ACL与NAT

关注

原创最新推荐文章于 2026-07-13 21:57:31 发布 681 阅读 AI 写同款· GEO 优化 ›

SQL Server 1433端口IP白名单实战：穿透NAT、rp_filter与conntrack的全栈防控 IP白名单是数据库网络访问控制的基础机制，其本质是在传输层（TCP）对连接请求实施源地址过滤。实现可靠白名单需深入理解网络分层原理：物理层受NAT/SLB影响导致源IP失真；网络层rp_filter可能静默丢弃合法包；传输层conntrack状态匹配错误将导致连接建立失败。技术价值在于以最小权限原则收敛攻击面，同时保障高可用性。典型应用场景包括云安全组配置、混合云VPC互通、容器化K8s NetworkPolicy策略及裸金属Windows防火墙精细化管控。本文聚焦SQL Server 1433端口这一高频阅读详情

ACL（访问控制列表）

ACL概述与产生背景

ACL: access list 访问控制列表

白名单：默认拒绝所有，放一个可以通信一个自己内部的业务

黑名单：默认开放所有，加入一个，不能通信一个。

ACL应用

ACL 两种应用 :

1. 应用在接口的 ACL----- 过滤数据包（原目 ip 地址，原目mac，端口五元组）

2. 应用在路由协议 ------- 匹配相应的路由条目

3. NAT 、 IPSEC VPN 、 QOS----- 匹配感兴趣的数据流（匹配上我设置的数据流的）

ACL种类

ACL应用原则

基本 ACL: 尽量用在靠近目的点

高级 ACL: 尽量用在靠近源的地方 ( 可以保护带宽和其他资源)

ACL匹配规则

1 、一个接口的同一个方向，只能调用一个 acl

2 、一个 acl 里面可以有多个 rule 规则，按照规则 ID 从小到大排序，从上往下依次执行

3 、数据包一旦被某 rule 匹配，就不再继续向下匹配

4 、用来做数据包访问控制时，默认隐含放过所有 ( 华为设备)

NAT（网络地址翻译）

一个数据包目的 ip 或者源 ip 为私网地址，运营商的设备无法转发数据。

NAT工作机制

一个数据包从企业内网去往公网时，路由器将数据包当中的源ip （私有地址），翻译成公网地址

静态NAT

工程手动将一个私有地址和一个公网地址进行关联，一一对应，缺点和静态路由一样

NATPT（端口映射）

NAT Server---- 内网服务器对外提供服务，针对目的 ip 和目的端口映射，内网服务器的相应端口映射成路由器公网 ip 地址的相应端口

Easy-IP

1. 使用列表匹配私网的 ip 地址

2. 将所有的私网地址映射成路由器当前接口的公网地址

实验

nat

企业出口
[R1]int g0/0/0 //进入接口g0/0/0
[R1-GigabitEthernet0/0/0]undo shut undo shut//开启物理接口
[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24 //配置IP地址及子网掩码长度
[R1-GigabitEthernet0/0/0]int g0/0/1 //进入接口g0/0/1
[R1-GigabitEthernet0/0/1]undo shut //开启物理接口
[R1-GigabitEthernet0/0/1]ip add 202.10.10.1 24 //配置IP地址及子网掩码长度
[R1]nat address-group 1 15.0.0.10 15.0.0.11 //配置NAT外网地址池
[R1]acl 2000 //创建标准访问控制列表2000
[R1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255 //配置ACL抓取内网地址段
[R1-acl-basic-2000]int g0/0/1 //进入接口g0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000 address-group 1 //在外网口调用acl2000
[R1]ip route-static 0.0.0.0 32 202.10.10.2 // 配置默认路由，下一跳入接口 202.10.10.2
[R1-GigabitEthernet0/0/1]display nat outbound //查看是否成功

ACL