ACL和NAT内容整理
目錄
一.ACL內容整理
1.1ACL的作用與原理
1.2ACL的種類
1.3ACL應用規則
1.4ACL命令
二.NAT內容整理
1.1什么是NAT
1.2NAT的工作原理:
1.3NAT功能:
1.4靜態NAT
1.5NAT命令
總結
一.ACL內容整理
1.1ACL的作用與原理
ACL用來對數據包做訪問控制（丟棄或者放行）；結合其他協議，用來匹配范圍
ACL工作原理：當數據包從接口經過時，由于接口啟用了ACL，此時路由器會對報文進行檢查，然后做出相應的處理。
1.2ACL的種類
基礎acl（2000--2999）；只能匹配IP地址
高級acl（3000--3999）可以匹配源IP、目標IP、源端口、目標端口等三層和四層的字段和協議。
二層acl（4000--4999）根據數據包的源MAC地址、目的MAC地址、802.1q優先級、二層協議類型等二層信息制定規則。
1.3ACL應用規則
1.一個接口的同一個方向，只能調用一個acl
2.一個acl里面可以有多個rule規則，按照規則ID從小到大排序，從上往下依次執行
3.數據包一旦被某rule匹配，就不再繼續向下匹配
4.用來做數據包訪問控制時，默認隱含放過所有（華為設備）
1.4ACL命令
[Huawei]acl number 2000 #######創建acl 2000 [Huawei-acl-basic-2000]rule 5 deny source 192.168.1.1 0 ####拒絕源地址為192.168.1.1的流量 [Huawei]interface GigabitEthernet0/0/1 [Huawei - GigabitEthernet0/0/1]ip address 192.168.2.254 24 [Huawei - GigabitEthernet0/0/1] traffic-filter outbound acl 2000 ##接口出方向調用acl 2000， outbound 代表出方向，inbound 代表進入方向。 [Huawei - GigabitEthernet0/0/1] undo sh[Huawei] acl number 2001 ####進入acl 2001 列表 [Huawei-acl-basic-2001]rule permit source 192.168.1.0 0.0.0.255 ##permit代表允許，source代表來源，掩碼部分 是 反掩碼 [Huawei-acl-basic-2001]rule deny source any ###拒絕任何訪問，any代表所有0.0.0.0 255.255.255.255[Huawei]interface g0/0/1 ######進入出口接口 [Huawei-GigabitEthernet0/0/1] ip address 192.168.2.254 24 [Huawei-GigabtEthernet0/0/1]traffic-filter outbound acl 2001[Huawei]acl numer 3000 #####拒絕TCP為高級控制，所以3000起 [Huawei-acl-adv-3000]rule deny icmp source 192.168.1.0 0.0.0.255 destination 192.168.3.1 0 ##拒絕ping [Huawei-acl-adv-3000]rule permit tcp source 192.168.1.3 0 destination 192.168.3.1 0 destination-port eq 80二.NAT內容整理
1.1什么是NAT
NAT (Network AddressI Iransiatlon ）稱為網絡地址轉塊，私有網絡地址和公有網絡地址，公有網絡地址(以下簡稱公網地址)是指在互聯網上全球唯一的IP地址。
1.2NAT的工作原理:
1、NAT用來將內網地址和端口號轉換成合法的公網地址和端口號，建立一個會話，與公網主機進行通信
2、NAT外部的主機無法主動跟位于NAT內部的主機通信，NAT內 部主機想要通信，必須主動和公網的一個IP通信， 路由器負責建立一個映射關系，從而實現數據的轉發。
1.3NAT功能:
NAT不僅能解決了IP地址不足的問題，而且還能夠有效地避免來自網絡外部的入侵，隱藏并保護網絡內部的計算機。
1.寬帶分享:這是NAT主機的最大功能。
2.安全防護:NAT之內的PC聯機到Internet.上面時，他所顯示的IP是NAT主機的公網IP，所以client端 的PC就具有一定程度的安全了，外界在進行portscan(端口掃描)的時候，就偵測不到源client端的PC。
優點:節省公有合法IP地址、處理地址重疊、增強靈活性、安全性
缺點:延遲增大、配置和維護的復雜性、不支持某些應用(比如VPN)
1.4靜態NAT
靜態NAT實現私網地址和公網地址的一對一轉換。有多少個私網地址就需要配置多少個公網地址。靜態NAT不能節約公網地址，但可以起到隱藏內部網絡的作用。
內部網絡向外部網絡發送報文時，靜態NAT將報文的源IP地址替換為對應的公網地址:外部網絡向內部網絡發送響應報文時，靜態NAT將報文的目的地址替換為相應的私網地址。
