【揭秘】华为设备ACL与NAT技术，从基础到高级，一文掌握！

于 2024-07-25 10:48:37 发布
阅读量536 收藏 10
点赞数 15
文章标签： 华为 智能路由器 ACL NAT
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mengmeng_921/article/details/140682886
版权

阅读目录

  • 标准ACL配置
  • 拓展ACL配置
  • 配置静态NAT
  • 配置动态NAT

ACL 访问控制列表(Access Control Lists),是应用在路由器(或三层交换机)接口上的指令列表,用来告诉路由器哪些数据可以接收,哪些数据是需要被拒绝的,ACL的定义是基于协议的,它适用于所有的路由协议,并根据预先定义好的规则对数据包进行过滤,从而更好的控制数据的流入与流出.

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

在这里插入图片描述

华为ACL访问控制

路由器接口的访问控制取决于应用在其上的ACL,数据在进出网络前,路由器会根据ACL对其进行匹配,匹配成功将对数据进行过滤或者是转发,匹配失败则丢弃数据包,目前主要有三种ACL控制,标准ACL,扩展ACL,命名ACL,我们只介绍前两种.

在路由器上应用ACL时,可以为每种协议,每个端口,每个方向,和每个接口,配置一个ACL,一般称为3p原则.
在这里插入图片描述

标准ACL配置

标准ALCL只能通过源地址进行访问过滤与控制,因此只能阻止/允许来自指定IP地址的访问请求.

配置路由器: 接着配置路由器,开启路由器的Eth0/0/0和Eth0/0/1端口,并配置上网关地址.

<Huawei> system-view
[Huawei]interface GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0] ip address 192.168.1.254 255.255.255.0
[Huawei-GigabitEthernet0/0/0] quit

[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] ip address 192.168.2.254 255.255.255.0
[Huawei-GigabitEthernet0/0/1] quit

配置拒绝ACL规则: 这里我们在路由器上配置一条标准的ACL规则,禁止PC1访问Server1服务器.

<Huawei>system-view
[Huawei] acl 2000                                                 // 指定一个序号 2000-2999
[Huawei-acl-basic-2000] rule deny source 192.168.1.1 0.0.0.0      // 拒绝源地址访问
[Huawei-acl-basic-2000] rule deny source 192.168.1.1 0.0.0.255    // 拒绝整个网段
[Huawei-acl-basic-2000] rule permit source 192.168.1.1 0.0.0.0    // 允许源地址访问
[Huawei-acl-basic-2000] quit

[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] traffic-filter outbound acl 2000   // 在出口方向应用规则
[Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 2000    // 在入口方向应用规则

测试过滤效果: 配置完规则以后,我们测试一下效果,使用PC1无法访问Server1服务器而是用PC2则可以访问.

PC1> ping 192.168.2.1
Request timeout!
Request timeout!

PC2> ping 192.168.2.1
From 192.168.2.1: bytes=32 seq=1 ttl=254 time=47 ms
From 192.168.2.1: bytes=32 seq=1 ttl=254 time=47 ms

这里需要注意一点,如果你有两个路由器相连,那么ACL规则应该设置在距离限制的目标较近的路由器上,否则可能会出现有效数据在到达目标之前就被过滤掉了.

拓展ACL配置

标准ACL只能使用源地址作为匹配条件,无法对访问进行精确的控制,为了解决这一问题,可以采用扩展ACL来对数据加以限制,接下来我们将配置扩展ACL,其拓扑结构图还是使用上图.

配置路由器: 接着配置路由器,开启路由器的Eth0/0/0和Eth0/0/1端口,并配置上网关地址.

<Huawei> system-view
[Huawei]interface GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0] ip address 192.168.1.254 255.255.255.0
[Huawei-GigabitEthernet0/0/0] quit

[Huawei]interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1] ip address 192.168.2.254 255.255.255.0
[Huawei-GigabitEthernet0/0/1] quit

配置禁止ICMP: 禁止192.168.1.1访问192.168.2.1的icmp协议.

