首页 > 其他分享 >ACL 和 NAT（配eNSP实验模拟）

ACL 和 NAT（配eNSP实验模拟）

时间：2024-12-22 19:29:26浏览次数：9  
标签：eNSP ip 192.168 ACL 地址 NAT 0.0 掩码

目录

一：ACL(访问控制列表)

1.什么是ACL（访问控制列表）

2.ACL概述和应用

3.ACL工作原理：

4.ACL种类

5.ACL组成和规则​

6.ACL的匹配位置。

7.acl实例模拟

二.NAT(网络地址转换)

1.NAT工作原理如下：​

2.NAT技术转换流程如下：​

3.静态NAT案例分析

1.动态NAT：

4.Easy-IP

5.NATPT(端口映射)

6.总结：​

一：ACL(访问控制列表)

1.什么是ACL（访问控制列表）

ACL 是访问控制列表（Access Control List）的英文缩写，它是一种基于包过滤的访问控制技术,被广泛应用于路由器和三层交换机等网络设中。

2.ACL概述和应用

ACL是由一系列permit或deny语句组成的、有序规则的列表。

ACL是一个匹配工具，能够对报文进行匹配和区分。

ACL应用:

  1. 应用在接口的ACL-----过滤数据包（原目ip地址）|在Traffic-filter中被调用

  2. 应用在路由协议-------匹配相应的路由条目|在NAT（Network Address Translation）中被调用

3.ACL工作原理：

当数据包从接口经过时，由于接口启用了acl， 此时路由器会对报文进行检查，然后做出相应的处理（拒绝、接收）。

4.ACL种类

  • 编号2000-2999---基本ACL----依据依据数据包当中的源IP地址匹配数据（数据是从 哪个IP地址 过来的）

  • 编号3000-3999---高级ACL----依据数据包当中源、目的IP，源、目的端口、协议号匹配数据

  • 编号4000-4999---二层ACL，MAC、VLAN-id、802.1q

5.ACL组成和规则

1.建立表格 如果已有不需要
acl number 2000  //表示创建一个编号为2000的acl表格
注意：基本acl  2000-2999     高级acl   3000-3999

2.添加相应的规则：rule  编号 处理动作 ip或网段  通配符掩码
rule 5  permit | deny //rule 5：第五条规则，Rule规则编号每一条规则都有一个相对应的编号  默认步长为5，方便后续在旧规则之前插入新的规则。 

处理动作permit | deny：接收，拒绝
ACL的匹配机制：从上而下一次匹配，优先选择第一次遇到的规则：列如第一条是允许通过192.168.1.0段的ip地址，第二条是不允许通过源ip192.168.1.1的地址，结果是1.1这个地址还是通过了，因为1.0段包含了1.1,且1.0段的规则是在1.1的前面的。
source 192.168.1.1 //匹配项(ip地址(源IP、目的IP)，mac地址：源ip  注意没有目的MAC地址，因为如果不是目标MAC根本就不需要做判断是通过还是拒绝)

rule 5  permit  source 192.168.1.1 通配符掩码(用来控制匹配的范围)   //
通配符掩码：  192.168.1.0/24     通配符掩码为：0.0.0.255
解释：ip地址可变的位为1，不可变的位为0，就是如果变了是否影响这个原本的ip地址，不影响便是可变的，影响便是不可以改变的。
3 进入接口  调用规则 inboud  outboud
 192.168.2.2   表示单个地址的话：0.0.0.0  
 通配符掩码：0.0.0.255      c类地址
           0.0.255.255    B类地址
           0.255.255.225  A类地址
           
192.168.1.0/24      只允许192.168.1.1----192.168.1.7之间的ip地址通过
                   0.0.0.0000 0111-----7-----192.168.1.7
                   因为有0有1就写1   0.0.0.7就是表示1-7之间的通配符掩码
                   
192.168.1.0/24  所有的偶数地址
0.0.0.1111 1110  通配符 0.0.0.254  只要保证最后一位为0不可变就可以了
192.168.1.0/24  所有的奇数地址
0.0.0.1111 1110  通配符 0.0.0.254  只要保证最后一位为1不可变就可以了

