ACL和NAT

目录

一.ACL

1.概念

2.原理

3.应用

4.种类

5.通配符

1.命令

2.区别

3.例题

4.应用原则

6.实验

1.实验目的

2.实验拓扑

3.实验步骤

7.实验拓展

1.实验目的

2.实验步骤

3.测试

二.NAT

1.基本理论

2.作用

3.分类

静态nat

动态nat

[NATPT NAT Sever](#NATPT NAT Sever)

Easy-IP

4.工作原理

1.内部网络

2.路由器上的NAT配置

3.数据包发送

4.建立映射表

5.响应数据包接收

6.映射表维护

5.实验

静态NAT

1.实验目的

2.实验拓扑

3.实验步骤

动态NAT

1.实验目的

2.实验步骤

建立地址池

设置基础ACL,并配置规则

进入接口,配置NAT

测试

​编辑端口映射

1.实验目的

2.实验拓扑

3.实验步骤

[Easy IP](#Easy IP)

1.实验目的


一.ACL

1.概念

ACL:(Access Control List )访问控制列表

ACL是由一系列permit或deny语句组成的,有序规则的列表

ACL是一个匹配工具,能够对报文进行匹配和区分

2.原理

  • 过滤流量,然后匹配规则判断通过或拒绝
  • NAT匹配感兴趣的流量

3.应用

  • 匹配IP流量
  • 在Traffic-filter中被调用
  • 在NAT(Network Address Translation)中被调用
  • 在路由策略中被调用
  • 在防火墙的策略部署中被调用
  • 在QoS中被调用

4.种类

  • 基本ACL----编号2000-2999---依据依据数据包当中的源IP地址匹配数据(数据时从 哪个IP地址 过来的)
  • 高级ACL----编号3000-3999---依据数据包当中源、目的IP,源、目的端口、协议号匹配数据
  • 二层ACL----编号4000-4999---MAC、VLAN-id、802.1q

5.通配符

1.命令

通配符掩码 rule deny source 192.168.1.0

2.区别​​​​​​​

子网掩码、反掩码和通配符掩码

|-------|------|-------|-----------------------|
| 子网掩码 | 1111 | 0主机 | 配置ip地址时候用连续的1来表示网络位 |
| 反掩码 | 0000 | 1主机 | 路由协议(ospf协议)连续0来表示网络位 |
| 通配符掩码 | 可以0 | 1穿插主机 | 0不可变1可变 |

3.例题

172.16.1.1 0.0.0.0 与 172.16.0.0 0.255.0.0 在路由器PTA上使用这两个ACL匹配路由条目,则下列哪些条目将会被匹配上?(多选)

A.172.16.1.1 / 32

B.172.16.1.0 / 24

C.192.17.0.0 / 24

D.172.18.0.0 / 16

解:172.16.1.1 0.0.0.0的通配符为0.0.0.0,代表172.16.1.1 所有该路由地址不可变,故选A;172.16.0.0 0.255.0.0的通配符为0.255.0.0,代表172.16.0.0的路由地址中的16可变,其他地址不可变,故选D。

10.1.11.0 0.0.254.255 会和以下哪些条目匹配上?

A. 10.1.1.4

B. 10.1.2.4

C. 10.1.5.4

D. 10.1.9.0

解:10.1.11.0 0.0.254.255的通配符为0.0.254.255,代表10.1.11.0的前两位固定10.1,无法排除错误答案;254.255其中254位的11代表其为基数可变位,255位代表随意可变位,故选答案ACD

4.应用原则

  • 基础ACL:尽量离目标点近
  • 高级ACL:尽量离出发点近

6.实验

1.实验目的

过滤掉一个数据流量,使得客户机不能访问系统端

2.实验拓扑

​​​​​​​

3.实验步骤

进入系统,修改名称

sys

sys R1

进入g0/0/0 接口(int g0/0/0 ),配置IP地址作为网关(ip add 192.168.1.254 24

进入g0/0/1 接口(int g0/0/1 ),配置IP地址作为网关(ip add 192.168.2.254 24

进入g0/0/2 接口(int g0/0/2 ),配置IP地址作为网关(ip add 192.168.3.254 24

路由器R1 中设置基础ACL 2000(acl 2000 ),为基础ACL 2000设置过滤条件为192.168.1.1 0 (要对192.168.1.1 0 的地址进行拒绝 处理)(rule deny source 192.168.1.1 0)<当前rule的编号被默认定为5>