<Huawei> system-view
[Huawei] acl 3000
[Huawei-acl-adv-3000] rule deny icmp source 192.168.1.1 0 destination 192.168.2.1 0

[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1]
[Huawei-GigabitEthernet0/0/1] traffic-filter outbound acl 3000
[Huawei-GigabitEthernet0/0/1] quit

[Huawei] display acl all
 Total quantity of nonempty ACL number is 1 
 rule 5 deny icmp source 192.168.1.1 0 destination 192.168.2.1 0 (27 matches)

禁止指定端口: 禁止TCP协议,的源地址192.168.1.1至目标地址192.168.2.1,端口号80的协议.

<Huawei> system-view
[Huawei] acl 3000
[Huawei-acl-3000] rule deny tcp source 192.168.1.1 0 destination 192.168.2.1 0 destination-port eq 80

[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GigabitEthernet0/0/1]
[Huawei-GigabitEthernet0/0/1] traffic-filter outbound acl 3000

[Huawei]display acl all
 Total quantity of nonempty ACL number is 1 
 rule 5 deny icmp source 192.168.1.1 0 destination 192.168.2.1 0 (27 matches)

测试过滤效果: 配置完规则以后,我们测试一下效果,使用PC1无法访问Server1服务器而是用PC2则可以访问.

PC1> ping 192.168.2.1
Request timeout!
Request timeout!

PC2> ping 192.168.2.1
From 192.168.2.1: bytes=32 seq=1 ttl=254 time=47 ms
From 192.168.2.1: bytes=32 seq=1 ttl=254 time=47 ms

与标准ACL相比,扩展ACL能够更加精确的匹配和过滤数据包,因此扩展ACL的放置位置应该离源地址越近越好,这样才能够有效的提高链路的使用效率.
在这里插入图片描述

华为NAT地址转换

NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的标准,它可以实现内部私有IP地址和公网IP地址的转换,能够起到节约公网IP地址的作用,以下将介绍NAT的三种方式,静态转换、动态转换和端口复用技术.

NAT技术中有四种地址即,内部本地地址,内部全局地址,外部本地地址,外部全局地址.

配置静态NAT

静态NAT是指将内部本地地址与内部全局地址进行对应转换,某个本地地址只能转换为某个全局地址,通过配置静态NAT可以实现内部网络对外部网络的访问,也可以实现外部网络对内部网络中某个设备的访问.在这里插入图片描述

配置路由器: 配置路由器,开启R1路由器的Eth0/0/0和Ser0/0/0端口,并配置上网关地址.

# ----配置R1路由器-----------------------------
<R1> system-view
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0
[R1-Ethernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1] ip address 10.10.10.1 255.0.0.0
[R1-Ethernet0/0/0] quit

# ----配置R2路由器-----------------------------
<R2> system-view
[R2] interface GigabitEthernet 0/0/0
[R2-GigabitEthernet0/0/0] ip address 10.10.10.2 255.0.0.0
[R2-Ethernet0/0/0] quit

配置静态NAT: 在路由器R1上配置静态NAT,将私有地址转为全局地址(内网地址–>外网地址).

[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1] nat static enable   //启用静态nat
[R1-GigabitEthernet0/0/1] quit

[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1] nat static global 10.10.10.20 inside 192.168.1.2
[R1-GigabitEthernet0/0/1] nat static global 10.10.10.20 inside 192.168.1.2
[R1-GigabitEthernet0/0/1] nat static global 10.10.10.20 inside 192.168.1.2

查询NAT配置: 配置完成后,使用display nat static 命令可以查询端口情况.

[R1] display nat static

  Static Nat Information:
  Interface  : GigabitEthernet0/0/1
    Global IP/Port     : 10.10.10.20/---- 
    Inside IP/Port     : 192.168.1.2/----
    Protocol : ----     
    VPN instance-name  : ----                            
    Acl number         : ----
    Netmask  : 255.255.255.255 
    Description : ----

  Total :    1

测试通信情况: 此时在PC1主机可Ping通R2路由器.

PC1> ping 10.10.10.2

Ping 10.10.10.2: 32 data bytes, Press Ctrl_C to break
From 10.10.10.2: bytes=32 seq=1 ttl=254 time=47 ms

--- 10.10.10.2 ping statistics ---
  1 packet(s) transmitted
  1 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 47/47/47 ms

配置动态NAT

动态NAT是指内部本地地址与内部全局地址进行转换时,内部地址可以随机转换为指定的外部全局地址,此过程是动态分配的不需要认为干预,从而减少了配置的工作量.