BUG:
表示 1-63 的192.168.1.0/24网段 的通配符掩码 ：0.0.0.63
在63的基础上加一位表示64的话，因为前面有数字有1有0就表示1，结果为0.0.0.0111 1111
通配符掩码即为：0.0.0.127
所以如果相要表示0-64的通配符掩码写0.0.0.127会比在63的基础上多出64个地址， 解决办法是写一段0-63的通配符掩码，单独写一段64的通配符掩码。     
练习
10.1.11.0   0.0.254.255   
以下哪些地址符合上面的条件
10.1.1.4
10.1.2.4
10.1.5.4
10.1.9.4
答案：除了第三位是偶数的其他都是，由题可得表示所有奇数。
子网掩码   必须是连续的1
反掩码      必须是连续的0
通配符掩码    0和1可以不连续
高级ACL
acl number 3000  建立编号为3000的acl表格
rule 10  deny tcp source 192.168.1.1  0 destination 192.168.1.0  0.0.0.255  destination-port  eq www
解释：第10条规则拒绝192.168.1.1的ip访问192.168.1.0网段的所有设备的tcp:80端口

6.ACL的匹配位置。

7.acl实例模拟

1.设置C1和server1的IP地址、掩码和网关

2.基本ACL：尽量用在靠近目的ip的端口

#
 acl number 2000    //建立编号为2000的基本acl
 rule 5 deny source 192.168.1.1 0  //设置初始步长为5 拒绝源通过 ip192.168.1.1这个地址
#
 interface GigabitEthernet0/0/1  //进入到g0/0/1接口
 ip address 192.168.2.254 255.255.255.0   //设置ip地址 和掩码
 traffic-filter outbound acl 2000   //将acl 2000应用于出口位置
#

3.结果使用C1去ping发现被拒绝了   

 结论：拒绝192.168.1.1访问server1

（2）1.配置C2的ip和掩码

2. 配置AR1建立高级ACL表格

 #
 sysname AR1  //重命名
 #
acl number 3000  //建立高级编号为3000的acl表
 rule 5 deny tcp source 192.168.1.2 0 destination 192.168.2.1 0 destination-port  eq www    //第五条规则的作用是阻断从源 IP 地址 192.168.1.2 发往目标 IP 地址 192.168.2.1 的、目标端口为 HTTP 服务相关端口（ 80 端口）的 TCP 流量。
#
 interface GigabitEthernet0/0/0  //进入g0/0/0接口
 ip address 192.168.1.254 255.255.255.0  //配置ip地址和掩码
 traffic-filter inbound acl 3000  //应用于进口端口中
#

3.获取失败

 结论：结果看到Client2获取失败，表示被拒绝访问成功了。基本acl需要调用在离目的设备最进的接口上。高级acl用于在靠近源ip设备的接口上(可以保护带宽和其他资源)

二.NAT(网络地址转换)