在接口下调用ACL分为两个方向(inbound/outbound ),使用(traffic-filter outbound acl 2000)控制数据向接口外发送数据时执行ACL

测试

客户机Client1不可以正常访问Server1

客户机Client2可以正常访问Server1

客户机Client1可以正常访问客户机Client2

7.实验拓展

1.实验目的

使Client1不能访问服务器1的http(www)服务

2.实验步骤

承接上述实验继续进行操作,在路由器R1中设置高级ACL3000(acl 3000),为高级ACL3000设置规则为192.168.1.1 0 的出口地址可以访问192.168.2.1 0的出口地址 www (rule deny tcp source 192.168.1.1 0 destination 192.168.2.1 0 destination-port eq www)
路由器R1 中进入g0/0/0 接口(int g0/0/0 ),设置流量过滤,使192.168.1.1 0 不能去访问192.168.2.1 的tcp 80 端口(www.web 服务) (traffic-filter inbound acl 3000

3.测试

测试客户机Client1能否访问系统端Server1

二.NAT

1.基本理论

NAT(Network Address Translation)网络地址转换是一种将私有IP地址转换为公有IP地址的技术,以实现多个设备共享一个公网IP地址,并能够访问互联网。NAT通常用于企业、家庭等内部网络与外部网络之间的通信。​​​​​​​

从私网--->外网将源私网地址改为源公网地址

从外网--->内网将目的公网改为目的私网地址

2.作用

通过对网络地址转换,实现内网地址与公网地址的相互访问

3.分类

静态nat

一个私网地址对应一个公网地址

动态nat

会规定一个公网地址池,容量有限

NATPT NAT Sever

内网服务器对外提供服务,针对目的IP和目的端口映射

Easy-IP

使用一个公网地址可以让所有人都可以上公网

一个公网地址最多可以让65536个人上网;企业或家庭所使用的网络为私有网络,使用的是私有地址;运营商维护的网络为公共网络,使用的是公有地址。私有地址不能在公网中路由;NAT一般部署在连接内网和外网的网关设备上。

4.工作原理

1.内部网络

在内部网络中,设备使用的是私有IP地址,这些地址不会被路由到公共互联网上。

2.路由器上的NAT配置

路由器上需要启用NAT功能,并配置至少一个公网IP地址作为出口地址。

3.数据包发送

当内部网络中的设备向外部网络发送数据包时,路由器会将数据包的源IP地址和端口号替换为自己的公网IP地址和一个新的端口号。

4.建立映射表

路由器会创建一个映射表,记录下每个内部IP地址及其对应的公网IP地址和端口号。

5.响应数据包接收

当外部网络返回的数据包到达路由器时,路由器会根据映射表找到对应的内部IP地址,并将数据包转发给该设备

6.映射表维护

如果长时间没有数据包经过某个映射关系,路由器可能会删除这个映射,以释放资源。

5.实验

静态NAT

静态NAT实现了私有地址和公有地址的一对一映射;一个公网IP只会分配给唯一且固定的内网主机

1.实验目的

使企业内私网客户端可以访问公网地址

2.实验拓扑
3.实验步骤

修改名称

进入R1

sys

sys QY

进入R2

sys

sys ISP

在企业出口路由器中进入g0/0/0接口(int g0/0/0),配置IP地址作为网关(ip add 192.168.1.254 24)

在企业出口路由器中进入g0/0/1接口(int g0/0/1),配置IP地址作为网关(ip add 200.0.0.1 24)

在g0/0/1接口,配置NAT(nat static enable)

运营商设备中 进入g0/0/0 接口(int g0/0/0 ),配置IP地址作为网关(ip add 200.0.0.2 24

在企业出口路由器中的g0/0/1,配置NAT转换,将通过的私网地址192.168.1.1 转为 200.0.0.100(nat static global 200.0.0.100 inside 192.168.1.1),将通过的私网地址 192.168.1.2 转为 200.0.0.200(nat static global 200.0.0.200 inside 192.168.1.2)

