ACL访问控制列表和NAT网络地址转换

清疚 2021-07-24 11:48 514阅读 0赞

一、ACL 概述  
1、访问控制列表ACL：是由一系列permit或deny语句组成的、有序规则的列表，它通过匹配报文的相关信息实现报文的分类。  
2、ACL本身只能够用于报文的匹配和区分，而无法实现对报文的过滤功能，针对ACL所匹配的报文的过滤功能，需要特定的机制来实现（例如：在交换机的接口上使用traffic-filter命令调用ACL来进行报文过滤），ACL只是一个匹配用的工具。  
3、ACL除了能够对报文进行匹配，还能够用于匹配路由。  
4、ACL是一个使用非常广泛的基础性工具，能够被各种应用或命令所调用。

二、ACL的应用  
1、匹配IP流量（可基于源，目IP地址，协议类型，端口号等元素）  
2、在Traffic-filter中被调用。  
3、在NAT中被调用  
4、在路由器由策略中被调用。  
5、在IPSec VPN中被调用。  
6、在防火墙策略部署中被调用。  
7、在QoS中被调用

三、什么是ACL  
1、ACL能够匹配一个IP数据包中的源IP地址、目的IP地址、协议类型、源目的端口等元素的基础性工具；ACL还能够用与匹配路由条目。

2、如何标识ACL  
①利用数字标识ACL  
②利用名称标识ACL  
③华为设备上的种类![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70]

3、ACL的分类  
1）基本访问控制列表  
①只能够对IP头部的源IP地址进行匹配  
2）ACL的匹配顺序  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 1]

3）ACL的配置：基本ACL  
①使用编号创建一个基本ACL，并进入ACL视图：  
\[Huawei\] acl num  
\[Huawei-acl-basic-num\]  
基本ACL编号的范围是2000-2999  
②创建一个规则：  
\[Huawei-acl-basic-num\] rule 5 \{permit/deny\}source src-address wilcard  
（注：在一个ACL中可以创建一条或多条rule都有一个ID，该ID可由系统自动分配，也可以手工分配，rule按ID由小到大的顺序排列。）

4）Wildcard（通配符）  
①通配符是一个32比特长度的数值，用于指示IP地址中，哪些比特位需要严格匹配，哪些比特位则无所谓。  
②通配符通常采用类似网络掩码的点十进制形式表示，但是含义却与网络掩码完全不同。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 2]  
0：表示需匹配  
1：表示无所谓  
![在这里插入图片描述][20210513162632252.png]

③特殊的wildcard  
192.168.1.1 0.0.0.0 = 192.168.1.1 0 精确匹配192.168.1.1 的IP  
0.0.0.0 255.255.255.255 = any 匹配所有IP

4、公网IP地址及私有IP地址  
①公网地址：是指可以在Internet上使用的地址。为保证整个Internet内的IP地址的唯一性，公网地址由ANA这个国际组织负责分配。一台网络设备如果需要使用公网地址，就必须向ISP或注册中心申请。  
②私有地址：为了满足一些实验室、公司或其他组织的独立于Internet之外的私有网络的需求，RFCA1918为私有使用留出三个IP地址段。私有地址不能在Internet上被分配，因而可以不必申请就可以自由使用。  
③私有IPv4地址空间  
A类：10.0.0.0 ~ 10.255.255.255 （10.0.0.0/8）  
B类：172.16.0.0 ~ 192.31.255.255 （172.16.0.0/12）  
C类：192.168.0.0 ~ 192.168.255.255

四、什么是NAT  
NAT的主要原理是通过解析IP报文头部，自动替换报文头部的源地址或目的地址，实现私网IP访问公网的目的。私网IP转换为公网IP的过程对用户来说是透明的。

1、NAT的优点和缺点  
1）优点：①缓解公网地址紧缺问题。  
②解决IP地址空间冲突或重叠的问题。  
③网络扩展性更高，本地控制也更容易。  
④内网结构及相关操作对外变得不可见。  
⑤增加了安全性。