1.NAT技术主要用于实习内部网络的主机访问外部网络。一方面NAT缓解了IPV4地址短缺的问题，

2.一方面nat技术让外网无法直接与使用私有地址的内网进行通信，提升内网的安全性

公有地址：由专门的机构管理、分配，可以在Internet上直接通信的IP地址

私有地址：组织和个人可以任意使用，无法在Internet上直接通信，只能在内网使用的ip地址

A类私有地址：10.0.0.0~10.255.255.255

B类私有地址：172.16.0.0~172.31.255.255

C类私有地址：192.168.0.0~192.168.255.255

1.NAT工作原理如下：

2.NAT技术转换流程如下：

3.静态NAT案例分析

3.1 配置企业出口路由器：

<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sys qyck
[qyck]interface GigabitEthernet0/0/1   //进入g0/0/1端口
[qyck-GigabitEthernet0/0/1]  ip address 200.1.1.1 255.255.255.0   //设置ip地址和掩码
[qyck-GigabitEthernet0/0/1]nat static enable //开启静态nat
 nat static global 200.1.1.100 inside 192.168.1.1 netmask 255.255.255.255  
//表示静态NAT配置将私网地址192.168.1.1转为公网地址200.1.1.100
#
return
[qyck-GigabitEthernet0/0/1]nat static enable //开启静态nat
[qyck-GigabitEthernet0/0/1]nat static global 200.1.1.101 inside 192.168.1.2
//表示静态NAT配置将私网地址192.168.1.2转为公网地址200.1.1.101
[qyck-GigabitEthernet0/0/1]dis th  //显示配置信息
[V200R003C00]
#
interface GigabitEthernet0/0/1
 ip address 200.1.1.1 255.255.255.0 
 nat static global 200.1.1.100 inside 192.168.1.1 netmask 255.255.255.255
 nat static global 200.1.1.101 inside 192.168.1.2 netmask 255.255.255.255
 nat static enable
#
return

3.2 pc1结果：

 

3.3利用pc1端：ping200.1.1.2产生流量，使用抓包可以清晰的看出数据包ip变化

（1）抓包：g0/0/1接口

（2）抓包：g0/0/0接口

结论：静态NAT是和公网地址 一 一 对应关系（dis nat static ），注意不能使用出口的接口地址作为公网地址。

1.动态NAT：
nat address-group 1 200.1.1.10  200.1.1.20  //建立地址池
acl number 2000  
rule 5 permit source 192.168.1.0 0.0.0.255 
#第五条规则允许通过源ip为192.168.1.0网段的所有ip地址

int g0/0/1 //进入接口
nat outbound 2000 address-group 1 no-pat
#运用在网络地址出站的接口上 运用编号为2000acl，使用地址池编号为1的地址池，不使用端口地址转换

 1.1从图可以看出：每次从地址池拿出使用的公网ip是不一样的。

4.Easy-IP

1.使用列表匹配私网的ip地址

2.将所有的私网地址映射成路由器当前接口的公网地址

acl 2000  //建立编号2000的acl表
rule permit source 192.168.1.0 0.0.0.255 //允许通过源ip 192.168.1.0网段的所有地址通过
int g0/0/1 //进入g0/0/1接口
nat outbound 2000  //应用在出站接口使用编号为2000acl

 3.使用pc2

 4.结果如下

结论：建立一个acl规则，应用于在出站的接口就可以实现私网地址映射成公网地址。

5.NATPT(端口映射)

NAT Server----内网服务器对外提供服务，针对目的ip和目的端口映射

内网服务器的相应端口映射成路由器公网ip地址的相应端口

5.1实例图

配置内网服务器:  

配置企业出口路由器：

[qyck]int g0/0/1  //进入g0/0/1接口
#
[qyck-GigabitEthernet0/0/1] ip address 200.1.1.1 24 
//配置接口ip地址和掩码
[qyck-GigabitEthernet0/0/1]  nat server protocol tcp global current-interface www  inside 192.168.1.100 www
//启用natserver  将当前端口的公网地址的80端口和内网 192.168.1.100的80 端口做上关联
访问200.1.1.1的80 端口等于 访问 192.168.1.100的80端口
current-interface：当前端口的ip地址
www:80
inside:内网
global：公网
#
[qyck]ip route-static 0.0.0.0 0.0.0.0 200.1.1.2
为企业出口路由器做默认路由：所有网段指向运营商

配置运营商：

interface GigabitEthernet0/0/0  //进入g0端口
 ip address 200.1.1.2 255.255.255.0  //设置ip 和掩码
interface GigabitEthernet0/0/1  //进入g1端口
ip address 202.1.1.254 255.255.255.0   //设置ip和掩码

 配置客户端：

启动内网服务器server1:  使用客户端Client1获取数据

 

6.总结：

标签：eNSP,ip,192.168,ACL,地址,NAT,0.0,掩码
From： https://blog.csdn.net/2303_77178063/article/details/144650286

