c交换机限制端口访问_勒索病毒,华为/H3C三层交换机/路由器用ACL访问控制实现端口禁用...
weixin_39999859的博客
12-21 8794
前不久勒索病毒横行，很多人都纷纷中招，从公司到个人，损失相当惨重。有些公司在互联网入口上做了控制，但是这样并非完全，万一有人把中了毒的U盘插入网内设备上呢？那我们的内网中很有可能集体中招(打过相关补丁的除外)。我们今天就说说如何在路由、交换机上实现相应的访问控制，封堵相关端口，防止病毒在网络内部蔓延。以华为和H3C设备配置为例。什么？为什么没有思科？要啥自行车，我们需要支持国产！*********...
在CISCO IOS上熟练掌握ACL，NAT和DHCP
11-16
熟练掌握ACL，NAT和DHCP的原理以及在CISCO IOS上对它们进行配置的方法
思科ACL访问控制列表常规配置
热门推荐
brave_stone的博客
11-26 5万+
一、ACL概述 ACL (Access Control List,访问控制列表）是一系列运用到路由器接口的指令列表。这些指令告诉路由器接收哪些数据包、拒绝哪些数据包，接收或者拒绝根据一定的规则进行，如源地址、目标地址、端口号等。ACL使得用户能够管理数据流，检测特定的数据包。 　　路由器将根据ACL中指定的条件，对经过路由器端口的数据包进行检査。ACL可以基于所有的Routed Protocol...
ACL访问控制列表
03-14
ACL访问控制列表实验，有详细的拓扑图和命令。实验有扩展ACL和标准ACL
思科网络中如何配置标准ACL协议
2201_75693008的博客
03-09 1609
根据每台PC机所处的位置配置地址，这里可以统一给他们的地址为.1 / .2（每个IP网段共有254个地址是可以分配给PC机的，分别是第1~254，IP地址中的第一个地址.0是网络地址（保留地址），IP网段的最后一个地址.255是广播地址（保留地址）这样做是为了确保只有主机位为奇数的IP地址（即最后一位为1的IP地址）被允许通过ACL，而主机位为偶数的IP地址（即最后一位为0的IP地址）被拒绝。（创建一个标准ACL（ACL编号为1），表示只允许主机位为192.168.2.1的主机通过ACL）
思科模拟器三层交换机配置 NAT ACL
07-30
思科模拟器配置文件及其说明，包含三层交换机配置、nat的转换、静态路由的配置和acl的相关知识与配置
Cisco访问控制列表配置指南全套
07-22
资源名称：Cisco访问控制列表配置指南全套资源目录：  教程目录【】Cisco访问控制列表配置004动态访问表【】013附录C 标准的访问表【】Cisco访问控制列表配置003Cisco访问表基础【】Cisco访问控制列表配置ACL总结报告【】Cisco访问控制列表配置009Cisco加密技术与IPSec【】Cisco访问控制列表配置0 资源太大，传百度网盘了，链接在附件中，有需要的同学自取。
思科模拟器 | 访问控制列表ACL实现网段精准隔绝
做技术人 · 产优质博客 · 找好工作
05-08 6101
访问控制列表ACL实现网段精准隔绝，灵活控制IP的访问接入
【交换篇】14. 限制 VLAN 之间互相访问 ❀ C3750-E ❀ CISCO 交换机
防火墙技术专栏
03-08 9584
前面我们为了所有VLAN都可以上网，开启了交换机的路由功能，但现实情况是需要限制某些VLAN之间的互相访问，这就需要用到ACL（访问控制列表）功能了。
使用ACL限制不同网段的用户控制访问
weixin_45921302的博客
09-24 2830
不同valn之间的控制访问。
思科ASA防火墙：控制防火墙不让访问指定网站
鲍海超
04-12 1245
access-list + 名字 + permit + 协议 + 要被控制的网段 +子网掩码 + any全部 + eq + 协议。regex + 创建的w1 + "\.名字\.后缀"检查到c3里面的网址后把包丢弃 并且发送日志。创建一个检查http类型的类 c3。外网客户机：server 2016。win10可以通过域名访问网站。创建一个c2 把 w1 映射进去。要检查的内容是c2里包含的网址。创建一个检查类型的策略p1。exit exit 退回全局。exit exit 退回全局。内网客户机：win10。
ACL 限制访问
qq_51574973的博客
02-11 3536
ACL 筛选数据
CCNA ACL NAT PPT 文件
10-20
这个是CCNA ACL NAT的PPT的参考文档，非常实用哦，是我的培训老师给我们的，都是来自cisco的官方资料，请大家作为参考。
