思科设备ACL与NAT技术

已于 2023-07-10 11:17:17 修改
阅读量1.9w 收藏 121
点赞数 7
文章标签： 网络 cisco 思科网络设备配置 ACL与NAT 思科设备 网络工程师
于 2022-05-23 10:52:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lyshark_csdn/article/details/124923264
版权

ACL 访问控制列表(Access Control Lists),是应用在路由器(或三层交换机)接口上的指令列表,用来告诉路由器哪些数据可以接收,哪些数据是需要被拒绝的,ACL的定义是基于协议的,它适用于所有的路由协议,并根据预先定义好的规则对数据包进行过滤,从而更好的控制数据的流入与流出.

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

思科ACL访问控制

路由器接口的访问控制取决于应用在其上的ACL,数据在进出网络前,路由器会根据ACL对其进行匹配,匹配成功将对数据进行过滤或者是转发,匹配失败则丢弃数据包,目前主要有三种ACL控制,标准ACL,扩展ACL,命名ACL,我们只介绍前两种.

在路由器上应用ACL时,可以为每种协议,每个端口,每个方向,和每个接口,配置一个ACL,一般称为3p原则.

标准ACL配置

标准ALCL只能通过源地址进行访问过滤与控制,因此只能阻止/允许来自指定IP地址的访问请求.

配置交换机: 首先配置交换机,这里开启3个端口Fa0/1-3,并配置端口速率100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-3
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable
Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.1.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/1
Router0(config-if)# ip address 192.168.2.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

配置标准ACL: 在路由器上配置一条标准的ACL规则,禁止PC0访问Server0服务器.

Router0> enable
Router0# configure terminal

Router0(config)# access-list 1 deny 192.168.1.1 0.0.0.0    // 拒绝192.168.1.1访问Server0
Router0(config)# access-list 1 permit any                  // 设置默认允许所有,兜底操作
Router0(config)#
Router0(config)# interface GigabitEthernet 0/0             // 选择接口Gig0/0
Router0(config-if)# ip access-group 1 in                   // 将以上配置条目应用到当前接口上
#Router0(config-if)# ip access-group 1 out                 // 控制出口流量(可省略)

测试过滤效果: 配置完规则以后,我们测试一下效果,使用PC0无法访问server服务器而是用PC1则可以访问.

PC0> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1

Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

这里需要注意一点,如果你有两个路由器相连,那么ACL规则应该设置在距离限制的目标较近的路由器上,否则可能会出现有效数据在到达目标之前就被过滤掉了.

拓展ACL配置

标准ACL只能使用源地址作为匹配条件,无法对访问进行精确的控制,为了解决这一问题,可以采用扩展ACL来对数据加以限制.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Fa0/1端口,并配置上网关地址.

Router0> enable
Router0# configure terminal

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.1.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface GigabitEthernet 0/0
Router0(config-if)# ip address 192.168.2.254 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

配置拓展ACL: 配置拓展ACL规则,禁止PC0访问192.168.2.1,禁止PC1访问192.168.2.1主机的80端口,允许其他所有.

Router0> enable
Router0# configure terminal

Router0(config)# access-list 100 deny ip host 192.168.1.1 host 192.168.2.1               // 拒绝IP地址
Router0(config)# access-list 100 deny TCP host 192.168.1.2 eq 80 host 192.168.2.1 eq 80  // 拒绝TCP=80
Router0(config)# access-list 100 permit ip any any                                       // 默认允许

Router0(config)# interface GigabitEthernet 0/0               // 选择接口GigabitEthernet 0/0
Router0(config-if)# ip access-group 100 in                   // 将以上配置条目应用到当前接口上
Router0(config-if)# ip access-group 100 out                  // 将以上配置条目应用到当前接口上
Router0# show access-list                                    // 查询配置结果

测试过滤效果: 配置完规则后测试下,经测试PC0无法访问Server0,而PC1无法访问目标主机的80端口其他主机放行.

PC0> ping 192.168.2.1
Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.1.254: Destination host unreachable.

PC1> ping 192.168.2.1
Pinging 192.168.2.1 with 32 bytes of data:
Reply from 192.168.2.1: bytes=32 time=0ms TTL=127

与标准ACL相比,扩展ACL能够更加精确的匹配和过滤数据包,因此扩展ACL的放置位置应该离源地址越近越好,这样才能够有效的提高链路的使用效率.

