华为eNSP：静态NAT及其ACL

华为eNSP静态NAT及ACL

一、NAT四种类

1、静态NAT

静态NAT实现了私有地址和共有地址的一对一转换，一个公网地址对应一个私网地址

2、动态NAT

动态NAT基于地址池来实现私有地址和公有地址的转换，转换是随机的。

3、NAPT（网络地址端口转换）

NAPT 允许多个私网地址转换到同一个公有地址的不同端口，私网利用端口号来区分。

4、Easy IP转换成出接口地址

利用端口号来识别不用的私网地址，NAPT的特例。直接将内网私有地址转换为出接口的公网IP地址。

5、NAT的作用，以及数据包经过NAT设备从内网到外网和从外网到内网的转换过程

用于实现私有网络和公有网络之间的互访。
从内网到外网：数据包的源IP由私网IP转换成公网IP
从外网到内网：数据包的目的IP由公网IP转换成私网IP

二、实验配置

（1）、搭建拓扑图

（2）配置路由器R1

R1[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 192.168.1.254 24
[R1-GigabitEthernet0/0/0]un sh
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[R1-GigabitEthernet0/0/0]int g0/0/1
[R1-GigabitEthernet0/0/1]ip add 192.168.2.254 24
[R1-GigabitEthernet0/0/1]un sh
Info: Interface GigabitEthernet0/0/1 is not shutdown.
[R1-GigabitEthernet0/0/1]int g0/0/2
[R1-GigabitEthernet0/0/2]ip add 192.168.3.254 24
[R1-GigabitEthernet0/0/2]un sh
Info: Interface GigabitEthernet0/0/2 is not shutdown.
[R1-GigabitEthernet0/0/2]q
[R1]acl 2000       //指定ACL的序号为2000
[R1-acl-basic-2000]rule 5 deny source 192.168.1.1 0     //拒绝源地址为192.168.1.1的流量，0代表仅此一台
[R1-acl-basic-2000]dis th     //查看系统当前视图的运行配置
[V200R003C00]
#
acl number 2000  
 rule 5 deny source 192.168.1.1 0 
#
return
[R1-acl-basic-2000]q
[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]traffic-filter outbound acl 2000   //接口下出方向调用acl 2000
[R1-GigabitEthernet0/0/1]dis th      //查看系统当前视图的运行配置
[V200R003C00]
#
interface GigabitEthernet0/0/1
 ip address 192.168.2.254 255.255.255.0 
 traffic-filter outbound acl 2000
#
return
[R1-GigabitEthernet0/0/1]

（3）测试ping

冲突域：

• 当两台机器同时发送数据时，产生冲突那说明他们在同一个冲突域

广播域：

• 一台机器发送广播所有能收到广播的机器在同一个广播域

DHCP一次成功过程的原理

• 客户机发送discover报文（广播） 查找 dhcp服务器
• 第一台收到报文的 dhcp服务器 会回复 offer（单播） 报文 里面携带相关网络信息
• 客户机收到offer 会回复 request 报文（广播）
• 服务器收到 回复 ACK 报文

VLAN ID的数量和可用ID范围

• 数量是：4096 可用ID范围是：1-4094

access和trunk 类型的主要应用设备

• access:交换机与主机的接口或者路由器
• trunk：交换机与交换机的接口

TCP和UDP区别

• tcp：面向连接 ，慢 ，稳定，有校验功能，当传输出错，有重传功能
• udp ：面向无连接， 快，不稳定

三、ACL

ACL定义：

• 访问控制列表ACL（Access Control List）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过。

使用ACL的目的

• ACL作为一个过滤器，设备通过应用ACL来阻止和允许特定流量的流入和流出，如果没有它，任何流量都会自由流入和流出，使得网络容易受到攻击。为保证财务数据安全，企业在路由设备上应用ACL可以阻止内网内部研发部门主机对财务服务器的访问，同时允许总裁办公室访问财务服务器。为了保护企业内网的安全，在路由设备上应用ACL可以封堵网络病毒常用的端口，防止Internet上的恶意流量入侵。如下图所示，
  

ACL的分类

随着ACL技术的发展，其种类越来越丰富，根据其不同的规则和使用场景，常用的可分为以下几类：

• 基本ACL：
  基本ACL规则只包含源IP地址，对设备的CPU消耗较少，可用于简单的部署，但是使用场景有限，不能提供强大的安全保障。
• 高级ACL：
  相较于基本ACL，高级ACL提供更高的扩展性，可以对流量进行更精细的匹配。通过配置高级ACL，可以阻止特定主机或者整个网段的源或者目标。除此之外，还可以使用协议信息（IP、ICMP、TCP、UDP）去过滤相应的流量。

使用ACL步骤：

• 设置相应的ACL规则
  为ACL设置相关规则的时候，需要了解入口流量与出口流量，如下图所示：入口流量指的是进入设备（以路由器为例）接口的流量（无论来源是外部Internet还是内部网络），同理，出口流量指的是从设备接口流出的流量。
  
  当外部Internet访问内部网络时，通过路由器接口2的入口流量，其源IP地址为外部的公网IP；而当内部网络需要访问外部网络时，通过路由器的接口1的入口流量，其源IP地址则为内网的IP。
  将ACL应用在相应的设备接口的特定方向（inbound/outbound）上。
  规则设置完成后，需要将ACL应用在设备的接口上才能正常工作。因为所有的路由和转发决策都是由设备的硬件做出的，所以ACL语句可以更快地执行。

入方向：

• ACL应用在设备接口入方向 当接口收到数据包时，先根据应用在接口上的ACL条件进行匹配，如果允许则根据路由表进行转发，如果拒绝则直接丢弃。

出方向：

• ACL应用在设备接口出方向 报文先经过路由表路由后转至出接口，根据接口上应用的出方向ACL条件进行匹配，是允许permit还是拒绝deny，如果是允许，就根据路由表转发数据，如果是拒绝就直接将数据包丢弃了。

总结

• 入方向是先匹配后路由；出方向是先路由后匹配；