但需要注意的是,配置动态NAT只能实现内部网络对互联网的访问,无法实现互联网中的主机对内部网络中的主机的访问,它是一种单向的NAT技术.

动态NAT是在出口路由器上做了一个地址池,内网PC访问外网时会从地址池内获取一个公网IP,此种技术也无法节约公网IP地址资源,接下来还是使用上面的拓扑图,但需要清空规则.

配置路由器: 配置路由器,开启R1路由器的Eth0/0/0和Ser0/0/0端口,并配置上网关地址.

# ----配置R1路由器-----------------------------
<R1> system-view
[R1] interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0] ip address 192.168.1.1 255.255.255.0
[R1-Ethernet0/0/0] quit
[R1] interface GigabitEthernet 0/0/1
[R1-GigabitEthernet0/0/1] ip address 10.10.10.1 255.0.0.0
[R1-Ethernet0/0/0] quit

# ----配置R2路由器-----------------------------
<R2> system-view
[R2] interface GigabitEthernet 0/0/0
[R2-GigabitEthernet0/0/0] ip address 10.10.10.2 255.0.0.0
[R2-Ethernet0/0/0] quit

配置动态NAT: 在路由器R1上配置动态NAT,将私有地址转为全局地址(内网地址–>外网地址).

[R1] nat address-group 1 10.10.10.20 10.10.10.40                 // 创建公网地址池
[R1] acl 2000                                                    // 定义访问控制列表
[R1-acl-basic-2000] rule permit source 192.168.1.0 0.0.0.255     // 定义ACL列表
[R1-acl-basic-2000] quit

[R1] interface GigabitEthernet 0/0/1

// 将ACL与地址池关联,no-pat表示不可反复使用
[R1-GigabitEthernet0/0/1] nat outbound 2000 address-group 1 no-pat

// 将ACL与地址池关联,可反复使用
[R1-GigabitEthernet0/0/1] nat outbound 2000 address-group 1

拓展(端口映射): 将内网的192.168.1.1:8080映射到外网的10.10.10.1:80,配置如下.

[R1] interface GigabitEthernet 0/0/1
[R1] nat server protocol tcp global 10.10.10.1 80 inside 192.168.1.1 8080

测试通信情况: 此时在PC1主机可Ping通R2路由器.

PC1> ping 10.10.10.2

Ping 10.10.10.2: 32 data bytes, Press Ctrl_C to break
From 10.10.10.2: bytes=32 seq=1 ttl=254 time=47 ms

--- 10.10.10.2 ping statistics ---
  1 packet(s) transmitted
  1 packet(s) received
  0.00% packet loss
  round-trip min/avg/max = 47/47/47 ms