思科NAT地址转换

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

NAT技术中有四种地址即,内部本地地址,内部全局地址,外部本地地址,外部全局地址.

配置静态NAT

静态NAT是指将内部本地地址与内部全局地址进行对应转换,某个本地地址只能转换为某个全局地址,通过配置静态NAT可以实现内部网络对外部网络的访问,也可以实现外部网络对内部网络中某个设备的访问.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router10上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置静态NAT: 在路由器Router0上配置静态NAT,将私有地址转为全局地址(内网地址-->外网地址).

Router> enable
Router# configure terminal

Router0(config)# ip nat inside source static 192.168.1.2 10.10.10.20  // 配置NAT条目1
Router0(config)# ip nat inside source static 192.168.1.3 10.10.10.30  // 配置NAT条目2
Router0(config)# ip nat inside source static 192.168.1.4 10.10.10.40  // 配置NAT条目3

Router0(config)# interface fa0/0                                      // 选择内部端口
Router0(config-if)# ip nat inside                                     // 应用到定义的内部接口
Router0(config-if)#
Router0(config-if)# interface serial0/0/0                             // 选择外部接口
Router0(config-if)# ip nat outside                                    // 应用到定义的外部接口
Router0(config-if)# exit

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro  Inside global     Inside local       Outside local      Outside global
---  10.10.10.20       192.168.1.2        ---                ---
---  10.10.10.30       192.168.1.3        ---                ---
---  10.10.10.40       192.168.1.4        ---                ---

PC0> ping 10.10.10.2
Pinging 10.10.10.2 with 32 bytes of data:
Reply from 10.10.10.2: bytes=32 time=1ms TTL=254

Router1# ping 10.10.10.20
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.10.20, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/5/9 ms

配置动态NAT

动态NAT是指内部本地地址与内部全局地址进行转换时,内部地址可以随机转换为指定的外部全局地址,此过程是动态分配的不需要认为干预,从而减少了配置的工作量.

但需要注意的是,配置动态NAT只能实现内部网络对互联网的访问,无法实现互联网中的主机对内部网络中的主机的访问,也就是说,它是一种单向的NAT技术.

清除NAT列表: 动态NAT的配置我们同样适用上面的拓扑图,只是在NAT的配置上有些小改动.

Router0# clear ip nat translation *             // 清除动态NAT转换列表
Router0# show ip access-list                    // 显示ACL配置信息
Router0# show ip nat statistics                 // 查看NAT转换统计信息
Router0# clear ip nat statistics                // 清除NAT转换统计信息

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router0上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置动态NAT: 这里分配外网IP范围是10.10.10.20-40,内部地址范围是192.168.1.0/24,并绑定好接口.

Router0> enable
Router0# configure terminal

Router0(config)# ip nat pool NAT 10.10.10.20 10.10.10.40 netmask 255.0.0.0 //定义内部全局IP地址池
Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255       // 定义可转换的内部本地IP地址
Router0(config)# ip nat inside source list 1 pool NAT   //配置动态NAT映射,将NAT地址池与ACL关联

Router0(config)# interface fa0/0                      // 配置内部端口
Router0(config-if)# ip nat inside

Router0(config-if)# interface serial0/0/0             // 配置外部端口
Router0(config-if)# ip nat outside
Router0(config-if)# no shutdown

查询NAT配置: 配置完成后,我们可以使用show ip nat translation命令,来查询端口情况.

Router0# show ip nat translation

Pro  Inside global     Inside local       Outside local      Outside global
icmp 10.10.10.21:5     192.168.1.3:5      10.10.10.2:5       10.10.10.2:5
icmp 10.10.10.21:6     192.168.1.3:6      10.10.10.2:6       10.10.10.2:6
icmp 10.10.10.22:9     192.168.1.3:9      10.10.10.2:9       10.10.10.2:9
icmp 10.10.10.23:10    192.168.1.2:10     10.10.10.2:10      10.10.10.2:10

多路复用PAT

端口多路复用即端口地址转换(PAT,Port Address Translation),是指将内部本地IP地址动态的转换为单一的内部全局IP地址和端口号,内部全局IP地址只是用一个,而不是一组地址池,也就是一个IP地址绑定多个端口,从而更大的节约了IP地址的资源短缺.