相关文章

  • CSharp: Connecting to Oracle 11g Database in C#
     usingSystem;usingSystem.Collections.Generic;usingSystem.ComponentModel;usingSystem.Data;usingSystem.Drawing;usingSystem.Linq;usingSystem.Text;usingSystem.Threading.Tasks;usingSystem.Windows.Forms;//usingOracle.DataAccess.Client;usin......
  • jquery分页插件am-pagination.js
    am-pagination.js是一款jquery分页插件。该jquery分页插件可以动态的在客户端页面渲染出分页条效果，并带有多个配置参数，以及Bootstrap和amazeui两种主题风格的分页条。 在线预览  下载  使用方法在页面中引入am-pagination.css和jquery、am-pagination.js文件，Bootstrap......
  • python: Connecting to Oracle 11g Database in Python
     #encoding:utf-8#版权所有2024涂聚文有限公司#许可信息查看：言語成了邀功盡責的功臣，還需要行爲每日來值班嗎#描述：python-mpipinstalloracledb#python-mpipinstallcx_Oracle--upgrade#pipinstallcx_Oracle#Author:geovindu,GeovinDu涂聚文.#......
  • ensp 三层交换 DHCP中继的配置实验
    三层交换是一种结合了二层交换和三层路由功能的技术。其原理包括：二层交换功能：通过MAC地址进行数据转发，适用于同一局域网内的通信。三层路由功能：根据目标IP地址，进行跨网路由转发，支持不同子网之间的通信。高效转发：通过硬件加速路由功能，提高数据包转发效率，优于传统路由器。路由表......
  • ensp 链路聚合（含实验配置）
    以太网链路聚合技术LinkAggregation，或者称为端口捆绑、链路捆绑技术，是一种通用的以太网技术。通过该技术，我们能够将多条以太网链路进行“捆绑”，捆绑之后的这些物理链路就形成了逻辑上的一条新的链路（Eth-Trunk），这条聚合链路不仅仅在带宽上成倍的增加，还同时提供了负......
  • Vue 中 @click 和 .native 修饰符的详细解析
    今天在项目中实现点击跳转页面的时候遇到了el-col添加@click无效的状况，查了一些相关资料，记录一下。目录简介原生HTML元素与自定义组件@click 的工作原理.native修饰符的作用根元素一定是原生HTML元素吗？总结示例代码1.简介在Vue.js中，事件绑定是开发过程中非常常见......
  • 纪念 Jonathan Barzilai
    我在读博期间研究了关于非线性优化算法中的Barzilai-Borwein(BB)步长。正如我的导师安老师所言：梯度下降法是优化算法的基石(只考虑一般可微的目标函数)。在该算法中，迭代点每次沿着当前的负梯度方向"走一步"，一直迭代下去，逼近最优解(当然是局部的)。一个自然地问题是这个"走一步"的......
  • PowerShell 脚本的作用是通过调用 NGEN (Native Image Generator) 工具来优化 .NET 程
    $Env:PATH=[Runtime.InteropServices.RuntimeEnvironment]::GetRuntimeDirectory()[AppDomain]::CurrentDomain.GetAssemblies()|%{ $pt=$_.Location if(!$pt){continue} if($cn++){''} $na=Split-Path-Leaf$pt Write-Host-ForegroundColorY......
  • 题解：CF603A Alternative Thinking
    思路你猜这个题为什么是A题？很思维的解法。只允许翻转一次，所以最多只会在原答案上加\(2\)。所以我们来讨论仅有的三种可能：加\(2\)，要有两段连续的\(0\)或\(1\)。加\(1\)，要有一段连续的\(0\)或\(1\)。不加，没有连续的\(0\)或\(1\)。我们的代码模拟上面的三种......
  • 利用Oracle VM VirtualBox安装Centos7虚拟机，及后续设置
    #OracleVMVirtualBox网站下载地址：直接按照最新的安装即可https://www.oracle.com/virtualization/virtualbox/安装Centos7虚拟机镜像资源1，准备一个CentOS-7-x86_64-Minimal-2009.iso镜像文件，这是我们公司服务器用的一个版本，所以我从网上下载了一个一样的版本，就用这个为例......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99