一、ACL
1.概述
- 访问控制列表Access Control List
- 是由一系列permit或deny语句组成的、有序规则的列表
- 是一个匹配工具，对报文进行匹配和区分
2.ACL应用
- 匹配流量
- 在traffic-filter中被调用
- 在NAT(Natwork Address Translation)中被调用
- 在路由策略中被调用
- 在防火墙的策略部署中被调用
- 其他
3.ACL的种类
-
编号2000-2999---基本ACL----依据数据包当中的源IP地址匹配数据
-
编号3000-3999---高级ACL----依据数据包当中源、目的IP，源、目的端口、协议号匹配数据
-
编号4000-4999---二层ACL，MAC、VLAN-id、802.1q
4.ACL配置
4.1步骤
建立acl表格
acl 2000 //建立acl表格
书写规则
rule 编号 处理动作 source ip地址 通配符
编号：规则的序号（不写默认从5开始, 5 10 15 20等，方便修改）
处理动作：permit允许或者deny拒绝
通配符：表示了地址的范围
由上而下一次匹配，一旦匹配立即停止匹配应用规则
应用规则：进入端口应用规则
4.2通配符掩码
0表示不可变，1表示可变，0和1可以穿插。
- 单个地址
192.168.1.1 通配符掩码为0（32位都不可变）
- 网段
192.168.1.0/24 通配符掩码为0.0.0.255（前24位主机位不可变，后8位主机位可以随意变）
- 表示192.168.1.1/24-192.168.1.7/24
0000 0001
0000 0010
0000 0011
0000 0100
0000 0101
0000 0110
0000 0111
----------------------有0有1为1，全0全1为0
0000 0111
前24位不变，后8位为0000 0111，也就是通配符掩码为0.0.0.7
- 表示192.168.1.0/24 全部偶数
0000 0000，0000 0010，0000 0100，0000 0110。。。。。。
二进制最后一位一定为0，0.0.0.1111 1110
255-1=254
通配符掩码为0.0.0.254
练习
Client1只能和Server2通信
AR1配置如下：
u t m
sys
sys R1
int g0/0/0
ip add 192.168.1.254 24
int g0/0/1
ip add 192.168.2.254 24
int g0/0/2
ip add 192.168.3.254 24
q
acl 2000
rule deny source 192.168.1.1 0 //默认编号5 拒绝 来自192.168.1.1 的流量
int g0/0/1
traffic-filter outbound acl 2000 //数据流向在outbound方向接口下调用acl 2000
int g0/0/1
undo traffic-filter outbound
q
acl 3000
rule deny tcp source 192.168.1.1 0 destination 192.168.2.1 0 destination-port eq www
//拒绝来源于192.168.1.1 去访问192.168.2.1的tcp的80端口
int g0/0/0
traffic-filter inbound acl 3000
总结
基本ACL只可以控制源ip，所以影响范围大，那么最好放在离目的近的端口，减少影响；
高级ACL可以控制的选项较多，影响较小，建议放在离出发地近的端口，在数据处理前减少性能的占用。
二、NAT
1.概述
NAT（网络地址转换，Network Address Translation）是一种在计算机网络中使用的技术，它允许多个设备共享一个公共IP地址。NAT 的主要目的是解决 IPv4 地址短缺的问题，同时还可以提供一定程度的网络安全。
2.工作原理
出去的时候：将源ip地址 由私网变成公网
回来的时候：将目的ip地址 由私网变成公网
3.NAT的种类
-
静态NAT
每个内部 IP 地址都永久映射到一个特定的公共 IP 地址。
以工作原理图为例，对企业出口路由器做静态NAT，使PC1能够访问运营商设备
对企业出口路由器的配置如下：
int g0/0/0
ip add 192.168.1.254 24
int g0/0/1
ip add 200.1.1.1 24
nat static enable
nat static global 200.1.1.1 inside 192.168.1.1 //将内部网络中的私有IP地址192.168.1.1静态映射到外部网络上的公有IP地址200.1.1.1
-
动态NAT
使用一个私有IP地址池和一个公有IP地址池，每次内部设备访问互联网时，动态NAT会从公有IP地址池中选择一个未使用的公有IP地址进行映射。
以工作原理图为例，对企业出口路由器做动态NAT，使PC1和PC2能够访问运营商设备
int g0/0/1
undo nat static global 200.1.1.1 inside 192.168.1.1
nat address-group 1 200.1.1.10 200.1.1.50 //定义一个NAT地址组，编号为1，包含从200.1.1.10到200.1.1.50的公有IP地址
nat outbound 2000 address-group 1 //对于匹配ACL 2000的内部网络流量，将其源IP地址转换为NAT地址组1中的一个可用公有IP地址
acl 2000
rule permit source 192.168.1.0 0.0.0.255 //允许源IP地址在192.168.1.0/24网段内的数据包通过
//如果不生效
<>save
reboot
display nat session all
-
easy-ip
它允许内部网络的多个设备共享一个公共 IP 地址访问外部网络。将ip地址和端口号一起转换。
工作过程：使用ACL列表匹配私网ip地址；将所有的私网地址映射成路由器当前接口的公网地址。
以工作原理图为例，对企业出口路由器做easy-ip，使PC1和PC2能够访问运营商设备
acl 2000
rule permit source 192.168.1.0 0.0.0.255
int g0/0/1
undo nat address-group 1 200.1.1.10 200.1.1.50
nat outbound 2000
-
nat-server
内网服务器的相应端口映射成路由器公网ip地址的相应端口
企业出口路由器到运营商设备做默认路由：ip route-static 0.0.0.0 0 200.1.1.2
对企业出口路由器的配置
int g0/0/0
ip add 192.168.1.254
int g0/0/1
ip address 200.1.1.1 255.255.255.0
nat server protocol tcp global current-interface www inside 192.168.1.100 www//当外部网络中的设备尝试通过当前接口的IP地址访问HTTP服务（端口80）时， 防火墙会将这些请求的源地址转换为内部网络中IP地址为192.168.1.100的设备， 并将请求的目标端口80映射到该内部设备的80端口。
nat static enable
把内网的192.168.1.100的80端口映射到外网的200.1.1.1的80端口上，访问200.1.1.1即访问的是192.168.1.100