1.5NAT命令
全局模式下設置靜態ANT [R1]nat static global 8.8.8.8 inside 192.168.10.10 [R1]int g0/0/1 ####外網口 [R1-int g0/0/1]nat static enable ####在網口上啟動nat static功能第二種：直接在接口上聲明nat static [R1]int g0/0/1 ###外網口 [R1-int -g0/0/1]nat static qlobal 8.8.8.8 inside 192.168.10.10 [R1]dis nat static #######查看nat靜態配置信息####動態nat：多個私網IP地址對應多個公網IP地址，基于地址池一對一映射 1、配置外部網口和內部網口的IP地址2、定義合法IP地址池 [R1]nat addres-group 1 212.0.0.100 212.0.0.200 #####新建一個名為1的nat地址池3、定義訪問控制列表 [R1]acl2000 ##創建acl,允許源地址為192.168.20.0/24網段和11.0.0.0/24的數據通過 [R1-acl-basic-2000]rule permit source 192.168.20.0 0.0.0.255 [R1-acl-basic-2000]rule permit source 11.0.0.0 0.0.0.255動態NAT 1.配置外部網絡和內部網口的IP地址 2.定義合法IP地址池 [R1]nat address-group 1 212.0.0.100 212.0.0.200 #####新建一個名為1的nat地址池 3.定義訪問控制列表 [R1]acl 2000 ###創建ACL,允許源地址為192.168.20.0/24網段和11.0.0.0/24的數據通過 [R1-acl-basic-2000]rule permit source 192.168.20.0 0.0.0.255 R1-acl-basic-2000]rule permit source 11.0.0.0 0.0.0.255 4.在外網口，上設置動態IP地址轉換 [R1-acl-basic-2000]int g0/0/1 ####外網口 [R1-GigabitEthernrt0/0/1]nat outbound 2000 address-group 1 no-pat ##將ACL 2000匹配的數據轉換為改接口的IP地址作為源地址（no pat 不做端口轉換，只做IP地址轉換，默認為pat） [R1]dis nat outbound ###查看NAT outbound的信息NAPT：多個私網IP地址：對應固定外網IP地址（比如200.1.1.10），配置方法與動態NAT類似 1.配置外部網口和內部網口的IP地址 2.定義合法IP地址池 [R1]nat address-group 1 200.1.1.10 200.1.1.10 ########使用一個固定IP 3.定義訪問控制列表 [R1]acl 2000 ###允許源地址為192.168.30.0/24 網段的數據通過 [R1-ACL-ADV-2000]rule permit source 192.168.30.0 0.0.0.255 4.在外網口上設置IP地址轉換 R1-acl-basic-2000]int g0/0/1 ######外網口 [R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1NAT server: 端口映射，將私網地址端口映射到公網地址，實現內網服務器供外網用戶訪問[R1] int g0/0/1[R1-GigabitEthernet0/0/1]nat server protocol tcp global9.9.9.9 www inside 192. 168.10.100 www ###在連接公網的接口.上將私網服務器地址和公網地址做一對NAT映射綁定[R1 -Gigabi tEthernet0/0/1]nat server protocol tcp global current- interface 8080 inside 10.1.1.1 www ##在連接公網的接口上將私網服務器地址和外網接口做一對NAT映射綁定[Rl-GigabitEthernet0/0/1]nat server protocol tcp global current-interface 2121 inside 10.1.1.2 ftp122 ###端口為21可以直接使用關鍵字“ftp"代替總結
?ACL用來對數據包做訪問控制（丟棄或者放行）；結合其他協議，用來匹配范圍
ACL工作原理：當數據包從接口經過時，由于接口啟用了ACL，此時路由器會對報文進行檢查，然后做出相應的處理。
NAT不僅能解決了IP地址不足的問題，而且還能夠有效地避免來自網絡外部的入侵，隱藏并保護網絡內部的計算機。
總結
以上是生活随笔為你收集整理的ACL和NAT内容整理的全部內容，希望文章能夠幫你解決所遇到的問題。
