CCNA7：ACL、NAT（一对一、一对多、多对多）、端口映射、远程登录

CCNA7：ACL、NAT（一对一、一对多、多对多）、端口映射、远程登录

一、远程登录：

远程登录的思路：首先在被登录方设置一个用户名和密码，然后开启远程登录。虚拟链路0-4，一共5根虚拟链路，允许同时5人登录进来。

R2(config)#username ccna privilege 15 secret cisco123
R2(config)#line vty 0 4
R2(config-line)#login local 

我们尝试远程登录一下R1，密码默认不显示：

二、ACL：访问控制列表：

首先我们要知道ACL有两种功能：一个是访问控制，还有一个

1、访问控制：

访问控制：对路由器流量进出的接口上，规则流量的进出。

定义ACL列表后，将列表调用于路由器的接口上，当流量通过接口时，进行匹配，匹配成功后按照设定的动作进行处理即可（允许、拒绝）

（1）匹配规则：

至上而下逐一匹配，上条匹配按上条执行，不再查看下条，末尾隐含拒绝所有。

解释： 这句话的意思是说：如果对一个网段或某个IP做了两个策略，那么会比较两个策略的先后顺序，位于策略中相对先出现的先执行。如果末尾不添加任何对其它路由的策略，则默认是拒绝的。

（2）分类：

①：标准ACL：

标准ACL仅关注数据包中的源IP地址，因此在调用的时候，应该尽量靠近目标，避免误删。

标准ACL的写法：编号写法：1~99，命名写法为：一个名字一张列表。

不足：当要删除一个表中的某条规则的时候整张表消失，解决办法就是使用 show running-config 然后将里面的配置复制到某个文档中，然后再修改，最后在贴进去。

②：扩展ACL：

扩展ACL关注数据包中的源、目标IP地址、目标端口号、协议号。因此在调用的时候应该靠近源，但是不能在源上。因为ACL不能限制本地路由器产生的其它流量（路由协议）,因此可以拒绝其它路由器控制层面上的流量。

写法：扩展ACL的写法：编号写法：100~199，命名写法为：一个名字一张列表。

关注目标端口号：
ICMP（ping）跨层封装协议，不存在端口号
Telnet（远程登录）：TCP下的23端口

特点：
1、一个名字一张表，删除其中某条策略并不影响。
2、有序列号便于删除和插入。

③：基于时间的ACL：

 创建A列表:
R1(config)#time-range A =

R1(config-time-range)#absolute start 12:00 1 aug 2018 end 12:00 1 aug 2020

定义整个列表的工作的总周期时间：
R1(config-time-range)#periodic daily 9:30 to 12:00
R1(config-time-range)#periodic daily 13:30 to 16:00

创建ACL扩展列表：A
R1(config)#ip access-list extended A
R1(config-ext-nacl)#permit ip host 172.16.20.253 any
R1(config-ext-nacl)#deny ip 172.16.20.0 0.0.0.255 any time-range A
R1(config-ext-nacl)#deny ip 172.16.10.0 0.0.0.255 any time-range A
R1(config-ext-nacl)#permit ip any any

2、定义感兴趣的流量：

定义感兴趣的流量：为其它的策略去匹配流量，可以为其它的策略进行服务，这里可以参考我的另一篇博客中写的相关策略：CCNP9：重发布技术+路由策略

如果只是这样晦涩的一说，我觉得还不是很好理解，接下来我用个小实验为大家深刻讲解一下，这个实验。

3、实验：

这个实验我想采用之前单臂路由的实验图（CCNA实验：单臂路由），然后再稍微添加一下，做出来的效果如图：