文章出处：https://www.cnblogs.com/LyShark/p/11152968.html

工 仲 好：IT运维大本营，获取60个G的《网工系统大礼包》+1000页Linux学习笔记
GLAB-Mary
关注
HarmonyOS从基础到实战-高性能华为在线答题元服务
一键难忘的博客
11-21 13万+
HarmonyOS从基础到实战-高性能华为在线答题元服务 在本文中，我们介绍了一个关于在线答题应用的项目，其中包括项目结构和开发计划。项目主要分为主应用的Ability（entryability）、卡片的Ability（Entnyformability）、从云数据库导出的数据类型（Models）以及页面代码文件夹（Pages）等模块。使用了两个重要的配置文件，分别是agconnect-services.json和schema.json，用于连接serverless服务和云端配置信息。
ACL和NAT
abjava1的博客
09-20 1522
目录 一、ACL 1.ACL概述 2.ACL应用 3.ACL工作原理 4.规则编号 5.通配符 6.ACL的分类与标识 7.ACL的匹配机制 8.ACL的应用原则 9.匹配规则 二、ACL访问控制列表实验 1、基本ACL访问控制列表实验​ （1）给Client1、Client2、Server1和Server2配置ip、网关等​ （2）配置路由 （3）此时全网互通 （4）配置路由拒绝访问命令 （5）验证实验​ 2、高级ACL访问控制列表实验 （1）配置Server1中的F
华为acl和nat的配置
qq_50748556的博客
09-28 666
实验拓扑： 实验要求： 配置rip 配置nat实现内网ping通外网 配置server 实验过程： 1.配置rip 验证： 配置acl： 验证：无法访问服务器 配置nat： 验证：
华为设备ACL与NAT技术
weixin_30655219的博客
07-08 615
ACL 访问控制列表(Access Control Lists),是应用在路由器(或三层交换机)接口上的指令列表,用来告诉路由器哪些数据可以接收,哪些数据是需要被拒绝的,ACL的定义是基于协议的,它适用于所有的路由协议,并根据预先定义好的规则对数据包进行过滤,从而更好的控制数据的流入与流出. NAT 网络地址转换(Network Address Translation),是一个互联网工程任务组的...
华为nat，acl简单应用，华为设备实现外网通信
weixin_45308292的博客
06-29 2858
华为外网通信 acl ，nat 1. 如图所示外网已经实现通信 2. 公网路由器配ip就不说了 3. 首先先做pat转换使内网全部用户可出去公网 命令如下 首先进入公司网关 R2 ip route-static 0.0.0.0 0.0.0.0 202.2.12.2 ：配置默认路由找公网 ospf （我这默认是1，前面内网是哪个就写哪个） default-route-advertise ：向osp...
企业实用的NAT+ACL，网工必备的技术
Bert_Wang的博客
07-29 503
一、网络地址转换(NAT,Network Address Translation) 属接入广域网(WAN)技术，是一种将私有（保留）地址转化为合法IP地址的转换技术，它被广泛应用于各种类型Internet接入方式和各种类型的网络中。原因很简单，NAT不仅完美地解决了lP地址不足的问题，而且还能够有效地避免来自网络外部的攻击，隐藏并保护网络内部的计算机。 NAT的实现方式有三种，即静态转换Static Nat、动态转换Dynamic Nat和端口多路复用OverLoad。 静态转换是指将内部网络的私有I
华为设备配置ACL和NAT
LJ_0103的博客
09-25 894
【实验拓扑】 【实验过程】 1.根据拓扑图配置对应接口IP。 2.给路由器配置RIP协议，宣告网段。 [R1]rip [R1-rip-1]network 192.168.1.0 [R1-rip-1]network 192.168.2.0 [R2]rip [R2-rip-1]network 192.168.4.0 [R2-rip-1]network 192.168.3.0 [R2-rip-1]network 192.168.2.0 [R3]rip [R3-rip-1]network 192.168.3
华为设备配置| 高级ACL| 对五元组做配置
闫露坤
02-02 5117
需求： 0、确保全网互通 1、client1访问server  web服务器 2、client1访问192.168.2.0 3、client1禁止访问其它网络 实验图： 理解： ACL： 是应用在路由器接口的指令列表  规则 ACL： 读取第三层第  四层报文头部信息 对报文进行过滤 五元组： 源IP  目标IP  源端口号 目标端口号 协议号  实验配置： [ar1]int g0/0...
15、ACL 、NAT专题
qq_52901912的博客
12-09 1970
文章目录ACL 专题NAT 专题NAT的工作原理:NAT功能:静态NATPAT端口多路复用(NAPT)PAT的类型:NAPT 配置Easy Ip配置NAT server (生产环境常用，重点掌握) ACL 专题 ACL: access list 访问控制列表 ACL两种作用: 1、 **用来对数据包做访问控制(**丢弃或者放行) （匹配规则） 2、 **结合其他协议,**用来匹配范围 acl **工作原理:**当数据包从接口经过时，由于接口启用了acl，此时路由器会对报文进行检查(匹配规则、数据包过滤)，
华为设备的ACL
网络设备配置-华为
04-20 4946