2）缺点：①存在转发延迟。  
②端到端寻址变得困难。  
③某些应用不支持NAT。  
④NAT产生的表项需占用设备的内存空间。  
⑤设备性能问题。

2、NAT类型  
1）源IP地址转换（Source IP address-based NAT):  
①No-Port地址转换（No-PAT)  
②网络地址及端口转换（NAPT）  
2）目的IP地址转换(Destination IP address-based NAT):  
①NAT Server  
②目的NAT

3、静态NAT

①静态NAT实现了私有地址和共有地址的一对一映射  
②一个公网IP只会分配给唯一且固定的内网主机  
案例：  
进接口：int g0/0/0  
ip address 192.168.1.254 24  
int g0/0/1  
ip address 192.168.2.254 24  
int g0/0/2  
ip address 10.0.0.254 24  
nat static global 100.1.1.10 inside 192.168.1.1

4、动态NAT

①动态NAT基于地址池来实现私有地址和共有地址的转换  
命令：nat address-group 1 100.1.1.15 100.1.1.20  
a c l 2000  
rule permit source 192.168.1.0 0.0.0.255  
int g0/0/1  
nat outbound 2000 address-group 1 no-pot

5、NAPT

①网络地址端口转换NAPT允许多个内部地址映射到同一个公有地址的不同端口。  
命令：nat address-group 1 100.1.1.15 100.1.1.20  
a c l 2000  
rule permit source 192.168.1.0 0.0.0.255  
int g0/0/1  
nat outbound 2000 address-group 1

实验题  
1、实验要求：client为公网上的一个用户，R4为内网出口路由器，内网PC可以访问web server,并且PC和Web server可以访问公网client,client可以访问内网Web server.  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 3]  
首先先设置 pc ，web server 和client  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 4]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 5]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 6]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 7]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 8]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 9]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 10]  
第二题  
2、实验要求：全网互通  
配置ACL使得vlan10和vlan20不通  
配置ACL使R1不能访问web server  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 11]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 12]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 13]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 14]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 15]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 16]  
第二个问 要求配置ACL使得vlan10 和 vlan20 不通  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 17]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 18]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 19]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70]: /images/20210724/dd2ca70b2aca4a0fa94bf4edd69ad2ab.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 1]: /images/20210724/7b63a7617c164772b6ea0d9744ad4536.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 2]: /images/20210724/32732020ac4a4c499af5176d86613809.png
[20210513162632252.png]: /images/20210724/f01b6fa8a9144795abdc6fc540a173d7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 3]: /images/20210724/13b0760a0b9646b38442027a45143c70.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 4]: /images/20210724/17764294aca344869292f752825d1f73.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 5]: /images/20210724/7982d00f9098471fa8cef0f24dbd1b0c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 6]: /images/20210724/2029a685944d45bf9133e2a031148511.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 7]: /images/20210724/71cd8f6a08ab4dfb84bd3f02a171d6a7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 8]: /images/20210724/3372fe7b3e3948a8900c535c7de03205.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 9]: /images/20210724/ae6b0267d9a8471aa7a598931da73156.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 10]: /images/20210724/61066d4c46c444ad9b8d301e5b2d3415.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 11]: /images/20210724/3b4c12b0794f4ef98af2dee1e446c085.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 12]: /images/20210724/4d61e6ce3011433a8bfc8664f343f7d5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 13]: /images/20210724/ff6b768ead5e4cbc86f9ceeec7a72ad1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 14]: /images/20210724/cf4c22d2ce3640f4b8735678e11c9f60.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 15]: /images/20210724/63b9e23b86214c57b7b248cb267a6a8e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 16]: /images/20210724/4155ab41300947c2bf2a56669bde2638.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 17]: /images/20210724/dabc72b6826b483cbecef58309e2640b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 18]: /images/20210724/a785ef509ae745158e80770394a09743.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl81NjUwODEyMw_size_16_color_FFFFFF_t_70 19]: /images/20210724/9f6ce3d7e4724e909122d519fb1b78d8.png