配置交换机: 首先配置交换机,这里开启4个端口Fa0/1-4,并配置端口速率为100.

Switch0> enable
Switch0># configure terminal

Switch0(config)# interface range fa0/1-4
Switch0(config-if-range)# speed 100
Switch0(config-if-range)# no shutdown
Switch0(config-if-range)# exit

配置路由器: 接着配置路由器,开启路由器的Fa0/0和Se0/0/0端口,并配置上网关地址.

Router> enable
Router# configure terminal

#----在Router0上操作-------------------------
Router0(config)# interface fa0/0
Router0(config-if)# ip address 192.168.1.1 255.255.255.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

Router0(config)# interface se0/0/0
Router0(config-if)# ip address 10.10.10.1 255.0.0.0
Router0(config-if)# no shutdown
Router0(config-if)# exit

#----在Router1上操作-------------------------
Router1(config)# interface se0/0/0
Router1(config-if)# ip address 10.10.10.2 255.0.0.0
Router1(config-if)# no shutdown
Router1(config-if)# exit

配置多路复用PAT: 在路由器Router0上配置PAT,多路复用.

Router> enable
Router# configure terminal

Router0(config)# ip nat pool PAT 10.10.10.10 10.10.10.10 netmask 255.0.0.0  // 定义外网IP地址
Router0(config)# access-list 1 permit 192.168.1.0 0.0.0.255                 // 定义ACL
Router0(config)# ip nat inside source list 1 pool PAT overload              // 将地址池与ACL绑定

Router0(config)# interface fa0/0                 // 定义连接内部网络的接口
Router0(config-if)# ip nat inside
Router0(config-if)# interface serial0/0/0        // 定义链接外部网络的接口
Router0(config-if)# ip nat outside

查询配置地址表: 最后可以检测一下是否能够连接到内部与外部的主机.

Router#show ip nat translations

Pro  Inside global     Inside local       Outside local      Outside global
icmp 10.10.10.10:1024  192.168.1.4:1      10.10.10.2:1       10.10.10.2:1024
icmp 10.10.10.10:1025  192.168.1.2:8      10.10.10.2:8       10.10.10.2:1025
icmp 10.10.10.10:1027  192.168.1.3:1      10.10.10.2:1       10.10.10.2:1027
参考文献

