ACL原理和NAT网络地址转换

目录

一.ACL

1.ACL概述

2.ACL工作原理

3.ACL的种类

4.通配符掩码

5.ACL(访问控制列表)的应用原则

6.匹配规则

二.NAT

1.NAT的主要作用

2.NAT工作机制

3.NAT的使用场景与命令配置

4.Nat Server

---

一.ACL

1.ACL概述

2.ACL工作原理

当数据包从接口经过时，由于接口启用了acl， 此时路由器会对报文进行检查，然后做出相应的处理（拒绝或接收）。

3.ACL的种类

•  编号2000-2999（基本ACL）：依据依据数据包当中的源IP地址匹配数据（数据时从 哪个IP地址 过来的）
• 编号3000-3999（高级ACL）：依据数据包当中源、目的IP，源、目的端口（软件  微信  qq  ）、协议号匹配数据   五元
•  编号4000-4999（二层ACL）：MAC、VLAN-id、802.1q

4.通配符掩码

根据参考ip地址，通配符“1”对应位可变，“0”对应位不可变，0/1可以穿插，有0有1 写1。

5.ACL(访问控制列表)的应用原则

• 基本ACL:尽量用在靠近目的点
• 高级ACL:尽量用在靠近源的地方(可以保护带宽和其他资源)

6.匹配规则

1、一个接口的同一个方向，只能调用一个acl
2、一个acl里面可以有多个rule 规则，按照规则ID从小到大排序，从上往下依次执行
3、数据包一旦被某rule匹配，就不再继续向下匹配
4、用来做数据包访问控制时，默认隐含放过所有(华为设备)

二.NAT

1.NAT的主要作用

• 用于实现私有网络和公有网络之间的互访

2.NAT工作机制

一个数据包从企业内网去往公网时，路由器将数据包当中的源ip（私有地址），翻译成公网地址

回包的时候，路由器将回包中的目的公网地址改成目的私网地址。

3.NAT的使用场景与命令配置

3.1静态NAT

私网IP和公网IP是一对一的关系，并且需要预先做好一对一的映射绑定

例：nat static global <自定义公网IP> inside <私网IP> 

3.2动态NAT

私网IP和公网IP是一对一的关系，需要先自定义一个公网IP地址池，私网IP在地址转换时会轮询地

址池中的每个公网IP

例：nat address-group 1 200.1.1.10 200.1.1.15
#建立地址池
acl number 2000  
rule 5 permit source 192.168.1.0 0.0.0.255 
#给需要地址转换的 网段添加规则

int g0/0/X
nat  static   enable 
nat outbound 2000 address-group 1 no-pat
#进入对应接口添加规则

3.3NATPT（端口映射）

NAT Server：内网服务器对外提供服务，针对目的ip和目的端口映射，内网服务器的相应端口映射成路由器公网ip地址的相应端口。

在企业出口路由器上的接口配置
例：int  g0/0/X
ip address 200.1.1.1 255.255.255.0 
nat server protocol tcp global current-interface www inside 192.168.1.100 www

nat static enable

3.4Easy-IP

工作时同时转换IP地址与传输层端口号。

1.使用ACL列表匹配私网的ip地址

2.将所有的私网地址映射成路由器当前接口的公网地址

例：acl 2000
rule permit source 192.168.1.0 0.0.0.255
int g0/0/X
nat outbound 2000

4.Nat Server

• 私网IP和公网IP是多对一的关系，一个公网IP和不同的端口可以转换成的私网IP和端口
• 先修改从公网发送到内网的数据包的目的IP地址，Nat Server会将数据包的目的IP由公网地址转换成私网地址
• 再修改从内网返回到外网的响应数据包的源IP地址，Nat Server会将数据包的源IP由私网地址转换成公网地址