初识ACL，VLAN和NAT

[Huawei-acl-adv-xuqiuer] rule deny tcp （协议） source 192.168.1.10 0.0.0.0 destination 192.168.2.2 0.0.0.0 destination-port eq （可以选择eq、gt、it、range，分别代表“=”、“>”、“<”、“范围”） 23 （端口号）

注意：这个需求要求不能telnetR2，以上这样写只能在IP地址为192.168.2.2的那一个接口拒绝，而路由器有多个接口，要想绝对不能telnet，其他接口也应该填写相应的规则。

VLAN --- 虚拟局域网

V --- Virtual --- 虚拟

LAN --- 局域网

MAN --- 城域网

WAN --- 广域网

VLAN：虚拟广播域 --- 交换机和路由器协同工作后，将原来的一个广播域，逻辑上切分为多个。（虚拟的，但能起到隔离广播域的作用。）

VLAN中的数据传输

VID配置映射到交换机的接口上，实现VLAN范围的划分，称为物理VLAN或一层VLAN。

VID配置映射到数据帧中的MAC地址上，实现VLAN的划分称为二层VLAN。

VID可以配置映射到数据帧中类型字段（Type）上，实现VLAN的划分称为三层VLAN。

如果有多台交换机相连，每一天交换机都有几个VLAN，那么相同的VID的VLAN应属于同一个广播域。这些相同VID的VLAN通过交换机传递信息。

交换机如何区分不同VLAN的数据包呢？

802.1Q标准规定在以太网Ⅱ型帧源MAC地址和类型字段之间，增加了4个字节的tag，其中包含12位的VID。因此叫做802.1Q帧，也叫Tagged帧。这个tag在从交换机发往交换机的接口会添上，而发往电脑时交换机会将此tag去除。

注意：电脑只能识别普通的以太网Ⅱ型帧，也叫Untagged帧。（不带tag）

根据以上特性，我们将交换机和电脑之间的链路称为 Access链路（交换机侧的接口称为 Access接口），这些链路中，只能通过Untagged帧，并且这些帧只能属于某一种特定的VLAN；交换机和换机之间的链路，我们称为 Trunk干道（交换机侧的接口称为 Trunk接口），这些链路允许通过tagged帧，并且这些帧可以属于多种VLAN。

配置过程

在交换机上配置。交换机也使用VRP操作系统。

配置时不同VLAN可以是一个网段，但这样不同网段间就永远不能通信。所以在配置时应该将不同的VLAN配置不同的网段，进而通过路由器进行数据传输。

1、创建VLAN

<Huawei> display vlan --- 查看设备VLAN的配置信息

VLAN ID --- 用来区分和标定不同的VLAN

交换机在没有进行配置的时候，默认存在一个VLAN，其VID（VLAN ID）为1。所有接口都划分到该区域。

802.1Q标准对VID进行设定 --- 12位二进制构成的 --- 取值范围是0 - 4095。因为0和4095这两个数字保留，真实的取值范围1 - 4094。

[Huawei] vlan 2 （VID）

[Huawei-vlan2]

[Huawei] vlan batch 4 to 100 （范围） --- 批量创建VLAN

Info: This operation may take a few seconds. Please wait for a moment...done.

[Huawei] undo vlan batch 4 to 100 （范围） --- 批量删除

Warning: The configurations of the VLAN will be deleted. Continue?[Y/N]: y

2、将接口划入VLAN

[Huawei-GigabitEthernet0/0/1] port link-type access --- 定义接口类型

[Huawei-GigabitEthernet0/0/1] port default vlan 2 （VID） --- 定义通过该接口的流量归属

[Huawei] port-group group-member GigabitEthernet 0/0/3 GigabitEthernet 0/0/4 ---创建接口组

[Huawei-port-group] --- 接口组视图，相当于给组中所有接口配置

3、配置Trunk干道

[Huawei-GigabitEthernet0/0/5] port link-type trunk （接口类型）

[Huawei-GigabitEthernet0/0/5] port trunk allow-pass vlan 2 to 3 （允许通过的区域流量，如果不写就代表允许所有。也可以不写to改写2 3，代表2和3）

[Huawei-GigabitEthernet0/0/3] port trunk allow-pass vlan all --- 放通所有VLAN的流量

4、VLAN间的路由

可以用路由器的不同接口去连接不同的交换机来进行网段分配（此时路由器接口应为Access接口），但这样浪费资源且路由器接口有限，这时候应该进行子接口的配置。这样就可以使用一个接口进行多个VLAN的数据传递 --- 单臂路由（此时接口应为Trunk接口）。

创建子接口 --- 单臂路由

[Huawei] interface GigabitEthernet 0/0/0.1 （小数点后加数字可取范围是 1-4096 ，代表该接口的子接口。虚拟的。）

子接口虽然是虚拟的，但待遇与真实设备相同。子接口专门为VLAN准备。

[Huawei-GigabitEthernet0/0/0.1] dot1q （802.1Q的别名，表明要遵循802.1Q标准） termination vid 2 --- 开启识别tag并将该子接口划入VLAN