《网络设备配置与管理》 邱洋
《HCIP 华为 - 安全认证》 笔记

思科模拟器三层交换机配置 NAT ACL
07-30
思科模拟器配置文件及其说明，包含三层交换机配置、nat的转换、静态路由的配置和acl的相关知识与配置
ACL与NAT
Liu_Fang_Hong的博客
04-22 602
ACL，是Access Control List的简写，中文名称叫做“访问控制列表”。它是由一系列条件规则（即描述报文匹配条件的判断语句）组成， 这些条件规则可以是报文的源地址、目的地址、端口号等，是一种应用在网络设备各种软硬接口上的的指令列表。ACL是一个匹配工具，能够对报文进行匹配和区分，ACL工作时当数据包从接口经过时，进行筛选IP地址，ACL由若干条Permit或者Deny语句组成，每条语句都是ACL的规则规则编号：一个ACL中每一条规则都有一个对应的编号。
思科模拟器 | 访问控制列表ACL实现网段精准隔绝
做技术人 · 产优质博客 · 找好工作
05-08 8260
访问控制列表ACL实现网段精准隔绝，灵活控制IP的访问接入
网络配置实战：DHCP、VLAN、Trunk与NAT的全面解析（思科）
最新发布
yyyyyyrrr_的博客
10-06 500
本文深入探讨了网络配置中的四大核心技术：DHCP（动态主机配置协议）、VLAN（虚拟局域网）、Trunk模式以及NAT（网络地址转换）。首先，DHCP通过自动分配IP地址、子网掩码、默认网关和DNS服务器等信息，简化了网络管理。文章详细解析了创建DHCP地址池、定义网络地址和子网掩码、设置默认网关以及配置DNS服务器的步骤。
【交换篇】14. 限制 VLAN 之间互相访问 ❀ C3750-E ❀ CISCO 交换机
防火墙技术专栏
03-08 1万+
前面我们为了所有VLAN都可以上网，开启了交换机的路由功能，但现实情况是需要限制某些VLAN之间的互相访问，这就需要用到ACL（访问控制列表）功能了。
使用ACL限制不同网段的用户控制访问
weixin_45921302的博客
09-24 3191
不同valn之间的控制访问。
思科ASA防火墙：控制防火墙不让访问指定网站
鲍海超
04-12 1441
access-list + 名字 + permit + 协议 + 要被控制的网段 +子网掩码 + any全部 + eq + 协议。regex + 创建的w1 + "\.名字\.后缀"检查到c3里面的网址后把包丢弃 并且发送日志。创建一个检查http类型的类 c3。外网客户机：server 2016。win10可以通过域名访问网站。创建一个c2 把 w1 映射进去。要检查的内容是c2里包含的网址。创建一个检查类型的策略p1。exit exit 退回全局。exit exit 退回全局。内网客户机：win10。
ACL 限制访问
qq_51574973的博客
02-11 5017
ACL 筛选数据
实战思科路由器NAT案例配置详解
01-12
网络地址转换（Network Address Translation，简称NAT）是一种广泛用于解决IP地址短缺问题的技术，它允许一个或多个内部网络设备共享一个公共的外部IP地址与互联网通信。在实际网络工程设计中，熟练掌握思科路由器上...
NAT.rar_ccna_cisco nat
09-20
**网络地址转换（Network Address Translation, NAT）是网络通信...通过阅读“NAT.pdf”文档，你可以进一步了解Cisco的NAT配置、命令以及实际应用中的案例分析，这对于提升网络技术知识和解决实际问题的能力大有裨益。
CCNA ACL NAT PPT 文件
10-20
标题中的"CCNA ACL NAT PPT 文件"表明这是一份关于Cisco Certified Network Associate（CCNA）认证课程中访问控制列表（ACL）和网络地址转换（NAT）的PowerPoint（PPT）教学材料。描述中提到这份文档是培训老师的...
思科路由器的NAT入门介绍
10-01
思科路由器作为业界广泛使用的设备，支持多种类型的NAT配置。 1. 静态NAT：在静态NAT中，内部网络中的特定主机被永久映射到外部网络的固定IP地址。这种方式适用于需要对外提供服务的内部主机，如Web服务器，因为...
不同品牌路由器NAT技术的对比与探讨.pdf
10-08
NAT通过在专用网络（如企业内部网络）与公共网络（如互联网）之间的边界路由器上配置地址转换协议，使得内部网络的设备能够共享一个或多个外部IP地址访问互联网，从而节约公网IP地址并提高网络安全。 NAT工作原理的...
思科路由器NAT配置详解s.pdf
10-09
思科路由器NAT配置是网络技术中的一个重要方面，它允许单个设备（通常是路由器）代表网络中的其他设备进行网络地址转换。NAT技术可以使一个内部网络中的所有计算机共享一个外部IP地址进行互联网访问，同时隐藏内部...
ACL NAT实验题-20141210
12-23
在Cisco网络设备中，ACL可以被应用在接口上，来决定哪些流量可以通过，哪些被阻止。 NAT（Network Address Translation）是一种网络技术，用于将内部网络中的私有IP地址转换为公共IP地址，以便外部网络（如互联网）...
ACL（访问控制列表）
dawn0718的专栏
05-14 7473
　　ACL（访问控制列表），是一种基于包过滤的访问控制技术，它可以根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。 　　访问控制列表被广泛地应用于路由器和三层交换机，借助于访问控制列表，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。 　　通常用于对设备进行一些保护，比如限定具体的IP访问或者端口保护。 　　一般情况下，2000-2999 基本的访问控制列表，只能匹配源IP地址。3000-3999 高级的访问控制列表，可以匹配源IP、目的IP、源端口、目的端口。 　　需要注意的
Cisco路由器acl的access-list命令使用详解
热门推荐
wqltrue的专栏
02-19 2万+
1.什么是ACL？ 访问控制列表（Access Control List，ACL） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的被路由协议，如IP、IPX、AppleTalk等。这张表中包含了匹配关系、条件和查询语句，表只是一个框架结构，其目的是为了对某种访问进行控制。 2.ACL有什么用处？ **ACL可以限制网络流量、提高网络性能。**例如，ACL可以根据数据包...
ACL组网实验（思科）
qq_65150735的博客
05-21 1673
几个小的ACL组网测试实验
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

微软技术分享

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值