第四讲访问控制列表与网络地址转换NAT解析.pptVIP

第四讲 访问控制列表与网络地址转换NAT ACL基本原理 号码式访问列表（标准号码式和扩展号码式） 命名式访问列表（标准命名式和扩展命名式） ACL控制vty（TELNET）访问及验证 NAT和PAT基本原理 动态和静态的NAT和PAT 一、什么是ACL 访问控制列表（Access Control List，ACL） 是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL适用于所有的路由协议，如IP、IPX、AppleTalk等。 内外网络的通信都是企业网络中必不可少的业务需求，为了保证内网的安全性，需要通过安全策略来保障非授权用户只能访问特定的网络资源，从而达到对访问进行控制的目的。简而言之，ACL可以过滤网络中的流量，控制访问的一种网络技术手段。 ACL的定义也是基于每一种协议的。如果路由器接口配置成为支持三种协议（IP、AppleTalk以及IPX）的情况，那么，用户必须定义三种ACL来分别控制这三种协议的数据包。 ACL可以限制网络流量、提高网络性能 ；ACL提供对通信流量的控制手段； ACL是提供网络安全访问的基本手段。 二、ACL规则、设置要点 （1）ACL的列表号指出了是那种协议的ACL。各种协议有自己的ACL，而每个协议的ACL又分为标准ACL和扩展ACL。 （2）每协议、每接口、每方向的只能配置一个ACL。路由器的一个接口上每一种协议可以配置进方向和出方向两个ACL。 （3）ACL的语句顺序决定了对数据包的控制顺序。在ACL中各描述语句的放置顺序是很重要的。当路由器决定某一数据包是被转发还是被阻塞时，会按照各项描述语句在ACL中的顺序，根据各描述语句的判断条件，对数据报进行检查，一旦找到了某一匹配条件就结束比较过程，不再检查以后的其他条件判断语句。 （4）最有限制性的语句应该放在ACL语句的首行。把“全部允许”或者“全部拒绝”这样的语句放在末行或接近末行。 （5）新的表项只能被添加到ACL的末尾。如果必须改变，只有先删除已存在的ACL，然后创建一个新ACL，将新ACL应用到相应的接口上。 （6）在将ACL应用到接口之前，一定要先建立ACL。 （7）ACL语句不能被逐条的删除，只能一次性删除整个ACL。 （8）在ACL的最后，有一条隐含的“全部拒绝”的命令，所以在 ACL里一定至少有一条“允许”的语句。 （9）ACL只能过滤穿过路由器的数据流量，不能过滤由本路由器上发出的数据包。 （10）在路由器选择进行以前，应用在接口进入方向的ACL起作用。 （11）在路由器选择决定以后，应用在接口离开方向的ACL起作用。 尽可能把IP标准ACL放置在离目标近的地方；尽可能把IP扩展ACL放置在离源地址近的地方。 三、ACL分类 （1）标准ACL和扩展ACL 标准的ACL使用 1 ~ 99 以及1300~1999之间的数字作为表号，扩展的ACL使用 100 ~ 199以及2000~2699之间的数字作为表号。 （2）号码式ACL和命名式ACL ACL的方向： in ACL:先处理，后路由 Out ACL:先路由，后处理 四、号码式ACL(一) 标准号码式ACL 编号规则 1~99和1300~1399 过滤元素 仅源IP地址信息 用于简单的访问控制、路由过滤等 六、控制vty（telnet）访问 阻止用户远程登录路由器是困难的，因为路由器的活动端口是允许VTY访问的。(用扩展ACL) 将访问控制列表应用到VTY线路上时，就不需要指定TELNET协议，应为vty隐含了TELNET,也不要指定目标地址。因此可以使用标准访问控制列表。配置方法： (1)定义：access-list 10 permit (2)应用：line vty 0 4 access-class 10 in 配置NAPT 配置多路复用动态转换条目 配置NAPT转换中，必须使用overload关键字，这样路由器才会将源端口也进行转换，已达到地址超载的目的。如果不指定overload，路由器将执行动态NAT转换。 Router(config)# ip nat inside source list access-list-number { interface interface | pool pool-name } overload 配置示例 * * 配置标准号码式 ACL 配置ACL规则 access-list access-list-number { permit | deny } { any | source source-wildcard } [ time-range time-range-name ] Router(config)# 应用ACL ip ac