ACL及NAT

访问控制列表

ACL(访问控制列表)

1. 读取第三层，第四层包头信息
2. 根据预先定义好的规则对包头进行过滤

访问控制列表在接口应用的方向

1. 出口：已经经过路由器的处理，正离开路由器接口的数据包
2. 入口：已经到达路由器接口的数据 包，将被路由器处理
3. 列表应用到接口的方向与数据方向有关
   

访问控制列表（ACL）处理过程

ACL工作原理

当数据包从接口经过时，由于接口启用了ACL，路由器会对报文进行检查并做出相应的处理，从上往下一条一条匹配，直到最后丢弃或者发送出去。

ACL分类

1. 基本ACL（2000~2999）：只能匹配源IP地址
2. 高级ACL（3000~3999）:可以匹配源IP，目标IP，源端口，目标端口等三层和四层的字段层
3. 二层ACL（4000~4999）：根据数据包的源MAC地址、目的MAC地址、802.1q优先级、二层协议类型等二层信息制定规则。

ACL应用规则和应用原则

1. 基本ACL：尽量用在靠近目的点
2. 高级ACL：尽量用在靠近源的地方（可以保护带宽和其他资源）
3. 一个接口的同一个方向,只能调用一个acl
4. 一个 acl 里面可以有多个rule规则,按照规则ID从小到大排序,从上往下依次执行
5. 数据包一旦被某 rule 匹配,就不再继续向下匹配
6. 用来做数据包访问控制时,默认隐含放过所有(华为设备)

ACL配置命令

基本acl配置命令
[Huawei] acl number 2000 ###创建acl 2000
[Huawei-acl-basic-2000] rule 5 deny source 192.168.1.1 0 ###拒绝源地址为192.168.10.1的流量, 0代表仅此一台, 5是这条规则的序号(可不加)

[Huawei] interface GigabitEthernet 0/0/1
[Huawei-GiqabitEthernet0/0/1]ip address 192.168.2.254 24
[Huawei-GiqabitEthernet0/0/1]traffic-filter ou