第七章控制访问列表和NAT1..docVIP

控制访问列表 访问控制列表（ACL）作用： 限制网络流量，提高网络性能 提供流量控制 提供网络访问基本安全级别 在路由接口决定哪种流量被转发或阻塞 访问列表作用方向： *出站ACL通常比入站ACL更高效，因此优先选用出站ACL 一、标准的访问列表 1．这种访问列表只使用IP数据包的源IP地址，这就意味标准访问列表允许或拒 2．如何标识访问列表--使用访问列表号1 to 99 3．绑定接口位置：尽可能的放置在靠近目的IP的路由器接口上 4．配置： 1）禁用0这个源地址对目标访问 （config）#access-list 10 deny 0 或 (config)#access-list 10 deny host 0 2）注意：只禁用某个IP需要把其他设置打开 (config)#access-list 10 permit any 3）把访问列表绑定到端口上 （config）# int s0/0 (config) # ip access-group 10 out 二、扩展的访问列表 1．这种访问列表检查源和目的两个数据包地址,同时还可以检查指定的协议、端口号、和其它参数。 2．如何标识访问列表 扩展访问控制列表(100 to 199)检验源和目的地址，具体的TCP/IP协议和目的端口 3．绑定接口位置： 尽可能的放置在靠近源IP的路由器接口上 Router(config)#access-list 编号 [permit | deny] 协议 源IP 源IP反码 目标IP 目标IP反码 条件（EQ） [具体协议 | 端口号] 4．配置： router（config）#access-list 101 deny tcp 0 eq telnet 或 router(config)#access-list 101 deny tcp host 0 host eq 23 注意：只禁用某个服务（或某个端口）需要把其他设置都打开 2) router(config)#access-list 101 permit ip any any 3) 作用到端口上 router（config）# int fa0/0 (config-if) # ip access-group 101 in 注意: EQ 是等于 GT是大于 LT是小于 NEQ是不等于 2)只禁用0的ping功能 （config）#access-list 101 deny icmp 0 55 或 (config)#access-list 101 deny icmp host 0 55 echo-reply 注意：只禁用某个服务（或某个端口）需要把其他设置打开 (config)#access-list 101 permit ip any any 作用到端口上 （config）# int fa0/0 (config-if) # ip access-group 101 in 特例： 另一类限制TELNET访问 (config)#access-list 10 permit host 0 (config)#line vty 0 4 (config-line)#access-class 10 in 三、命名访问列表 1．它仅仅是创建标准访问列表和扩展访问列表的一种方法 功能跟前面的一样 2．配置命名标准访问列表： （config）# ip access-list standard ?自定义R1（config）# ip nat inside source static 私有 ip 公网 ip 应用到进出端口上： R1(config)#int s0/0 R1（config-if）# ip nat outside R1(config)#int fa0/0 R1（config-if）# ip nat inside NAT查看命令 1．NAT 转换信息 sh ip nat translations 2 NAT统计信息 sh ip nat statistics 二）动态NAT 一个公有地址对多个私有地址 配置： 1．定义公网ip（或网段） 　　起始IP 　　结束IP (config)#ip nat pool chen 　 netmask　 2．定义私有ip（或网段）代表源地址 (config)# access-list 11 permit 　55 3．将公网和私有进行整