[Huawei-GigabitEthernet0/0/0.1] arp broadcast enable --- 开启ARP广播应答

因为子接口不会响应ARP广播。

注意：每一个VLAN都应该有一个子接口管理。

NAT --- 网络地址转换

他的基本任务就是实现私网地址和公网地址之间的一个转换。当私网想要访问公网时，数据包到达该私网的最后一个路由器时，该路由器会将该数据包的源IP地址修改为一个公网地址后发往公网。

这个技术用于解决IP地址（IPV4）不够的问题。

公网与私网

在IP地址中，A，B，C三类地址中各有一部分地址，他们被称为私有IP地址（私网地址），其余的被称为公有IP地址（公网地址）。我们一般习惯性的将使用私网IP地址构成的网络称为私网，使用公网IP地址构成的网路称为公网。

A：10.0.0.0 - 10.255.255.255 --- 相当于1条A类网段

B：172.16.0.0 - 172.31.255.255 --- 相当于16条B类网段

C：192.168.0.0 - 192.168.255.255 --- 相当于256条C类网段

我们要求这些私网地址可以重复使用，仅需保证私网内部唯一即可，但是，不允许他们在互联网中使用。

NAT的分类和配置

华为设备所有和NAT相关的配置都是在边界路由器的出接口上配置的。

静态NAT --- 一对一的NAT

静态NAT就是通过在边界路由器上维护一张静态地址映射表。静态地址映射表中记录的是私网IP地址和公网IP地址之间一一对应的关系。即一个私网地址对应一个公网地址，当该私网地址想要访问公网时，将那个私网地址（源IP）在边界路由器上转换为公网地址，当访问流量从公网回到私网时，再由边界路由器将目标IP改回到私网地址

[Huawei-GigabitEthernet0/0/2] nat static global 12.0.0.3 （公） inside 192.168.1.2 （私）

注意：该公网IP必须包含在边界路由器与公网相连的那个网段里。且这个IP地址必须是花钱在运营商处买到的合法公网地址。

[Huawei]display nat static --- 查看静态地址映射表

动态NAT --- 多对多的NAT

动态NAT就是通过在边界路由器上维护一张动态地址映射表。可以实现多对多的NAT转换，但是，在同一时刻，依然是一对一的过程。如果上网需求较大时，需要排对等待。（出去一个记一个，回来一个删一个）

1，创建公网地址池

[Huawei] nat address-group 0 （地址池编号） 12.0.0.4 12.0.0.8 （公网IP，必须是连续的）

2，通过ACL列表抓取私网流量

[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255 （抓取源IP为这些的数据包）

3，在接口上配置动态NAT

[Huawei-GigabitEthernet0/0/2] nat outbound 2000 （接口和ACL列表序号） address-group 0 no-pat （非端口地址转换）

NAPT --- 网络地址端口转换 --- PAT

可以实现一对多（easy IP），也可以多对多。

在边界路由器中的映射表中相比动态NAT加入端口号进行记录。

多对多的配置：与动态NAT几乎相同

1，创建公网地址池

[Huawei] nat address-group 0 12.0.0.4 12.0.0.8

2，通过ACL列表抓取私网流量

[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255

3，在接口上配置动态NAT

[Huawei-GigabitEthernet0/0/2] nat outbound 2000 address-group 0

Easy ip：只需要一个公网地址，即边界路由器通往公网的接口IP地址。

1，通过ACL列表抓取私网流量

[Huawei-acl-basic-2000] rule permit source 192.168.0.0 0.0.255.255

2，在接口上配置easy ip

[Huawei-GigabitEthernet0/0/2] nat outbound 2000

端口映射

从公网访问私网时使用。通过在边界路由器的地址映射表中写入一条需要访问的对象的私网IP&端口号与需要访问该IP的信息的端口号对应的信息。

[Huawei-GigabitEthernet0/0/2]nat server protocol tcp（协议） global current-interface 80（公网发送到私网的信息的端口号） inside 192.168.1.10（想要访问的私网对象的IP） 80（想要访问的私网对象的端口号）

如果想要访问的私网中有两个端口号相同的（运行HTTP的服务器）的设备，就将访问其中一台的端口号写为其他随机的端口号对应该设备的私网IP。

例如结合上面：[Huawei-GigabitEthernet0/0/2]nat server protocol tcp global current-interface 8080 inside 192.168.1.20 80

忆往夕梦

关注

1
点赞
踩
9

收藏

觉得还不错? 一键收藏
0
评论
初识ACL，VLAN和NAT

ACL --- 访问控制列表ACL --- 访问控制列表策略中的一种，很多网络设备都可以进行配置。匹配到流量后进行控制手段。策略 --- 为达到想要的控制手段而配置的一组条件、约束和设置。ACL访问控制列表的作用：在路由器流量流入或流出的，匹配流量，然后执行设定好的动作 --- permit（允许）或者deny（拒绝）。（进行流控）：ACL的另一个作用就是和其他服务（QOS）结合使用。ACL只负责抓取流量，动作由其他服务来执行。ACL列表的匹配规则：自上而下，逐一匹配。
复制链接

扫一扫