ACL NAT实验题-20141210
12-23
ACL NAT （1） PC1 ping 8.8.8.8 截图 （2） PC2 ping 8.8.8.8 截图 （3） R4 show ip nat translation 截图 （4） R4 show ip route 截图 （5） PC3 ping 8.8.8.8 截图
ACL，NAT和DHCP的使用和配置
01-01
ACL，NAT和DHCP的使用和配置 实验目的：熟练掌握ACL，NAT和DHCP的原理以及在CISCO IOS上对它们进行配置的方法 实验内容：ACL的配置 NAT的配置 DHCP的配置 实验条件：2600系列路由器两台，2900交换机一台，PC两台
实战对抗DDoS攻击
最新发布
NSME1的博客
04-26 440
对DDoS的深入理解才能更好的做防护
webman 事务回滚失效问题记录
juan9872的博客
04-21 760
webman是一款基于workerman开发的高性能HTTP服务框架。webman用于替代传统的php-fpm架构，提供超高性能可扩展的HTTP服务。你可以用webman开发网站，也可以开发HTTP接口或者微服务。除此之外，webman还支持自定义进程，可以做workerman能做的任何事情，例如websocket服务、物联网、游戏、TCP服务、UDP服务、unix socket服务等等。
Verilog 不可综合部分
Arthur...J的博客
04-22 569
Verilog中存在部分用于仿真验证的子集，只在仿真时使用，因为没有对应的硬件元件，因此不可综合。
网络安全（黑客技术）—2024自学
TDJYGC的博客
04-17 1456
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。走安全行业的工程方向的，技术上面其实有很大的重叠性，抛开甲乙方、岗位名称、岗位职责等因素来看，作为学技术的，也根据以往我们给学员推荐就业和入职情况来看，只要好好掌握以下几种技术（网络协议与安全设备、Linux操作系统、Web服务部署/开发、主流渗透测试/安全工具、一门及以上的编程语言）中的2到3个，都可以较好的胜任工作需求。
思科 访问控制列表ACL配置
01-10
ACL（Access Control List）是一种用于控制网络流量的技术，可以根据设定的条件对数据包进行过滤和控制。思科设备（如路由器和交换机）支持ACL配置，以实现网络安全和流量控制。 以下是一个示例ACL配置的方法： 1. 首先，进入思科设备的特权模式（Privileged EXEC mode）。 2. 进入全局配置模式（Global Configuration mode），使用以下命令： ``` configure terminal ``` 3. 创建一个ACL，可以选择创建标准ACL或扩展ACL。例如，创建一个标准ACL，使用以下命令： ``` access-list <ACL号> {permit | deny} <源地址> [掩码] ``` 其中，ACL号是一个唯一的标识符，用于区分不同的ACL规则。permit表示允许匹配的数据包通过，deny表示拒绝匹配的数据包通过。源地址和掩码用于指定要匹配的数据包的源IP地址。 例如，创建一个标准ACL，拒绝源IP地址为192.168.1.0/24的数据包通过，使用以下命令： ``` access-list 1 deny 192.168.1.0 0.0.0.255 ``` 4. 将ACL应用到接口上，使用以下命令： ``` interface <接口> ip access-group <ACL号> {in | out} ``` 其中，接口是要应用ACL的接口，ACL号是之前创建的ACL的标识符。in表示应用ACL到接口的入方向，out表示应用ACL到接口的出方向。 例如，将ACL 1应用到接口GigabitEthernet0/1的入方向，使用以下命令： ``` interface GigabitEthernet0/1 ip access-group 1 in ``` 5. 完成ACL配置后，保存配置并退出配置模式，使用以下命令： ``` end write memory ``` 以上是一个简单的思科ACL配置的示例。根据实际需求，可以根据不同的条件和规则创建和应用ACL来实现网络流量的控制和安全保护。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值