云计算~访问控制列表&多路复用

访问控制列表

原理：根据设定的条件对接口上的数据包进行过滤，允许其通过或丢弃。
作用：

1. 限制网络流量、
2. 提高网络性能；
3. 通信流量的控制

功能

1. 限制网络流量、提高网络性能。例如，ACL可以根据数据包的协议，指定这种类型的数据包具有更高的优先级，同等情况下可预先被网络设备处理。
2. 提供对通信流量的控制手段。3）提供网络访问的基本安全手段。
3. 在网络设备接口处，决定哪种类型的通信流量被转发、哪种类型的通信流量被阻塞。

工作原理：

①当一个数据报进入一个端口，路由器检查这个数据报是否可路由。
如果是可以路由的，路由器检查这个端口是否有ACL控制进入数据报。
如果有，根据ACL中的条件指令，检查这个数据报。
如果数据报是被允许的，就查询路由表，决定数据报的目标端口。
②路由器检查目标端口是否存在ACL控制流出的数据报。
若不存在，这个数据报就直接发送到目标端口。
若存在，就再根据ACL进行取舍。然后在转发到目的端口。
总之，一入站数据包，由路由器处理器调入内存，读取数据包的包头信息，如目标IP地址，并搜索路由器的路由表，查看是否在路由表项中，如果有，则从路由表的选择接口转发（如果无，则丢弃该数据包），数据进入该接口的访问控制列表（如果无访问控制规则，直接转发），然后按条件进行筛选。
当ACL处理数据包时，一旦数据包与某条ACL语句匹配，则会跳过列表中剩余的其他语句，根据该条匹配的语句内容决定允许或者拒绝该数据包。如果数据包内容与ACL语句不匹配，那么将依次使用ACL列表中的下一条语句测试数据包。该匹配过程会一直继续，直到抵达列表末尾。最后一条隐含的语句适用于不满足之前任何条件的所有数据包。这条最后的测试条件与这些数据包匹配，通常会隐含拒绝一切数据包的指令。此时路由器不会让这些数据进入或送出接口，而是直接丢弃。
四要素：源地址、目的地址、源端口、目的端口。

分类

1. 基本ACL（2000~2999）：只匹配IP地址。配置应该靠近目的点。
2. 高级ACL（3000~3999）：匹配源IIP地址、目标IP地址、源端口、目标端口、一些三层的字段。配置时靠近源端，可以保护带宽和资源
3. 二层ACL（4000~4999）：根据数据包的源MAC地址、目的MAC地址、802.1q优先级、二层协议类型、二层协议类型等二层信息制定规则。

一个接口的同一方向只能调用一个ACL，而一个ACL中可以有多个rule规则，按照ID从小到大的排序，从上往下依次执行。而数据包一旦被rule匹配也就不会再往下匹配直接放通。

实例展示

网络地址转换——NAT

NAT：网络地址转换，实现私有网络和公有网络之间互访。
公有网络：全球唯一的IP地址。
私有网络：内部网络、主机的IP地址。
私有网络：
1. A类私有地址：10.0.0.0~ 10.255.255.255
2. B类私有地址：172.16.0.0~ 172.31.255.255
3. C类私有地址：192.168.0.0~ 192.168.255.255

NAT的工作原理：将内网地址和端口号转换为合法的公网地址和端口号，建立会话，就能与公网主机进行通信。而外部主机无法与NAT内部主机通信，就必须主动和公网的一个IP通信，由路由器建立映射关系，从而实现数据的转发。

NAT功能
1. 带宽分享：将一个公有网络的流量，分享给多台主机使用
2. 安全防护：PC端连接到公网地址的IP地址为官网地址，而不是显示本身PC端的地址。

优缺点：
1. 优点： 节省公有合法IP地址，增加灵活性，处理地址重叠
2. 缺点：延迟增大，不支持某些应用。

静态NAT

作用：实现私网地址一一对应(一对一转换)，可以起到隐藏内部，却没有办法达到节省公网地址的特点。
原理：内网向外网发送数据报文时，静态NAT将报文源IP地址替换为对应的公网地址，外网向内网响应报文时，静态NAT将报文的目的地址替换为私网地址。

实例

动态NAT

原理：多个私网IP地址对应多个公网IP地址。是基于地址池一对一的映射。通过配置内部网口和内部网口的IP地址，定义合法IP地址池。

实例：

PAT端口多路复用

作用：实现一个公网地址和多个私网地址之间的映射，以此节约公网地址。
原理：将不同私网地址的报文的源IP地址转换为同一公网地址，但转换为该地址的不同端口号，由此共享同一公网地址。
PAT可以改变数据包的IP地址和端口号，能节省公网地址。

NAPT：多个私网IP地址对应固定外网IP地址。

EasyIP：多个私网IP地址对应外网口公网IP地址。

NAT Server：端口映射，将私网地址端口映射到公网地址，实现内网服务器提供给外网用户访问。