** 实验题目和需求 ACL（Access Control List）就是为了控制访问权限，是应用在路由器接口的指令列表。 直接给个图吧，题目写在了图中。图中的各个设备都已经配置好。（静态路由别忘了） ACL是需要根据需求来规划，先来分析一波题目的需求和做一些说明。 1.用路由器来作为网管设备，因为华为PC机没有远程这个功能。 2.R1只许网管设备远程，所以他的ACL应该除了网管设备其他都应该屏...
ACL 和NAT
Y_S_J_112的博客
07-20 853
访问控制列表ACL（AccessControlList）是由一条或多条规则组成的集合。所谓规则，是指描述报文匹配条件的判断语句，这些条件可以是报文的源地址、目的地址、端口号等。ACL本质上是一种报文过滤器，规则是过滤器的滤芯。设备基于这些规则进行报文匹配，可以过滤出特定的报文，并根据应用ACL的业务模块的处理策略来允许或阻止该报文通过技术背景需要一个工具，实现流量过滤。...
华为设备配置acl，nat
qq_2138259124的博客
09-28 350
【实验拓扑】 实验配置要求： 1.给路由器接口配置相应ip 2.配置rip宣告网段 验证：全网互通 3.配置acl 验证：192.168.1.10 无法访问ftp 4.配置nat 5.验证
第十三集 ACL和NAT技术
weixin_56656561的博客
04-14 190
ip route-static 192.168.50.0 255.255.255.0 20.1.1.2 提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总结 前言 提示：这里可以添加本文要记录的大概内容： 例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。 提示：以下是本篇文章正文内容，下面案例可供参考 一、pandas是什么？ 示例：pand
ACL和NAT配置
m0_50749129的博客
09-28 839
【实验拓扑】 【实验过程】 根据拓扑图配置对应的接口ip 配置RIP协议，宣告网段 [R1]rip [R1-rip-1]network 192.168.1.0 [R1-rip-1]network 192.168.2.0 [R2]rip [R2-rip-1]network 192.168.4.0 [R2-rip-1]network 192.168.3.0 [R2-rip-1]network 192.168.2.0 [R3]rip [R3-rip-1]network 192.168.3.0 [R3-ri
华为数通——ACL
最新发布
CLONS的博客
06-20 2323
ACL判别依据是五元组：源IP地址，源端口，目的IP地址，目的端口、协议。设置规则拒绝TCP协议,这里精准地址，反掩码0.0.0.0=0，到目的172.16.10.2，这里精准地址，反掩码0.0.0.0=0，端口23，eq=等于。设置规则拒绝icmp协议（ping）源地址范围，反掩码0.0.0.255，到172.16.10.2，这里精准地址，反掩码0.0.0.0=0。高级ACL（3000-3999）：可以匹配源ip、目标ip、源端口、目标端口等三层和四层的字段。一个接口的同一个方向，只能调用一个ACL。
华为ACL配置命令详解
SuSe的专栏
01-29 8115
ACL（Access Control List）即访问控制列表，可以在路由器、交换机等设备上进行配置，用来限制网络中数据流的访问，实现基本网络安全控制。ACL通过匹配数据包的源地址、目的地址、协议类型、端口号等信息来控制数据流在网络中的流向。ACL是网络设备中常用的安全配置之一，通过限制数据流的访问，提高了网络的安全性。文章从ACL类型、配置命令、常用命令等多个方面进行了详细的阐述，希望对大家在实际应用中使用ACL有所帮助。
华为交换机常见的ACL操作
热门推荐
Tony_long7483的博客
10-26 1万+
常见的ACL操作 1.删除生效时间段：需要先删除关联生效时间段的ACL规则或者整个ACL [HUAWEI] acl 2001 [HUAWEI-acl-basic-2001] undo rule 5 //先删除rule [HUAWEI] undo time-range time1 //在删除时间段 [HUAWEI] undo acl 2001 //先删除ACL [HUAWEI] undo time-range time1 //在删除时间段 2. 配置基于时间的ACL规则 [HUAWEI] time-r
【华为网络-配置-006】-ACL 访问控制列表配置（基于源地址的配置）（逐步完善其他配置）
sunsun778的博客
11-01 1091
结果正确，PC1 可以与 PC2 通信（丢一个包是正常的）结果正确，PC1 不能与 PC3 通信。
华为路由器 高级ACL配置
一直被模仿，从未被超越
03-26 3523
（2）Client2 无法访问 Server1服务器 HTTP 80端口。（1）Client1 无法访问 PC3。3、路由器设置 高级ACL。1、交换机 SW1 设置。2、路由器 R1 设置。
华为ACL配置完全指南：从基础到高级
此外，教程还涵盖了IPv4和IPv6 ACL的配置实例，从基础到高级，再到二层ACL的设定，以及ACL的拷贝和维护。" 华为访问控制列表（ACL）是网络安全管理的重要工具，用于限制网络流量，实现精细化的访问控制。本教程深入...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

GLAB-Mary

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值