测试

测试PC1、PC两个私网地址是否可以ping通运营商设备的公网地址

动态NAT

  • 动态NAT基于地址池来实现私有地址和公有地址的转换
  • 网络地址端口转换NAPT允许多个内部地址映射到同一个公有地址的不同端口
1.实验目的

使企业内私网客户端可以访问公网地址

2.实验步骤

将静态NAT实验中配置好地址转换的命令取消

(undo nat static global 200.0.0.100 inside 192.168.1.1)

(undo nat static global 200.0.0.200 inside 192.168.1.2)

(undo nat static enable**)**

建立地址池

企业出口路由器 建立地址池组1私网可转公网范围为200.0.0.10 ~ 200.0.0.50 )(nat address-group 1 200.0.0.10 200.0.0.50

设置基础ACL,并配置规则

企业出口路由器 设置基础ACLacl 2000 ),配置规则私网地址192.168.1.0段192.168.1.0 "0" 可变 "192.168.1" 不可变(rule permit source 192.168.1.0 0.0.0.255)

进入接口,配置NAT

企业出口路由器中 进入g0/0/1 接口(int g0/0/1 ),配置NAT放行流量 应用基础ACL地址组1nat outbound 2000 address-group 1

测试

测试PC1、PC两个私网地址是否可以ping通运营商设备的公网地址

端口映射

NATPT------NAT Sever 内网服务器对外提供服务,针对目的IP和目的端口映射

内网服务器的相应端口映射成路由器公网ip地址的相应端口

1.实验目的

家庭客户机需要访问内网服务器

2.实验拓扑
3.实验步骤

运营商设备中 进入g0/0/1 接口(int g0/0/1 ),配置IP地址作为网关(ip add 202.0.0.254 24

进入接口配置NAT映射

在企业出口路由器中进入g0/0/1接口(int g0/0/1),删除动态NAT放行流量应用基础ACL地址组1(undo nat outbound 2000 address-group 1)配置NATPT映射(家庭客户机如果想访问服务器相当于访问企业出口路由器)(nat server protocol tcp global current-interface www inside 192.168.1.100 www)配置默认路由(ip route-static 0.0.0.0 0 200.0.0.2)

测试

Easy IP

  • Easy IP允许将多个内部地址映射到网关出接口地址上的不同端口
  • 使用一个公网地址可以让所有人都可以上公网
  • 一个公网地址最多可以让65536个人
1.实验目的

允许内网客户机和家庭服务机互通

2.实验步骤

在企业出口路由器上删除NATPT映射(undo nat server protocol tcp global current-interface
www inside 192.168.1.100 www
)配置Easy IP(nat outbound 2000

测试

测试PC1是否与客户端Client互通

相关推荐
wang090723 分钟前
网络协议之为什么要分层
网络·网络协议
EasyDSS1 小时前
EasyCVR视频汇聚平台助力大型生产监控项目摄像机选型与应用
网络·人工智能·音视频
等猪的风2 小时前
openwrt作旁路由时的几个常见问题 openwrt作为旁路由配置zerotier 图文讲解
运维·服务器·网络
千码君20163 小时前
什么是数据链路层的CRC检测以及为什么要放到帧尾?
服务器·网络·网络协议·以太网·奇偶校验·crc检测·以太网帧
后院那片海3 小时前
Web基础与HTTP协议
网络·网络协议·http
科技小E3 小时前
EasyRTC嵌入式音视频通信SDK智能安防与监控系统的全方位升级解决方案
大数据·网络·人工智能·音视频
程高兴4 小时前
高压直流输电MATLAB/simulink仿真模型+说明文档
开发语言·网络·matlab
开***能7 小时前
高炉项目中DeviceNET到Ethernet的转换奥秘
网络·网络协议·自动化
努力也学不会java8 小时前
【网络原理】 网络编程套接字
java·开发语言·网络·网络协议·tcp/ip·php
不老刘8 小时前
Uni-app网络请求AES加密解密实现
网络·uni-app