ACL & NET

ACL

ACL（access list）访问控制列表

• 读取第三层、第四层包头信息

• 根据预先定义好的会泽对包进行过滤
  

• 通信四元素：源IP地址、目的地址、源端口、目的端口

• 通信五元素：源IP地址、目的地址、源端口、目的端口、协议

ACL作用：

在接口上定义N条规则过滤数据包，要么放行要么丢弃
处理过程

ACL类型：

分类	范围	概述
基本acl	2000-2999	只能匹配源IP地址
高级acl	3000-3999	可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段和协议
二层acl	4000-4999	可根据源MAC、目的MAC、二层协议匹配

• 基本acl (2000-2999)：只能匹配源IP地址
• 高级acl（3000-3999）：可以匹配源IP、目标IP、源端口、目标端口等三层和四层的字段和协议
• 二层acl（4000-4999）可根据源MAC、目的MAC、二层协议匹配

ACL(访问控制列表)的应用原则：

• 基本ACL，尽量用在靠近目的点
• 高级ACL，尽量用在靠近源的地方（可以保护带宽和其他资源）

ACL匹配规则:

一个接口的一个方向只能调用一个acl，一个acl可配置多条规则，从上往下依次匹配，匹配即停止，华为设备默认放通所有

实验

• 配置PC1

• 配置PC2

• 配置PC3

• 配置Client1

• 配置Sever1

• 配置AR1
  
  

• PC1 ping PC3

---

禁止192.168.1.0/24网段的设备ping Web服务器

• 配置AR1
  
• PC1 ping Sever
  
• PC3 ping Sever
  

---

仅允许client1访问Web服务器的www服务

• 配置PC1
  
• Client 可以通过http访问Server

---

 

---

NET

NAT（Network Address Translation)网络地址转换

NAT作用

通过地址转换实现私有网络和共有网络之间的相互访问

NAT工作过程：

• 数据包从内网发往外网时，NET会将包源IP由私有地址转换成公网地址，当响应的数
• 据包要从外网发给内网时，NET会将包目的IP由公网IP转换成私网地址

NAT功能：

NAT不仅能解决了IP地址不足的问题，而且还能够有效地避免来自网络外部的入侵，隐藏并保护网络内部的计算机。

优点：节省公有合法IP地址、处理地址重叠、增强灵活性、安全性
缺点：延迟增大、配置和维护的复杂性、不支持某些应用（比如VPN）

NAT类型：

静态PAT

• NAPT
• EASY IP

动态PAT

• Nat server

使用场景：私网客户端主动访问公网服务器时

静态NAT：私网IP和公网IP是一对一的关系，并且需要一对一绑定

动态NAT：私网IP和公网IP是一对一的关系，需要定义公网IP地址池，私网转换时会轮询地址池里的每个IP地址

NAPT：私网IP和公网IP是多对一的关系，公网IP地址池中只定义一个公网IP，私网IP只对应一个自定义的公网IP

EASY_IP：私网IP和公网IP是多对一的关系，直接使用路由器外网接口的IP，私网IP只对应路由器外网接口的公网IP

使用场景：公网客户端主动访问位于私网的服务器时

Nat_server:[公网IP] [公网端口] 和 [私网IP] [私网端口]是一对一的关系，一个公网IP和不同的端口可以对应不同的私网IP和端口

配置指令

设置静态NAT

• 在网口上启动nat static enable功能
  [R1]nat static global 8.8.8.8 inside 192.168.10.10
  [R1] int g0/0/1
  [R1-GigabitEthernet0/0/1]nat static enable 在网口上启动nat static enable功能

• 直接在接口上声明nat static
  [R1]int g0/ 0/1
  [R1-GigabitEthernet0/0/1]nat static global 8.8.8.8 inside 192.168.10.10

总结

ACL能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具；ACL还能够用于匹配路由条目。
NAT是用于在本地网络中使用私有地址，在连接互联网时转而使用全局 IP 地址的技术。