ACL对内网某一特定网段对外网的访问控制使用以及ACL访问控制应用PAT端口转换以后的ping包流程。

这边简单的对以下两个问题说说自己的理解;

ACL对内网某一特定网段对外网的访问控制使用

ACL访问控制应用PAT端口转换以后的ping包流程

其一：

        对于acl对内网某一特定网段对于外网的访问控制目前我是想了以下两种方法：
        其实主要应用的场景是对于两个路由器的，示意图如下：

因为外部走内部的时候ping的是内网IP，而内网的多个IP已经映射为一个对外的端口IP，这个时候由于外网路由是没有配置默认路由的所以我们是学习不到内部的ip地址的，这样的实现都是为了安全考虑。
如果要实现的话也可以就是需要对特定的内网网段做一个默认路由打到内网路由，这样的话，这个数据请求包才会送到内网路由上面

 这个是一种思路。

第二种思路的话，就是通过同样的映射一个IP或者去映射一个IP地址池，然后通过这个IP地址 池去访问外网，这个时候我们同样可以实现对外访问，但是这个时候与上一个唯一的区别就在于将这个访问控制列表应用于内网的转化端口上面，如果内部网络有多个子端口的话，这种方法就会比较鸡肋一点，同样如果说，我们要做一个内外网的相互通信，这个时候就需要对外网的路由器进行打一个静态路由，这个方法与上面提到的方法是一致的所以我这边就不再说了。

这边提一个猜想:
        其实这样来说的话，我们要做一个与外网的访问控制与上internet网络都是针对内网转外网的那个路由器上进行设置，或是设置访问控制列表与IP转化池上，或者是针对一个inside的进行一个包的过滤，而对于有转化地址的外网走内网我们都是在外网的路由上面打一个目标地址的默认路由。

其实我们配置这个转化地址池的目地主要就是：

        其一：节省IP地址，由于原来使用的是IPv4的地址，这几年IP v4已经是不够用了。

        其二：通过访问控制我们可以保障内网的安全

好了，到这边，我们已经解决了第一个问题，现在简单说一下

ACL访问控制应用PAT端口转换以后的ping包流程

         读到这里，相信很多人对于这个问题已经理解的差不多了，这边简单的提两嘴，首先我先说说内网ping外网的某一个IP，在你内网的配置没有问题的情况下我们是随便一台主机都是能够走到这个内网对外网的路由上的，这个时候你在这台边界路由器上面启用了这个地址转化池，这个时候我们内部网络的IP已经是映射为了这个转化的某一个或者是某几个IP，这个时候包继续往外走，然后，走到目的IP的位置，这个时候因为我们启用了映射，所以我们的包的源IP地址就会变成我们转化池的IP地址，这个时候不是要回一个包嘛，然后这个包就会发到我们的这个转化的端口上，因为是转化池发出的包，所以他会对这个包进行一个解析，这个时候，转化IP会将这个包解析为内网的IP地址，然后再回到ping的机子上，这样我们就走通了对外的访问。

        那么如果我没有在外网的路由上面配置一个默认的路由，那么在外网的机子是找不到这个目标主机的，因为它不知道这个主机在哪里，因为内网的都映射为了一个IP地址。这个时候我们对外交互都是利用转化池里面的IP地址去做的。所以他找不到，但是你ping这个转化池的地址是可以走通的。

以上都是个人的拙见，有错的话，欢迎交流奥。

这边丢一个外网ping内网的转化过程。有助于ping包流程的理解。